Railway xác nhận dữ liệu API key bị đánh cắp, gây thiệt hại 740.000 USD

Railway, nền tảng Platform-as-a-Service (PaaS) chuyên hỗ trợ triển khai ứng dụng, vừa xác nhận một vụ vi phạm dữ liệu nghiêm trọng xảy ra vào tháng 10 vừa qua. Kẻ tấn công đã truy cập và giải mã các biến môi trường (environment variables), bao gồm các khóa API của các nhà cung cấp AI, dẫn đến khoản phí sử dụng trái phép ước tính khoảng 740.000 USD.

Chi tiết vụ tấn công

Theo báo cáo từ Railway, kẻ tấn công đã khai thác một lỗ hổng chưa từng được biết đến trong hệ thống build để thoát khỏi cơ chế cô lập filesystem, từ đó đọc được các tệp tin trên máy ảo host. Bằng cách chiếm đoạt các credential dùng cho build server, kẻ tấn công đã truy cập vào hệ thống nội bộ, đọc lịch sử build và sao chép mã nguồn nội bộ (monorepo) của công ty. Từ đó, chúng tìm thấy một cấu hình OIDC bị sai sót trong môi trường cloud, cho phép leo thang đặc quyền để truy cập vào dữ liệu khách hàng.

Ước tính có khoảng 100.000 workspace bị ảnh hưởng. Ngoài các khóa API AI, dữ liệu bị lộ còn bao gồm token liên kết tài khoản, GitHub OAuth và các credential liên quan đến database, cloud.

Hướng xử lý và hoàn tiền

Railway cam kết sẽ tự chi trả các khoản phí phát sinh nếu các nhà cung cấp dịch vụ AI từ chối hoàn tiền cho khách hàng. Chính sách hoàn tiền hiện tại tùy thuộc vào từng đơn vị:

• AWS Bedrock & Google Gemini: Đã bắt đầu quy trình hoàn tiền theo chính sách gian lận hiện có.
• OpenAI & SpaceXSI: Xét duyệt theo từng trường hợp cụ thể.
• Anthropic & OpenRouter: Railway sẽ trực tiếp chi trả các chi phí phát sinh từ các khóa bị lộ.

Khuyến nghị dành cho người dùng

Railway yêu cầu khách hàng thực hiện ngay các biện pháp bảo mật sau:

• Thu hồi và thay thế: Tất cả các biến nhạy cảm (secrets) đã lưu trữ trên nền tảng trước ngày 21/10 phải được thay thế ngay lập tức. Việc báo cáo gian lận không đồng nghĩa với việc khóa API tự động bị vô hiệu hóa, người dùng cần chủ động thực hiện trên trang quản trị của nhà cung cấp dịch vụ.
• Kiểm tra hệ thống: Rà soát lại GitHub audit logs, các ứng dụng có quyền truy cập tài khoản và các registry như Docker Hub.
• Tăng cường bảo mật: Hạn chế quyền truy cập mạng công cộng vào các database.

Hiện tại, Railway đã vô hiệu hóa các credential bị xâm nhập và thông báo cho những người dùng nằm trong nhóm rủi ro cao. Công ty cũng đang phối hợp chặt chẽ với các nhà cung cấp dịch vụ để xử lý hậu quả.

Nguồn tham khảo: The Hacker News