[속보] Railway, 환경변수 무단 접근 정황 공개…모든 API 키 교체 권고

클라우드 배포 플랫폼 Railway가 고객 환경변수를 저장하는 시스템에서 비정상 활동을 탐지하고 전체 사용자에게 저장된 인증정보의 교체를 권고했다. 21일 공개한 공식 보안 공지에 따르면, 권한 없는 제3자가 암호화된 환경변수에 접근하고 일부는 복호화된 내용까지 확보했을 가능성이 있다.

환경변수에는 외부 서비스 API 키, 데이터베이스 접속정보, 비공개 컨테이너 레지스트리 인증정보 등 애플리케이션 운영에 필요한 비밀정보가 포함될 수 있다. Railway는 초기 분석에서 영향이 일부 사용자에게 국한될 수 있다고 봤지만, 조사가 끝나지 않은 만큼 모든 사용자에게 예방 조치를 권고했다. 피해 계정 수나 전체 노출 범위는 확정하지 않았다.

회사가 권고한 조치는 Railway에 저장한 API 키 등 모든 환경변수와 비공개 레지스트리 인증정보를 교체하고, 해당 서비스의 로그에서 비정상 활동을 점검하는 것이다. 환경변수에 들어 있던 비밀정보는 발급한 서비스에서 기존 인증정보를 폐기하고 새로 발급받는 조치가 필요한 대상이다.

다만 인증정보를 바꿔도 애플리케이션에 곧바로 반영하기는 어려운 상태다. 한국시간 22일 오전 8시 확인한 공식 상태 페이지에 따르면 신규 빌드와 배포는 여전히 중단돼 있다. Railway는 기업용 고객을 포함해 배포가 멈춰 있으며, 빌드가 복구돼야 새 인증정보를 사용하는 버전을 배포할 수 있다고 안내했다.

Railway는 보안 사고 대응의 일환으로 자체 스토리지 버킷 인증정보도 모두 교체하고 있다. 새 인증정보는 대시보드에 자동으로 표시된다. 한국시간 22일 오전 7시 45분에 올라온 상태 공지는 감사 로그나 활동 내역에서 회사 직원이 기존 스토리지 인증정보를 폐기한 기록이 보일 수 있으며, 이는 대응 과정에서 이뤄지는 정상 조치라고 설명했다.

영향을 받은 계정이 확인되면 해당 고객에게 이메일로 추가 내용을 알릴 예정이다. 회사는 조사 범위가 좁혀지는 대로 보안 공지와 상태 페이지를 갱신하겠다고 밝혔다. 현재 공개된 내용은 조사 중간 결과로, 전체 사용자의 비밀정보가 유출됐다고 확정한 발표는 아니다.

출처: Railway 공식 보안 공지 https://blog.railway.com/p/security-disclosure-wednesday-october-21st
Railway 공식 장애·대응 현황 https://status.railway.com/incident/QH8L8B3E