Railway раскрыла в предварительном отчёте от 22 октября, как злоумышленник добрался до зашифрованных секретов приложений. Потенциальная компрометация части переменных окружения затронула не более 1,85% рабочих пространств — около 100 тысяч. Это оценка охвата, а не число доказанных краж ключей или отдельных пользователей.

По хронологии компании, атакующий сначала получил зашифрованные данные, затем добрался до учётных данных внутренней среды сборки и проверки кода. Совмещение нескольких скомпрометированных доступов позволило расшифровать часть переменных, в которых приложения хранят пароли и API-ключи. Какие именно значения были раскрыты, Railway установить пока не смогла. Шифрование хранилища не спасло эти секреты после компрометации инфраструктуры доступа.

Первое сообщение Railway оставляло масштаб неизвестным. Теперь компания уточняет: некоторым внешним сервисам она передала для отзыва все сохранённые ключи, поэтому круг затронутых сбросом шире потенциальной утечки. Само уведомление об отзыве не доказывает кражу конкретного ключа.

Railway датирует доступ атакующего 20–22 октября. Компания сообщает, что восстановила развёртывания на всех тарифах и перевела сборки с общих изолированных сред в отдельные для каждого клиента. Уже работающие приложения, по её словам, оставались онлайн. Расследование продолжается: доступ к исходному коду клиентов пока не исключён.