Railway meldete einen Angriff auf Systeme, in denen Umgebungsvariablen von Kunden gespeichert sind. Nach bisheriger Prüfung könnten Unbefugte verschlüsselte Werte gesehen und bei einigen auch den Klartext erhalten haben. Solche Variablen enthalten häufig API-Schlüssel, Datenbankpasswörter und Zugangsdaten für Registries. Das Unternehmen vermutet, dass nur ein Teil der Kunden betroffen ist, empfiehlt aber allen, gespeicherte Geheimnisse zu widerrufen und neu auszustellen. Neue Deployments wurden während der Untersuchung ausgesetzt.
Zunächst sollten Betreiber alle über Railway verwendeten Zugangsdaten erfassen. Danach müssen sie die alten Schlüssel beim jeweiligen Dienst sperren, neue erzeugen und die Projektkonfiguration aktualisieren. Protokolle von Cloud-Diensten und Datenbanken können Hinweise auf ungewöhnliche Zugriffe liefern. Ein Schlüsselwechsel verhindert spätere Nutzung, beweist aber nicht, dass vorher nichts geschehen ist. Auch anderswo wiederverwendete Daten müssen ersetzt werden. Railway nennt bislang weder eine genaue Zahl Betroffener noch eine gesicherte Ursache. Eine Behauptung, alle Kunden seien bestohlen worden, wäre deshalb falsch. Die Warnung gilt dennoch für alle Kunden; auf eine persönliche Nachricht zu warten, kann zu spät sein.