Invasão na Railway: todos os usuários devem trocar seus segredos

A Railway é uma plataforma de nuvem onde desenvolvedores implantam suas aplicações. Em 21 de outubro de 2026, a empresa revelou que um atacante pode ter chegado aos segredos de seus clientes. Segundo a Railway, um terceiro externo não autorizado pode ter acessado variáveis de ambiente criptografadas. Em alguns casos, o atacante obteve o conteúdo decifrado. A Railway agora pede que cada usuário troque todos os segredos guardados na plataforma, tenha ou não recebido contato da empresa.

O que a Railway diz que aconteceu

Uma variável de ambiente é uma configuração com nome que um aplicativo lê ao iniciar. Desenvolvedores as usam para manter chaves de API, senhas de banco de dados e logins de registros fora do código-fonte. Por isso o armazenamento de variáveis de ambiente está entre os sistemas mais sensíveis de uma plataforma de hospedagem.

Segundo o aviso de segurança da Railway, a empresa detectou atividade incomum nesses sistemas "hoje cedo", em 21 de outubro. A análise inicial sugere que só uma parte dos usuários foi afetada. A Railway não disse quantos. Ela vai enviar e-mail aos clientes afetados assim que confirmar quais contas foram atingidas.

A Railway também não disse como o atacante entrou. Segundo o TechCrunch, a empresa não respondeu a um pedido de comentário.

A empresa acredita que este é um de vários ataques recentes a empresas de plataforma "com o objetivo de comprometer provedores de inferência de IA". Esses provedores vendem acesso a modelos de IA, e os clientes pagam por esse acesso com chaves de API. A Railway não citou as outras plataformas.

O que a Railway fez até agora

A Railway pausou todas as implantações enquanto investigava. O TechCrunch escreveu que a pausa praticamente congelou os sites e aplicativos dos clientes. A Railway também contatou seus provedores de origem e pediu que revogassem chaves por precaução.

O The Hacker News lista outras medidas. A Railway trocou todas as credenciais de seus buckets de armazenamento e invalidou os tokens de API da Railway. Depois, restaurou os builds para os espaços de trabalho Pro e Enterprise, para que esses clientes possam implantar as novas credenciais que criarem.

Outros planos ainda esperam. Segundo sua página de status, a Railway continua trabalhando para liberar os builds "para Hobby, depois Free e Trial". Ela acrescenta que alguns builds ainda falham mais do que o normal e que muitas implantações continuam na fila.

Uma série de ataques a ferramentas para desenvolvedores

A Railway não é a primeira plataforma para desenvolvedores a perder chaves de clientes neste mês. A OpenCode disse em 17 de outubro que uma invasão atingiu 1,4% dos usuários do OpenCode Console, expondo as chaves de provedores de IA que eles tinham guardado. O TechCrunch observa que a OpenCode chamou seu incidente de "ataque de destilação de IA". A Railway não disse se os dois casos estão ligados.

O The Hacker News também cita Taylor Monahan, especialista em segurança. Segundo Monahan, atacantes esvaziaram carteiras de criptomoedas cujas chaves privadas estavam guardadas na Railway. O aviso da Railway não menciona roubo de carteiras.

O que isso significa para desenvolvedores

Trate cada segredo guardado na Railway como exposto, mesmo que você não receba nenhum e-mail. Os conselhos da empresa valem para todos os usuários.

• Troque as chaves na origem, não só na Railway. Editar uma variável no painel não impede que uma cópia roubada continue funcionando. Gere uma chave nova em cada provedor, revogue a antiga e só então cole o novo valor na Railway.
• Comece pelas chaves que custam dinheiro ou tocam em dados. Primeiro as chaves de provedores de IA, as chaves de nuvem e as senhas de banco de dados. A Railway também cita as credenciais de registros privados.
• Leia seus logs. A Railway pede que os usuários revisem os logs dos serviços afetados em busca de atividade incomum. Em 22 de outubro, ela publicou dois guias para encontrar acessos anômalos na AWS e no Google Cloud.
• Confira suas faturas de IA. A própria hipótese da Railway aponta para os provedores de inferência. Um salto repentino no uso de modelos é um sinal rápido de que uma chave está nas mãos de outra pessoa.
• Substitua os tokens de API da Railway no CI. A Railway diz que invalidou esses tokens, então um job de deploy que ainda use um token antigo vai falhar até você criar um novo.
• Mova suas criptomoedas. Se a chave privada de uma carteira já esteve em uma variável da Railway, trocar a variável não a protege. Transfira os fundos para uma carteira nova.
• Espere implantações lentas por enquanto. Acompanhe a página de status da Railway, incidente QH8L8B3E, para saber quando os builds voltam para o seu plano.