Railwayで顧客環境変数への不正アクセス
原題: Security Disclosure
なぜ重要か
AI推論プロバイダーを狙ったサプライチェーン型攻撃の増加を示す事例であり、プラットフォーム企業のシークレット管理の脆弱性が改めて問われる。
クラウドデプロイメントプラットフォームのRailwayは2026年10月21日、顧客の環境変数を保存するシステムへの異常なアクセスを検知したと発表した。第三者が暗号化された環境変数にアクセスし、一部については復号済みの内容を取得した可能性がある。APIキーやデータベース認証情報などが含まれる可能性があり、全ユーザーに対して環境変数のローテーションを強く推奨している。
Railwayは2026年10月21日早朝、顧客の環境変数を管理するシステムで異常な活動を検知した。調査の結果、権限を持たない第三者が暗号化された環境変数にアクセスし、その一部については復号された内容を取得した疑いが浮上した。影響を受ける可能性のある情報は、APIキー、データベース認証情報、プライベートレジストリの認証情報など、いわゆる「シークレット」と呼ばれる機密データだ。
Railwayは今回の攻撃を、AI推論プロバイダーの侵害を狙ってプラットフォーム企業を標的とする一連の攻撃の一部と見ている。同社は該当する上流プロバイダーに対し、APIキーの先制的な無効化を通知済みだという。
初期分析では影響範囲は一部ユーザーに限定される可能性があるとしながらも、同社は予防措置として全ユーザーへの対応を求めている。具体的には、Railway上に保存したすべての環境変数とAPIキー、プライベートレジストリ認証情報を直ちにローテーションし、各サービスのログで不審な活動がないか確認するよう呼び掛けている。
調査中はすべてのデプロイメントが一時停止されており、ビルドが再開されるまで新バージョンのリリースはできない状態だ。影響が確認されたアカウントに対しては、個別にメールで詳細を連絡するとしている。続報はブログの本発表およびstatus.railway.comで随時公開される予定だ。翌10月22日には、GCPおよびAWSへの異常アクセス確認方法についての追加ガイダンスも公開された。