Railway saldırı sonrası tüm anahtarların yenilenmesini istedi

Bulut üzerinde uygulama ve servis geliştirmeye imkân tanıyan Railway, bazı müşterilere ait gizli bilgilerin siber saldırganların eline geçmiş olabileceğini doğruladı. Şirketin ilk değerlendirmesine göre olay sınırlı sayıda kullanıcıyı etkilemiş olabilir. Ancak hangi hesapların ve anahtarların risk altında olduğu kesinleşmediği için Railway, tüm müşterilerinden API ve bulut anahtarlarını yenilemelerini istedi.

Şirketin aktardığı bilgilere göre saldırganlar şifrelenmiş ortam değişkenlerine erişmiş, bu değişkenlerden bazılarının çözülmüş içeriklerini de elde etmiş olabilir. Ortam değişkenleri; uygulamaların veritabanları, bulut hizmetleri veya başka araçlarla bağlantı kurarken kullandığı parolaları ve API anahtarlarını içerebiliyor. Bu bilgiler kötü niyetli kişilerin eline geçtiğinde, ilgili hizmetlere kullanıcı yetkileriyle erişim denemeleri yapılabilir.

Dağıtımlar inceleme süresince durduruldu

Railway, saldırıyı araştırırken platformdaki uygulama dağıtımlarını geçici olarak askıya aldı. Dolayısıyla şirketlerin Railway üzerinden yayımladığı siteler ve uygulamalar için yeni dağıtımlar bu süreçte yapılamayabilir. Şirket, inceleme sürerken bu adımı neden gerekli gördüğüne ilişkin daha ayrıntılı teknik bilgi paylaşmadı.

Olaydan kaç müşterinin etkilendiği, saldırganların hangi sistemlere eriştiği ve güvenlik ihlalinin nasıl başladığı henüz açıklanmadı. Railway’in ilk değerlendirmesi, etki alanının sınırlı olabileceğine işaret ediyor; buna karşın şirketin önlem çağrısını tüm kullanıcılara yöneltmesi, kapsamın henüz doğrulanmadığını gösteriyor. Ele geçirilmiş olabilecek bir anahtarın kullanılabilir durumda kalması, ilgili hesaba veya bağlantılı hizmetlere yetkisiz erişim riski yaratabilir.

Kullanıcıların eski anahtarları iptal edip yenilerini oluşturması, bu bilgilerle yapılabilecek erişim girişimlerini engellemeyi amaçlıyor. Yeni anahtarların yalnızca Railway panelinde oluşturulması yeterli olmayabilir: Uygulamaların yapılandırmalarında ve bağlı bulut hizmetlerinde de eski bilgiler kullanılıyorsa bunların güncellenmesi gerekir. Şirketin açıklamasında, ele geçirildiği doğrulanan anahtarların sayısı veya hangi müşterilere ait oldukları konusunda ayrıntı yer almıyor.

Yapay zekâ hizmetlerini hedef alan kampanya ihtimali

Railway, saldırının yapay zekâ çıkarım hizmetleri sunan platformları hedef alan daha geniş bir kampanyayla bağlantılı olabileceğini değerlendirdi. Çıkarım hizmetleri, eğitilmiş yapay zekâ modellerinin gelen isteklere yanıt üretmesini sağlayan altyapıyı sunuyor. Bu tür sistemlere yönelik saldırılarda, kötü niyetli istemler kullanılarak modelden korumalarının dışında kalan hassas bilgilerin alınması amaçlanabiliyor.

Ancak Railway’in değerlendirmesi, saldırının yöntemi veya sorumluları hakkında kesinleşmiş bir açıklama değil. Şirket hangi sistemlerin ihlal edildiğini ve saldırganların müşteri verilerine ne ölçüde eriştiğini paylaşmadı. Olayla ilgili bir fidye talebi ya da saldırganlardan gelen başka bir iletişim olup olmadığı da şu an için net değil.

Railway’deki olay, açık kaynaklı yapay zekâ kodlama aracı OpenCode’un müşteri sırlarının benzer bir saldırıda ele geçirildiğini duyurmasının ardından gündeme geldi. OpenCode, müşterilerinin yüzde 1’inden fazlasına ait API anahtarları ve diğer gizli bilgilerin çalındığını bildirmişti. Şirket saldırıyı, yapay zekâ modellerinden bilgi çıkarmaya yönelik bir girişim olarak nitelendirmişti. Bununla birlikte, iki olayın aynı saldırı zincirinin parçası olduğunu doğrulayan bir bilgi bulunmuyor.

PHP güvenlik açıklarıyla bağlantı kurulmuyor

Railway ihlali, aynı hafta kamuoyuna duyurulan PHP güvenlik açıklarından ayrı değerlendiriliyor. PHP’deki kritik sorunlar için yamalar yayımlandı ve kurumlar sistemlerini güncellemeye başladı. Güvenlik araştırmacıları, bazı açıkların yamalar yayımlanmadan önce istismar edildiğine dair bulgular paylaştı.

Mevcut açıklamalarda Railway saldırısını PHP açıklarıyla ilişkilendiren bir bulgu yok. Kullanıcıların bu nedenle Railway’in anahtar yenileme tavsiyesini uygulaması ve kendi sistemlerinde kullandıkları yazılım ve hizmetlerin güvenlik duyurularını ayrıca izlemesi gerekiyor. Railway’in soruşturması tamamlandıkça etkilenen hesapların kapsamı ve saldırının gerçekleşme biçimi hakkında daha fazla bilgi paylaşılması, kullanıcıların hangi ek önlemlere ihtiyaç duyduğunu anlamasına yardımcı olacak.