Vos clés d'API stockées chez l'hébergeur Railway ont pu être lues : changez-les toutes

Le 21 octobre à 7 h 24 (heure universelle), la page d'état de Railway signale un simple problème en cours d'analyse. Deux heures plus tard, le tableau de bord, l'API et l'outil en ligne de commande sont hors service, et les compilations sont suspendues dans toutes les régions. Il faut attendre la soirée pour comprendre : à 21 h 59, l'entreprise publie un avis de sécurité.

Railway, plateforme américaine qui héberge et déploie des applications web, y explique avoir détecté une activité anormale sur les systèmes qui stockent les variables d'environnement de ses clients. Ces variables contiennent souvent les secrets d'une application : clés d'API, mots de passe de bases de données, identifiants de registres privés. Selon l'entreprise, un tiers non autorisé pourrait avoir accédé à ces variables chiffrées et, pour certaines, en avoir obtenu le contenu déchiffré.

Qui est touché ?

Railway reste prudente. Son analyse initiale suggère que seule une partie des utilisateurs serait concernée ; elle contactera directement par e-mail les clients touchés. Elle n'a donné ni nombre de comptes, ni point d'entrée, ni identité de l'attaquant. Mais sa recommandation vaut pour tous : changer l'ensemble des variables stockées chez elle, y compris les identifiants de registres privés, et examiner les journaux des services concernés.

Un détail retient l'attention. Railway estime que l'incident s'inscrit dans une série récente d'attaques contre des plateformes techniques, menées pour compromettre des fournisseurs d'IA. Elle dit avoir prévenu ses fournisseurs en amont pour qu'ils révoquent les clés de manière préventive, sans les nommer. Ses guides publiés le 22 octobre visent notamment les clés OpenAI, Anthropic, Grok et OpenRouter, ainsi que Stripe, GitHub, AWS et Google Cloud. C'est la même cible que lors de la fuite de clés chez OpenCode : une clé d'IA volée se revend ou se consomme directement aux frais de son propriétaire.

Que faire si vous utilisez Railway ?

Railway a pris elle-même plusieurs mesures : tous ses jetons d'API ont été invalidés, les identifiants des espaces de stockage ont été renouvelés et les sessions de connexion annulées. Les déploiements reprennent par étapes, d'abord pour les offres Enterprise et Pro. De votre côté :

• révoquez puis remplacez chaque clé stockée dans Railway, chez le fournisseur lui-même : créer une nouvelle clé n'annule pas l'ancienne ;
• changez les mots de passe de vos bases PostgreSQL, MySQL, Redis ou MongoDB, puis redéployez les services qui les utilisent ;
• regardez la consommation et la facturation de vos comptes d'IA et de paiement sur la période récente ;
• recherchez les accès inhabituels dans vos comptes GitHub, AWS et Google Cloud ;
• créez de nouveaux jetons d'API Railway pour vos outils d'automatisation.

Reste la question principale : comment des valeurs chiffrées ont-elles pu être lues en clair ? L'avis de Railway ne le dit pas, et rien n'indique à ce stade que le chiffrement lui-même a été cassé.