Ontwikkelplatform Railway heeft gebruikers gevraagd hun API-sleutels en cloudsleutels onmiddellijk in te trekken en te vervangen. Hackers hebben bij een cyberaanval mogelijk toegang gekregen tot versleutelde omgevingsvariabelen van klanten. Bij een deel daarvan zouden ook de ontsleutelde waarden zijn buitgemaakt.
De omgevingsvariabelen bevatten vaak wachtwoorden, API-sleutels en andere inloggegevens die applicaties gebruiken om verbinding te maken met bijvoorbeeld databases en cloudopslag. Met die gegevens kunnen aanvallers zich voordoen als de eigenaar en toegang krijgen tot gekoppelde systemen en data.
Railway zegt op basis van het eerste onderzoek dat de aanval waarschijnlijk beperkt is gebleven tot een deel van de gebruikers. Toch adviseert het bedrijf iedereen alle sleutels in te trekken en nieuwe exemplaren aan te maken, zodat gestolen gegevens niet meer bruikbaar zijn.
Onderzoek naar aanval loopt
Railway heeft de implementatie van nieuwe versies tijdelijk stilgelegd. Daardoor kunnen websites en applicaties van klanten voorlopig niet worden bijgewerkt. Het bedrijf onderzoekt de aanval nog en heeft niet bekendgemaakt hoeveel gebruikers precies zijn getroffen.
Ook is niet duidelijk welk onderdeel van de infrastructuur is binnengedrongen of wat de oorzaak van het incident was. Railway zegt dat de aanval mogelijk deel uitmaakt van een bredere campagne tegen platforms die AI-inferentie aanbieden. Bij zulke aanvallen proberen kwaadwillenden AI-systemen met speciaal ontworpen opdrachten gevoelige informatie te laten prijsgeven.
De Amerikaanse cyberveiligheidsdienst CISA waarschuwde eerder dat AI-bedrijven uit China grootschalige aanvallen uitvoeren op Amerikaanse ondernemingen. Het doel daarvan zou zijn om informatie te verzamelen waarmee eigen AI-modellen kunnen worden verbeterd. Het is niet vastgesteld of de aanval op Railway rechtstreeks met die activiteiten verband houdt.
Eerder deze week meldde de open source AI-codingtool OpenCode eveneens een vergelijkbaar beveiligingsincident. Daarbij zouden hackers meer dan 1 procent van de API-sleutels en andere geheimen van klanten hebben buitgemaakt.
De aanval op Railway staat los van twee kwetsbaarheden in PHP die deze week openbaar zijn gemaakt. Voor die problemen, die de naam PHP2Shell kregen, zijn inmiddels updates beschikbaar. PHP wordt gebruikt op ongeveer 70 procent van de websites en publiek toegankelijke systemen.
