Brecha en Railway: todos los usuarios deben cambiar sus secretos

Railway es una plataforma en la nube donde los desarrolladores despliegan sus aplicaciones. El 21 de octubre de 2026, la empresa reveló que un atacante pudo llegar a los secretos de sus clientes. Según Railway, un tercero externo no autorizado pudo acceder a variables de entorno cifradas. En algunos casos, el atacante obtuvo el contenido descifrado. Railway pide ahora a cada usuario que cambie todos los secretos guardados en la plataforma, haya recibido o no un aviso de la empresa.

Qué dice Railway que ocurrió

Una variable de entorno es un ajuste con nombre que una aplicación lee al arrancar. Los desarrolladores las usan para mantener las claves de API, las contraseñas de bases de datos y los accesos a registros fuera del código fuente. Por eso el almacén de variables de entorno es uno de los sistemas más delicados de una plataforma de alojamiento.

Según el aviso de seguridad de Railway, la empresa detectó actividad inusual en esos sistemas «esta mañana temprano», el 21 de octubre. Su análisis inicial sugiere que solo una parte de los usuarios se vio afectada. Railway no ha dicho cuántos. Enviará un correo a los clientes afectados en cuanto confirme qué cuentas sufrieron el ataque.

Railway tampoco ha explicado cómo entró el atacante. Según TechCrunch, la empresa no respondió a una solicitud de comentarios.

La empresa cree que se trata de uno de varios ataques recientes contra plataformas «con el objetivo de comprometer a proveedores de inferencia de IA». Esos proveedores venden acceso a modelos de IA, y los clientes pagan ese acceso mediante claves de API. Railway no nombró a las otras plataformas.

Qué ha hecho Railway hasta ahora

Railway pausó todos los despliegues mientras investigaba. TechCrunch escribió que la pausa congeló en la práctica los sitios web y aplicaciones de los clientes. Railway también contactó a sus proveedores de origen y les pidió revocar claves como precaución.

The Hacker News enumera otras medidas. Railway cambió todas las credenciales de sus buckets de almacenamiento e invalidó los tokens de API de Railway. Después restableció las compilaciones para los espacios de trabajo Pro y Enterprise, para que esos clientes puedan desplegar las nuevas credenciales que creen.

Otros planes siguen esperando. Según su página de estado, Railway sigue trabajando para habilitar las compilaciones «para Hobby, luego Free y Trial». Añade que algunas compilaciones todavía fallan más de lo normal y que muchos despliegues siguen en cola.

Una serie de ataques contra herramientas para desarrolladores

Railway no es la primera plataforma para desarrolladores que pierde claves de clientes este mes. OpenCode dijo el 17 de octubre que una brecha afectó al 1,4 % de los usuarios de OpenCode Console, y quedaron expuestas las claves de proveedores de IA que habían guardado. TechCrunch señala que OpenCode calificó su incidente de «ataque de destilación de IA». Railway no ha dicho si ambos casos están relacionados.

The Hacker News cita además a Taylor Monahan, especialista en seguridad. Según Monahan, unos atacantes vaciaron monederos de criptomonedas cuyas claves privadas estaban guardadas en Railway. El aviso de Railway no menciona robos de monederos.

Qué significa para los desarrolladores

Trata cada secreto guardado en Railway como expuesto, aunque no recibas ningún correo. Los consejos de la empresa valen para todos los usuarios.

• Cambia las claves en su origen, no solo en Railway. Editar una variable en el panel no impide que una copia robada siga funcionando. Genera una clave nueva en cada proveedor, revoca la antigua y después pega el nuevo valor en Railway.
• Empieza por las claves que cuestan dinero o tocan datos. Primero las claves de proveedores de IA, las claves de la nube y las contraseñas de bases de datos. Railway también menciona las credenciales de registros privados.
• Revisa tus registros. Railway pide a los usuarios que revisen los registros de los servicios afectados en busca de actividad inusual. El 22 de octubre publicó dos guías para detectar accesos anómalos en AWS y Google Cloud.
• Revisa tus facturas de IA. La propia hipótesis de Railway apunta a los proveedores de inferencia. Un salto repentino en el uso de modelos es una señal rápida de que una clave está en otras manos.
• Sustituye los tokens de API de Railway en la CI. Railway dice que invalidó esos tokens, así que una tarea de despliegue que siga usando uno antiguo fallará hasta que crees uno nuevo.
• Mueve tus criptomonedas. Si la clave privada de un monedero estuvo alguna vez en una variable de Railway, cambiar la variable no la protege. Transfiere los fondos a un monedero nuevo.
• Cuenta con despliegues lentos por ahora. Sigue la página de estado de Railway, incidente QH8L8B3E, para saber cuándo vuelven las compilaciones para tu plan.