Intrusion chez Railway : tous les utilisateurs doivent changer leurs secrets

Railway est une plateforme cloud sur laquelle les développeurs déploient leurs applications. Le 21 octobre 2026, l'entreprise a révélé qu'un attaquant a pu atteindre les secrets de ses clients. Selon Railway, un tiers extérieur non autorisé a peut-être accédé à des variables d'environnement chiffrées. Pour certaines d'entre elles, l'attaquant a obtenu le contenu déchiffré. Railway demande désormais à chaque utilisateur de changer tous les secrets stockés sur la plateforme, que l'entreprise l'ait contacté ou non.

Ce que Railway dit s'être passé

Une variable d'environnement est un réglage nommé qu'une application lit au démarrage. Les développeurs s'en servent pour garder les clés d'API, les mots de passe de base de données et les identifiants de registre hors du code source. Le stockage de ces variables compte donc parmi les systèmes les plus sensibles d'une plateforme d'hébergement.

D'après l'avis de sécurité de Railway, l'entreprise a détecté une activité inhabituelle dans ces systèmes « tôt ce matin », le 21 octobre. Son analyse initiale suggère qu'une partie seulement des utilisateurs est touchée. Railway n'a pas dit combien. Elle enverra un e-mail aux clients concernés dès qu'elle aura confirmé quels comptes ont été atteints.

Railway n'a pas non plus expliqué comment l'attaquant est entré. Selon TechCrunch, l'entreprise n'a pas répondu à une demande de commentaire.

L'entreprise pense qu'il s'agit d'une attaque parmi plusieurs visant récemment des plateformes « dans le but de compromettre des fournisseurs d'inférence d'IA ». Ces fournisseurs vendent l'accès à des modèles d'IA, et les clients paient cet accès au moyen de clés d'API. Railway n'a pas nommé les autres plateformes.

Ce que Railway a fait jusqu'ici

Railway a suspendu tous les déploiements pendant son enquête. TechCrunch a écrit que cette pause a pratiquement gelé les sites et applications des clients. Railway a aussi contacté ses fournisseurs en amont pour leur demander de révoquer des clés par précaution.

The Hacker News cite d'autres mesures. Railway a renouvelé tous les identifiants de ses buckets de stockage et invalidé les jetons d'API Railway. Elle a ensuite rétabli les builds pour les espaces de travail Pro et Enterprise, afin que ces clients puissent déployer les nouveaux identifiants qu'ils créent.

Les autres offres attendent encore. Selon sa page de statut, Railway continue de travailler à rétablir les builds « pour Hobby, puis Free et Trial ». Elle ajoute que certains builds échouent encore plus souvent que d'habitude et que de nombreux déploiements restent en file d'attente.

Une série d'attaques contre les outils de développement

Railway n'est pas la première plateforme de développement à perdre des clés de clients ce mois-ci. OpenCode a indiqué le 17 octobre qu'une intrusion avait touché 1,4 % des utilisateurs d'OpenCode Console, exposant les clés de fournisseurs d'IA qu'ils y avaient stockées. TechCrunch note qu'OpenCode a qualifié son incident d'« attaque par distillation d'IA ». Railway n'a pas dit si les deux affaires sont liées.

The Hacker News cite aussi Taylor Monahan, spécialiste de la sécurité. Selon Monahan, des attaquants ont vidé des portefeuilles de cryptomonnaies dont les clés privées étaient stockées sur Railway. L'avis de Railway ne mentionne aucun vol de portefeuille.

Ce que cela signifie pour les développeurs

Considérez chaque secret stocké sur Railway comme exposé, même si vous ne recevez aucun e-mail. Les conseils de l'entreprise s'appliquent à tous les utilisateurs.

• Changez les clés à la source, pas seulement dans Railway. Modifier une variable dans le tableau de bord n'empêche pas une copie volée de fonctionner. Générez une nouvelle clé chez chaque fournisseur, révoquez l'ancienne, puis collez la nouvelle valeur dans Railway.
• Commencez par les clés qui coûtent de l'argent ou touchent aux données. Cela veut dire d'abord les clés de fournisseurs d'IA, les clés cloud et les mots de passe de base de données. Railway cite aussi les identifiants de registres privés.
• Lisez vos journaux. Railway demande aux utilisateurs d'examiner les journaux des services concernés à la recherche d'activité inhabituelle. Le 22 octobre, elle a publié deux guides pour repérer des accès anormaux dans AWS et Google Cloud.
• Vérifiez vos factures d'IA. La propre hypothèse de Railway désigne les fournisseurs d'inférence. Un bond soudain de l'utilisation des modèles est un signe rapide qu'une clé est entre d'autres mains.
• Remplacez les jetons d'API Railway dans la CI. Railway dit avoir invalidé ces jetons, donc une tâche de déploiement qui utilise encore un ancien jeton échouera jusqu'à ce que vous en créiez un nouveau.
• Déplacez vos cryptomonnaies. Si la clé privée d'un portefeuille a un jour été placée dans une variable Railway, changer la variable ne la protège pas. Transférez les fonds vers un nouveau portefeuille.
• Attendez-vous à des déploiements lents pour l'instant. Suivez la page de statut de Railway, incident QH8L8B3E, pour savoir quand les builds reviennent pour votre offre.