Sommaire
Railway a publié mardi 10 novembre le rapport final de la brèche d’octobre — et l’addition est plus salée que prévu. Les pirates ont utilisé les clés volées pour faire tourner environ 740 000 $ de consommation d’IA non autorisée, et Railway promet désormais de rembourser ce que les fournisseurs d’IA refuseraient de prendre en charge. Un revirement : fin octobre, l’entreprise disait encore ne pas pouvoir rembourser ces dépenses.
L’attaque avait commencé le 20 octobre par une faille inconnue dans l’infrastructure de build, qui a permis de sortir de l’isolation entre projets et de récupérer un identifiant interne. Pendant environ 26 heures, les attaquants ont fouillé le code source de Railway, lu l’historique de 353 builds et déchiffré des variables d’environnement — au maximum 1,85 % des workspaces, soit environ 100 000, un plafond et non un nombre confirmé. Les jetons de comptes liés de 1 852 utilisateurs, dont des jetons GitHub OAuth et des clés d’agents IA, ont aussi été exposés et réinitialisés. Railway assure qu’aucun compte client n’a été piraté, qu’aucune base de données n’a été consultée et qu’aucun dépôt Git n’a été téléchargé. Si vous hébergez un projet sur Railway, changez toujours vos secrets stockés avant le 21 octobre : c’est la seule façon d’être sûr qu’une clé volée ne serve plus.
Lento dit : 740 000 $ de clés IA volées, et c’est Railway qui paie l’addition. La leçon n’a pas changé depuis octobre : vos secrets dans les variables d’environnement, c’est de l’argent liquide posé sur la table. Mettez des plafonds de dépenses chez vos fournisseurs d’IA, et tournez vos clés — maintenant, pas « quand vous aurez le temps ».
De qui parle cet article
