Railway、10月の不正アクセスを詳報　最大約10万ワークスペースで認証情報復号の恐れ

※記事を視覚化したイメージであり、実際の事象とは異なります。

2026.11.11

本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]

Railwayは2026年11月10日付の詳細報告で、10月の不正アクセスの侵入経路と顧客への影響を公表した。環境変数が復号された可能性のある範囲は最大1.85%、約10万ワークスペースで、盗まれたキーによる不正利用額は約74万ドルに達する見込みとしている。

影響範囲はログから算出した上限

環境変数は、サービスの認証情報などを保持するために使われる。Railwayによると、今回の影響範囲は環境単位のログから求めた上限であり、約10万ワークスペースすべてで被害が確定したわけではない。ログは変数単位ではないため、実際に取得・復号された個々の変数は特定できていない。

同社がデータベースへの検索を解析したところ、攻撃者はAI事業者のキーを優先して探していた。クラウド、データベース、決済サービスの認証情報に一致する検索もあった。不正利用額の約74万ドルは推計で、Railwayは事業者と返金を調整し、返金に応じない事業者の分は自社で補填すると説明している。

復号されたデータには、1,852ユーザーの連携アカウント用トークンも含まれていた。同社はこれらをすべてリセットし、対象者に通知した。一方、顧客データベースへのアクセスや顧客リポジトリのダウンロードを示す証拠は見つけておらず、取得されたトークンによるRailwayアカウントへのログインも確認していないという。

Railwayは利用者に対し、10月21日より前に保存された機密性の高い環境変数やAPIキーの失効・再発行と、関連サービスの利用ログの確認を推奨している。

ビルド基盤から内部認証へ広がった経路

侵入は10月20日07時28分（UTC）に始まった。Railwayによると、攻撃者はビルド基盤の未知の脆弱性を通じてファイルシステムの分離を部分的に突破し、ホスト上のファイルから内部認証情報を取得した。ビルド処理用の認証情報を内部のTemporalも信頼していたため、他のビルド履歴を参照でき、同日にはsealed variablesを含む353ビルド分の履歴が読み取られた。

攻撃者はRailway自身の内部モノレポのコピーも取得し、その後、OIDCの設定不備を利用して短期クラウド認証情報を取得した。環境変数は環境ごとの鍵で暗号化され、その鍵はKMSのルート鍵で保護されていたが、攻撃者は内部マシン上の認証情報を取得し、KMSを通じて一部を復号したと同社は説明している。

今回の報告は、予備報告で開示していなかった一連の経路を示し、復号開始時刻を10月21日04時42分（UTC）に修正した。攻撃者の排除は同日09時24分（UTC）で、09時25分以降に顧客データへのアクセスはなかったとしている。Railwayは新規ビルドを2度停止し、内部認証情報を更新した。全プランのビルドは10月22日22時49分（UTC）までに復旧した。

同社はビルドごとに専用の一時仮想マシンを使用する方式へ移行し、ビルド用認証情報の権限も制限した。調査に伴う追加情報の共有は続ける方針だ。初期侵入者が、その後のキーの中継・再販サービスを運営していたのか、別の者にキーを渡したのかは確定していない。