セキュリティ開示

何が起きたのか

Railway は、顧客の環境変数を保存しているシステムで、いつもと違う動きを見つけました。調べた結果、許可されていない第三者が、暗号化された環境変数にアクセスし、一部は中身を読める形で手に入れた可能性があります。環境変数には、API キーや、データベース・プライベートレジストリの認証情報などの秘密の情報が入ることがあります。

環境変数とは

環境変数は、アプリに渡す設定値のことです。パスワードや鍵のような大事な情報を、プログラムのコードに直接書かずに保存するときに使われます。そのため、ここが盗まれると、ほかのサービスにも入られる危険があります。

わかっている主なこと

• 影響は一部の利用者に限られる可能性が高い、と初期の分析で示されています。
• Railway は、関係する上流の提供会社に、すべての鍵を先回りして無効にするよう依頼しました。
• 調査が終わるまで、すべてのデプロイ（アプリを公開する作業）は止められています。
• 影響を受けた利用者には、個別にメールで連絡するとしています。

なぜ大事なのか

同じような攻撃が、AI の推論サービスを狙う目的で、ほかの基盤サービスにも広がっているとみられています。利用者は、自分の鍵が漏れたかどうか分からなくても、すぐに変更することが大切です。

これから注目したい点

• すべての環境変数と、プライベートレジストリの認証情報を変更し、ログに不審な動きがないか確認すること。
• デプロイが再開される時期と、Railway の公式ページでの続報。
• 影響を受けた利用者の範囲が、どこまで絞り込まれるか。