Sommaire
La plateforme d’hébergement Railway vient de publier le rapport préliminaire de son incident de sécurité du 21 octobre. Verdict : un attaquant a passé près de deux jours dans ses systèmes internes, du 20 octobre à 13h58 UTC au 22 octobre à 3h32 UTC, et a réussi à déchiffrer une partie des variables d’environnement de ses clients — ces fameuses clés API, mots de passe de bases de données et identifiants stockés dans les projets.
Selon Railway, 1,85 % des espaces de travail au maximum sont concernés, soit environ 100 000 projets, et l’attaquant visait surtout les clés de fournisseurs d’IA. Les applications déjà en ligne ne sont jamais tombées, mais les déploiements ont été suspendus pendant l’enquête, et tous les jetons d’API Railway créés avant l’incident ont été révoqués. La consigne est claire : si vous utilisez Railway, changez vos clés et vos variables d’environnement, vérifiez les journaux d’accès de vos comptes GitHub et de vos registres de conteneurs, et coupez l’accès public à vos bases de données.
Lento dit : 100 000 projets potentiellement exposés, et l’hébergeur ne sait même pas exactement quelles clés ont été déchiffrées. Si vos secrets vivent chez Railway, ne vous demandez pas si vous êtes concerné : changez-les, point. C’est exactement le genre d’incident qui rappelle qu’une clé API, ça se change comme un mot de passe, pas une fois tous les trois ans.
De qui parle cet article
