環境変数

Railway の公式発表によると、クラウドデプロイメントプラットフォーム Railway は、顧客の環境変数を保存するシステムで異常な活動を検出しました。初期調査では、無許可の第三者が暗号化された環境変数にアクセスし、その一部の変数の復号内容を取得した可能性があることが示されています。関連する変数には API キー、データベースおよびイメージリポジトリの認証情報などが含まれている可能性があります。Railway は、この事件が最近のプラットフォーム企業に対する一連の攻撃の一つであり、AI 推論サービスプロバイダーを侵害することを目的としていると考えています。現在、上流サービスプロバイダーに対してキーの自主的な取り消しを通知しました。現在、Railway はすべてのデプロイを一時停止しており、すべてのユーザーに対してプラットフォームに保存されている環境変数、API キー、およびプライベートリポジトリの認証情報を直ちにローテーションし、関連するサービスログを確認することを推奨しています。

Vercelはセキュリティ事件の分析を発表し、内部システムの一部が未承認のアクセスを受けたと述べています。その原因は、従業員が使用していた第三者のAIツールContext.aiが侵害され、攻撃者がこれを利用してGoogle Workspaceアカウントを乗っ取り、一部の環境設定データにアクセスしたことです。初期の影響として、少数の顧客の「敏感」としてマークされていない環境変数（APIキー、トークンなど）が漏洩する可能性があり、関連するユーザーには通知され、すぐに認証情報をローテーションするように推奨されています。現在、「敏感」としてマークされたデータやサプライチェーン（npmパッケージなど）が改ざんされたという証拠はありません。Vercelは、攻撃者が高い技術レベルを持っていると述べ、Mandiantおよび複数のセキュリティ機関と連携して調査を行っており、法執行機関にも報告しています。同時に、プラットフォームサービスは正常に稼働していると強調しています。また、ユーザーには多要素認証を有効にし、潜在的に漏洩した環境変数を全面的にローテーションし、アカウントの活動ログやデプロイ記録を確認してさらなるリスクを防ぐように推奨しています。