---
title: Railway、顧客のAIキーが盗まれて、約740,000ドルの不正使用料が発生
url: https://www.elseif.net/ja/railwayai740000
published: 2026-11-14T07:03:58+00:00
language: ja
section: ハーネス
source: https://thehackernews.com/2026/11/railway-says-stolen-customer-ai-keys.html
organizations: Railway
publisher: elseif
---

# Railway、顧客のAIキーが盗まれて、約740,000ドルの不正使用料が発生

Railwayは、10月のセキュリティ侵害により、顧客のAIキーが盗まれたと発表しました。この結果、約74万ドルの不正使用料が発生したとされています。Railwayは、AIプロバイダーが顧客に返金しない場合には、自己負担で支払うことを約束しています。

Railwayは、顧客のアプリケーションを構築および実行し、APIキーやデータベースの資格情報などのシークレットを環境変数として保存しています。攻撃者は、最大1.85%のワークスペース、約10万件の環境変数を暗号化解除し、AIプロバイダーのキーを探すデータベースのクエリを実行しました。

Railwayは、顧客に、盗まれたキーを使用した不正使用料について、AIプロバイダーに直接連絡することを勧めています。また、顧客のリクエストをエスカレートすることを申し出ています。

Railwayのインシデントレポートによると、暗号化解除されたデータには、1,852人のユーザーの連携アカウントトークンやGitHubのOAuthトークンも含まれていました。これらのトークンはすべてリセットされ、ユーザーに通知されました。

攻撃者は、クラウド、データベース、支払いサービスに関する資格情報も取得しましたが、顧客のデータベースにアクセスした痕跡は見つからず、コードリポジトリがダウンロードされた兆候も見られませんでした。

Railwayは、顧客に、高リスクと判断された環境についてメールで通知しています。また、攻撃者がコピーしたデータは、暗号化されたままであるため、もう一度解読することはできないと述べています。

Railwayは、顧客に、感染したキーを取り消し、新しいキーを発行することを勧めています。また、データベースへのパブリックネットワークアクセスを削除し、GitHubの監査ログを確認することも勧めています。

Railwayのセキュリティ侵害は、10月20日に始まり、攻撃者は、ビルドシステムの脆弱性を利用して、ホストの仮想マシンにアクセスしました。攻撃者は、ビルドサーバーが使用する資格情報を取得し、内部システムにアクセスしました。

Railwayは、セキュリティ対策を強化し、顧客のデータを保護するために、継続的に努力しています。