Railway'de müşteri sırlarına erişildi, kimlik bilgilerinin yenilenmesi isteniyor

Uygulama barındırma platformu Railway, 21 Ekim'de müşteri ortam değişkenlerini saklayan sistemlerde "olağan dışı faaliyet" tespit ettiğini ve yetkisiz bir üçüncü tarafın şifreli değişkenlere, bazılarında ise çözülmüş içeriğe erişmiş olabileceğini açıkladı. Ortam değişkenleri genellikle API anahtarları, veritabanı parolaları ve kayıt defteri kimlik bilgileri gibi sırlar barındırdığından şirket, müşterilerinden bu bilgileri derhâl yenilemelerini istedi.

Neler oldu?

Railway'in güvenlik duyurusuna göre faaliyet 21 Ekim sabahı fark edildi ve ilk analizler etkinin "kullanıcıların bir alt kümesiyle" sınırlı olabileceğine işaret ediyor. Şirket etkilenen hesap sayısını, saldırganın erişimi nasıl elde ettiğini ve kök nedeni açıklamadı; soruşturmanın sürdüğünü ve etkilenen müşterilere doğrudan e-posta ile ulaşacağını belirtti.

Railway, olayın "yapay zekâ çıkarım sağlayıcılarını ele geçirmeyi amaçlayan ve son dönemde platform şirketlerini hedef alan bir dizi saldırının parçası" olduğunu düşündüğünü aktardı; saldırganların adını vermedi.

The Hacker News'in haberine göre güvenlik araştırmacısı Taylor Monahan, saldırganların bu erişimle özel anahtarları Railway'de saklanan kripto para cüzdanlarını boşalttığını ve bilinen ilk hırsızlık işleminin kamuya açıklamadan en az iki saat önce gerçekleştiğini bildirdi. Bu iddia araştırmacıya ait olup Railway tarafından doğrulanmadı.

Railway ne yaptı?

Railway, soruşturma süresince tüm dağıtımları durdurduğunu ve açığa çıkan anahtarları proaktif olarak iptal edebilmeleri için üst sağlayıcıları bilgilendirdiğini açıkladı. The Hacker News'e göre şirket ayrıca tüm depolama kimlik bilgilerini yeniledi, Railway API belirteçlerini geçersiz kıldı ve derlemeleri önce Pro ve Enterprise çalışma alanları için yeniden açtı; Hobby, Free ve Trial çalışma alanları sırada bekliyordu. Railway 22 Ekim'de AWS, GCP ve GitHub'da olağan dışı erişim kontrolü, Stripe ve yapay zekâ sağlayıcı hesaplarında beklenmedik kullanım incelemesi ile PostgreSQL, MySQL, Redis ve MongoDB parolalarının yenilenmesini içeren ek öneriler yayımladı.

Kimler etkileniyor?

Railway ortam değişkenlerinde sır saklayan tüm kurum ve geliştiriciler, şirket aksini doğrulayana kadar bu bilgileri açığa çıkmış kabul etmeli. The Hacker News olayı, saldırganların çalınan kimlik bilgileriyle yapay zekâ modellerini kurbanın hesabına çalıştırdığı "LLMjacking" eğilimiyle ilişkilendiriyor; bu nedenle yapay zekâ hizmeti anahtarlarına özellikle dikkat edilmeli.

Ne yapmalı?

Railway, platformda saklanan API anahtarları ve özel kayıt defteri kimlik bilgileri dahil tüm ortam değişkenlerinin yenilenmesini ve bağlı hizmetlerin kayıtlarının olağan dışı faaliyet açısından incelenmesini öneriyor. Ekipler veritabanı parolalarını değiştirmeli, bulut sağlayıcı ve GitHub denetim kayıtlarını kontrol etmeli, ödeme ve yapay zekâ sağlayıcılarının kullanım ve faturalama panellerini gözden geçirmeli. Railway değişkenlerinde tutulan kripto cüzdan anahtarları ele geçirilmiş sayılmalı ve varlıklar yeni cüzdanlara taşınmalı. Güncellemeler Railway'in blogunda ve durum sayfasında paylaşılıyor.