Railwayのセキュリティ対応状況

概要

公式の暫定報告（10月22日公開、26日まで追記）：10月20日13:58〜22日03:32（UTC）、攻撃者がRailwayの内部システムに侵入し、暗号化された環境変数を取得、その一部を復号した。環境変数が漏えいした可能性があるのは最大で全ワークスペースの1.85%（約10万件）だが、どの変数が復号されたかは特定できていない。攻撃者はAIサービスのAPIキーを狙っていた。稼働中のサービスは止まっておらず、ビルドとデプロイは10月23日までに全プランで再開。高リスクと判断した利用者への通知は10月23日18:57（UTC）に完了したが、通知が届いていないワークスペースも安全とは確認されていない。10月26日には「既存の利用者について事故は解決した」とし、新規登録は停止したまま今週中に再開予定。漏えいしたAPIキーで他社サービスに使われた料金はRailwayでは返金できないとしている。