Railway оценила примерно в $740 тысяч несанкционированное использование ИИ-сервисов по ключам, похищенным при октябрьском взломе платформы. В отчёте от 10 ноября компания обещает покрыть связанные с инцидентом расходы, которые не возместят сами поставщики. Сумма — оценка начислений, а не подтверждённые окончательные потери клиентов.

Новый разбор объясняет, как ограниченный выход из изоляции сборки превратился в доступ к секретам. 20 октября атакующий смог прочитать часть файлов общей машины и забрать служебные учётные данные. Внутренняя система ошибочно принимала этот доступ и для других задач: злоумышленник прочитал историю 353 сборок и получил исходный код самой Railway.

В коде он нашёл следующий путь — неверно настроенное доверие между системой автоматического развёртывания и облачной инфраструктурой. Через него атакующий получил новые доступы, добрался до служебной машины, а оттуда — до зашифрованных переменных и возможности их расшифровать. В таких переменных приложения хранят пароли и API-ключи. Защиту обошли через полномочия внутренних сервисов, а не взлом самого шифра.

В октябрьском сообщении уже фигурировали около 100 тысяч потенциально затронутых рабочих пространств. Этот верхний предел не стал числом доказанных краж: журналы показывают затронутые среды, но не отдельные переменные. Railway также сообщает, что не нашла признаков скачивания клиентских Git-репозиториев или доступа к клиентским базам данных.

По словам компании, использованные пути атаки закрыты. Каждая сборка теперь получает отдельную временную виртуальную машину, а её служебный доступ ограничен отправкой конкретного образа приложения. Так Railway разделяет задачи, которым прежняя инфраструктура доверяла слишком широко.