Railway повідомила про викрадення секретів і $740 тисяч незаконних витрат на ШІ

Хмарний провайдер Railway повідомив про кібератаку, під час якої зловмисники отримали доступ до секретів автентифікації клієнтів і використали їх для несанкціонованого споживання послуг зі штучним інтелектом приблизно на 740 тисяч доларів. Потенційно інцидент міг зачепити до 100 тисяч робочих просторів. Про це повідомляє BBC News.

Доступ до коду та змінних середовища

Railway уперше розкрила інформацію про інцидент 22 жовтня та порадила клієнтам замінити секрети після виявлення несанкціонованого доступу до систем, у яких зберігалися змінні середовища. У новому звіті компанія уточнила, що нападники могли отримати розшифровані змінні середовища максимум у 1,85% робочих просторів — приблизно 100 тисяч. Це гранична кількість потенційно уражених просторів, а не підтверджена кількість випадків викрадення секретів.

За даними Railway, атака почалася 20 жовтня з експлуатації невідомої раніше вразливості в інфраструктурі збирання. Вона дала змогу вийти за межі ізоляції файлової системи та здобути внутрішні облікові дані. Їх використали для доступу до історій збирання і копії внутрішнього вихідного коду Railway, який нападники проаналізували для пошуку інших шляхів компрометації платформи.

Пошук ключів для сервісів ШІ

Далі зловмисники, за оцінкою Railway, скористалися другою вразливістю, пов’язаною з неправильно налаштованими довірчими відносинами. Це дозволило їм отримати облікові дані для розшифрування клієнтських змінних середовища. Протистояння тривало близько 26 годин: нападники паралельно шукали нові вразливості, а інженери Railway захищали системи.

Компанія встановила, що нападники цілеспрямовано шукали облікові дані постачальників ШІ, хоча частина запитів стосувалася також хмарних, баз даних і платіжних сервісів. Викрадені ключі використали для несанкціонованого споживання ШІ-послуг. Railway заявила, що взаємодіє з постачальниками для відшкодування коштів клієнтам і покриє витрати, які ті не повернуть.

Також були скомпрометовані токени пов’язаних акаунтів 1852 користувачів, зокрема токени GitHub OAuth та ключі ШІ-агентів. Railway скинула ці токени й повідомила постраждалих користувачів. Компанія заявила, що 21 жовтня повністю усунула нападників зі своїх систем, виправила використані вразливості та не виявила доказів завантаження клієнтських Git-репозиторіїв або доступу до клієнтських баз даних.