Railway yêu cầu toàn bộ người dùng thu hồi khóa giao diện lập trình ứng dụng và khóa dịch vụ đám mây sau một cuộc tấn công mạng. Người dùng cũng phải tạo khóa mới để thay thế. Công ty xác nhận tin tặc có thể đã truy cập các biến môi trường được mã hóa. Nội dung đã giải mã của một số biến có thể đã bị lấy.
Theo TechCrunch, kết quả phân tích ban đầu của Railway cho thấy sự cố chỉ ảnh hưởng đến một nhóm người dùng. Do chưa thể loại trừ phạm vi rò rỉ rộng hơn, Railway áp dụng khuyến cáo thay khóa cho tất cả tài khoản.
Tin tặc có thể đã lấy được nội dung từ biến môi trường
Railway cho biết tin tặc chưa rõ danh tính có thể đã truy cập các biến môi trường được mã hóa. Chúng có thể đã lấy được nội dung đã giải mã của một số biến. Những biến này có thể chứa mật khẩu và khóa giao diện lập trình ứng dụng. Chúng cũng lưu thông tin để phần mềm kết nối với các dịch vụ khác.
Trong thông báo công bố hôm thứ Tư, ngày 21/10/2026, Railway xác nhận khả năng một số biến môi trường đã bị truy cập. Khóa lưu trong các biến này có thể mở đường vào cơ sở dữ liệu và kho lưu trữ đám mây. Kẻ tấn công cũng có thể dùng chúng để truy cập dịch vụ bên ngoài với quyền của tài khoản hợp pháp.
Railway chưa công bố số người dùng cụ thể bị ảnh hưởng và chưa xác định nguyên nhân gốc của sự cố. Công ty cũng chưa trả lời ngay các câu hỏi của TechCrunch về cách cuộc tấn công diễn ra, thông điệp từ phía tin tặc hoặc khả năng có yêu cầu tiền chuộc.
Railway tạm dừng hoạt động triển khai của khách hàng
Railway đã tạm dừng hoạt động triển khai của khách hàng trong thời gian điều tra. Các trang web và ứng dụng đang chạy trên nền tảng vẫn bị đóng băng ở phiên bản hiện tại và không thể nhận bản triển khai mới cho đến khi hạn chế được gỡ bỏ.
Railway chưa cho biết hệ thống nào đã bị xâm nhập hoặc tin tặc đã thực hiện cuộc tấn công bằng cách nào. Công ty nhận định sự cố có thể thuộc một chiến dịch rộng hơn nhằm xâm phạm các nhà cung cấp hạ tầng suy luận trí tuệ nhân tạo.
Kiểu tấn công được mô tả sử dụng lời nhắc độc hại để khiến hệ thống trí tuệ nhân tạo tiết lộ dữ liệu nhạy cảm ngoài các rào chắn bảo vệ. Nguy cơ này liên quan trực tiếp đến cách hệ thống phân quyền dữ liệu và mô hình trí tuệ nhân tạo.
Sự cố xảy ra giữa nhiều cảnh báo an ninh
Vụ tấn công Railway xuất hiện cùng lúc với các cảnh báo về chiến dịch nhắm vào doanh nghiệp. Các nhà cung cấp trí tuệ nhân tạo cũng là mục tiêu. Một sự cố tương tự tại OpenCode đã làm lộ khóa giao diện lập trình ứng dụng của hơn 1% khách hàng. Các bí mật khác cũng bị lộ, theo thông tin OpenCode cung cấp cho TechCrunch.
Trước đó, Cơ quan An ninh mạng và Hạ tầng Hoa Kỳ cảnh báo về các cuộc tấn công quy mô lớn vào doanh nghiệp Mỹ. Cơ quan này cho biết các công ty trí tuệ nhân tạo có trụ sở tại Trung Quốc tiến hành hoạt động đó nhằm cải thiện mô hình của họ.
Đầu tuần đó, công cụ lập trình trí tuệ nhân tạo mã nguồn mở OpenCode thông báo khóa bí mật của khách hàng đã bị xâm phạm trong một vụ tấn công tương tự. OpenCode quy vụ việc cho một cuộc tấn công chưng cất trí tuệ nhân tạo, trong đó nhiều tác tử cùng tìm cách trích xuất thông tin nhạy cảm từ mô hình.
Rủi ro này đặt ra yêu cầu giới hạn quyền truy cập của tác tử, cũng là trọng tâm trong cuộc thảo luận về việc trí tuệ nhân tạo nên được trao bao nhiêu quyền.
Vụ tấn công Railway dường như không liên quan đến PHP2Shell
Theo TechCrunch, vụ tấn công Railway dường như tách biệt với hai lỗ hổng nghiêm trọng của PHP. Các lỗ hổng này được công bố trong cùng tuần. Doanh nghiệp và cơ quan chính phủ tại nhiều nơi phải tạm gỡ trang web để sửa lỗi. Mục đích của việc tạm gỡ trang web là sửa lỗi trước khi tin tặc có thể khai thác chúng.
TechCrunch cho biết PHP được sử dụng trong khoảng 70% trang web và hệ thống kết nối internet công khai. Bản vá cho lỗi mang tên PHP2Shell được phát hành vào thứ Tư sau một nỗ lực phối hợp toàn cầu, giúp các tổ chức có thời gian sửa hệ thống.
Các nhà nghiên cứu bảo mật của Amazon cho biết họ tìm thấy dấu hiệu khai thác từ bốn ngày trước khi bản vá được phát hành. Phát hiện này cho thấy các lỗ hổng đã được sử dụng trong những cuộc tấn công thực tế.
Người dùng Railway cần làm gì?
Người dùng Railway cần thu hồi toàn bộ khóa giao diện lập trình ứng dụng và khóa dịch vụ đám mây. Họ phải tạo khóa mới theo yêu cầu của công ty. Biện pháp này áp dụng cho mọi tài khoản, không chỉ những tài khoản hiện được cho là chịu ảnh hưởng.
Việc thay toàn bộ khóa nhằm hạn chế khả năng những thông tin đã bị lấy có thể tiếp tục được dùng để truy cập cơ sở dữ liệu, kho lưu trữ đám mây hoặc các dịch vụ kết nối với ứng dụng. Railway chưa công bố số người dùng bị ảnh hưởng hoặc thời điểm hoàn tất điều tra.
Hãy tiếp tục theo dõi Sine để cập nhật diễn biến của vụ tấn công và các cảnh báo bảo mật liên quan đến nền tảng phát triển.
