Railway müşteri sırlarının sızmasını doğruladı, tüm kullanıcılara anahtarlarını yenileme çağrısı yaptı

Ne oldu

Geliştiricilerin uygulama geliştirmek ve dağıtmak için kullandığı bulut platformu Railway, saldırganların müşteri sırlarına eriştiği bir siber saldırıyı doğruladı. Çarşamba günü yayınlanan ve TechCrunch tarafından aktarılan bir blog yazısında şirket, tüm kullanıcılarına API ve bulut anahtarlarını iptal edip yenileme çağrısında bulundu.

TechCrunch'ın haberine göre Railway, saldırganların platformdaki şifreli environment variable'larına erişmiş ve bazı durumlarda içeriklerinin şifresini çözmüş olabileceğini belirtti. Environment variable'ları genellikle bir uygulamanın veritabanları, bulut depolama ve diğer harici servislerle iletişim kurmak için kullandığı şifreleri, token'ları ve API anahtarlarını barındırır. Şifresi çözülmüş bu değerlere sahip olan herkes, meşru sahip gibi kimlik doğrulaması yapabilir ve bu servislerin koruduğu her şeye erişebilir.

Sınırlı ihlal, geniş kapsamlı uyarı

Railway'nin ilk analizi, saldırının yalnızca kullanıcıların küçük bir bölümünü etkilediğine işaret ediyor; ancak şirket, daha geniş bir sızıntı ihtimalini henüz dışlayamadığının bir işareti olarak tüm kullanıcılara kimlik bilgilerini yenileme tavsiyesinde bulunuyor. TechCrunch'ın aktardığına göre Railway, kaç kullanıcının etkilendiğini, sorunun kök nedeninin ne olduğunu veya saldırganların örneğin fidye talebiyle irtibata geçip geçmediğini açıklamadı. Şirket, yorum talebine hemen yanıt vermedi.

Soruşturma sürerken Railway, müşteri deployment'larını durdurdu; bu da platformunda barındırılan web sitelerini ve uygulamaları fiilen donduruyor.

AI sağlayıcılarını hedefleyen daha geniş bir kampanya

Railway, ihlalin AI çıkarım (inference) sağlayıcılarını ele geçirmek amacıyla platformları hedef alan daha geniş kapsamlı bir kampanyanın parçası olma ihtimalinin yüksek olduğunu düşünüyor. Bu tür saldırılar, koruma mekanizmalarını atlayan özenle hazırlanmış prompt'lar aracılığıyla AI sistemlerinden hassas verileri sızdırmaya çalışır.

Zamanlama da bir örüntüye uyuyor. Haftanın başlarında açık kaynak AI kodlama aracı OpenCode, saldırganların müşterilerinin %1'inden fazlasından API anahtarları ve diğer sırları çaldığını açıkladı. OpenCode olayı, çok sayıda otomatik ajanın bir modeli hassas bilgileri çıkarmak için yokladığı ve AI distillation olarak nitelendirdiği bir tekniklere atfetti. Öte yandan ABD siber güvenlik kurumu CISA, yakın zamanda Çin merkezli AI şirketlerinin kendi modellerini geliştirmek amacıyla ABD firmalarına karşı büyük ölçekli saldırılar yürüttüğü uyarısında bulundu.

TechCrunch, Railway saldırısının bu hafta PHP2Shell adıyla açıklanan ve şirketleri ile devletleri Çarşamba günkü koordineli yama yayınları öncesinde siteleri çevrimdışı çekmeye iten iki kritik PHP güvenlik açığıyla ilgisiz göründüğüne dikkat çekiyor. Amazon güvenlik araştırmacıları, bu PHP hatalarının yamalar yayınlanmadan dört gün önce istismar edildiğine dair kanıt bulduklarını söyledi.

Neden önemli

Bir geliştirici platformu için sızan environment variable'ları kadar yıkıcı az sonuç vardır. Tek bir çalınan anahtar, veritabanı ve bulut hesabı ele geçirmelerine özgün ihlalin çok ötesinde bir şekilde zincirleme yayılabilir; Railway bu yüzden yalnızca teyit edilmiş mağdurları değil, tüm kullanıcı tabanını kimlik bilgilerini yenilemeye çağırıyor.

Tüm deployment'ları durdurma ve tüm müşteri tabanındaki erişilebilirliği kapatma pahasına sınırlama kararı, şirketin riski ne kadar ciddiye aldığını gösteriyor. Olay ayrıca, kırık kod yerine prompt'ların bilgi çıkarma aracı haline geldiği, AI tedarik zincirini hedef alan saldırıların ortaya çıkan örüntüsüne uyuyor. Mühendislik ekipleri için pratik adımlar açık: Railway üzerinde saklanan tüm anahtarları hemen yenileyin ve bu kimlik bilgilerinin başka bir yerde yeniden kullanılıp kullanılmadığını kontrol edin.