Railway、顧客のAIキーが盗まれて、約740,000ドルの不正使用料が発生
2026年11月14日 · 読了 1 分
Railwayは、10月のセキュリティ侵害により、顧客のAIキーが盗まれたと発表しました。この結果、約74万ドルの不正使用料が発生したとされています。Railwayは、AIプロバイダーが顧客に返金しない場合には、自己負担で支払うことを約束しています。
Railwayは、顧客のアプリケーションを構築および実行し、APIキーやデータベースの資格情報などのシークレットを環境変数として保存しています。攻撃者は、最大1.85%のワークスペース、約10万件の環境変数を暗号化解除し、AIプロバイダーのキーを探すデータベースのクエリを実行しました。
Railwayは、顧客に、盗まれたキーを使用した不正使用料について、AIプロバイダーに直接連絡することを勧めています。また、顧客のリクエストをエスカレートすることを申し出ています。
Railwayのインシデントレポートによると、暗号化解除されたデータには、1,852人のユーザーの連携アカウントトークンやGitHubのOAuthトークンも含まれていました。これらのトークンはすべてリセットされ、ユーザーに通知されました。
攻撃者は、クラウド、データベース、支払いサービスに関する資格情報も取得しましたが、顧客のデータベースにアクセスした痕跡は見つからず、コードリポジトリがダウンロードされた兆候も見られませんでした。
Railwayは、顧客に、高リスクと判断された環境についてメールで通知しています。また、攻撃者がコピーしたデータは、暗号化されたままであるため、もう一度解読することはできないと述べています。
Railwayは、顧客に、感染したキーを取り消し、新しいキーを発行することを勧めています。また、データベースへのパブリックネットワークアクセスを削除し、GitHubの監査ログを確認することも勧めています。
Railwayのセキュリティ侵害は、10月20日に始まり、攻撃者は、ビルドシステムの脆弱性を利用して、ホストの仮想マシンにアクセスしました。攻撃者は、ビルドサーバーが使用する資格情報を取得し、内部システムにアクセスしました。
Railwayは、セキュリティ対策を強化し、顧客のデータを保護するために、継続的に努力しています。