Railway a révélé une attaque contre les systèmes qui conservent les variables d'environnement de ses clients. Son enquête préliminaire indique qu'un tiers a pu accéder à des valeurs chiffrées et, dans certains cas, à leur contenu en clair. Ces variables contiennent souvent des clés API, des mots de passe de bases de données et des identifiants de registres. Railway pense que seule une partie des clients est touchée, mais recommande à tous de révoquer et de remplacer les secrets conservés sur la plateforme. Les nouveaux déploiements ont été suspendus pendant l'enquête.
La première étape consiste à dresser la liste des identifiants passés par Railway. Il faut ensuite invalider chaque ancien secret auprès du service concerné, créer son remplaçant et mettre à jour le projet. Les journaux des services cloud et des bases de données doivent être examinés: un changement de clé bloque un usage futur, sans dire si un intrus s'en est servi auparavant. Les clés réutilisées ailleurs doivent également être changées. Railway ne donne ni nombre définitif de victimes ni cause confirmée. Affirmer que tous les clients ont subi une fuite serait donc abusif. Attendre un message individuel serait également imprudent, puisque la consigne de précaution s'adresse explicitement à tous.