Angreifer, die den Cloud-Hosting-Anbieter Railway kompromittierten, nutzten gestohlene API-Schlüssel von Kunden, um unautorisierte KI-Gebühren in Höhe von etwa 740.000 US-Dollar zu verursachen, wie das Unternehmen in einem am 10. November veröffentlichten Incident-Bericht mitteilte. Railway zufolge wird das Unternehmen betroffenen Kunden die Kosten erstatten, wenn KI-Anbieter die Rückerstattung der betrügerischen Nutzung ablehnen.
Der Angriff ereignete sich am 20. und 21. Oktober und umfasste mehrere Schwachstellen in der Infrastruktur, durch die die Eindringlinge auf verschlüsselte Kundengeheimnisse zugreifen und die zum Entschlüsseln einiger dieser Geheimnisse erforderlichen Zugangsdaten erlangen konnten. Railway schätzt, dass Umgebungsvariablen in bis zu 100.000 Arbeitsbereichen offengelegt worden sein könnten.
Die Untersuchung des Unternehmens ergab, dass die Angreifer gezielt Zugangsdaten von KI-Anbietern priorisierten, die Railway zufolge zum Weiterverkauf oder zur Nutzung bei der Destillation von KI-Modellen bestimmt waren. Das mutmaßliche Vertriebsnetz und die Identitäten der Verantwortlichen sind weiterhin unbestätigt.
Angreifer nutzten mehrere Schwachstellen aus, um Kundengeheimnisse zu erreichen
Laut dem Incident-Bericht von Railway begann der Eindringversuch am 20. Oktober um 7:28 Uhr UTC, als die Angreifer eine unbekannte Schwachstelle in der Build-Infrastruktur des Unternehmens ausnutzten.
Die Schwachstelle ermöglichte ein teilweises Entkommen aus der Dateisystemisolierung und legte eine interne Zugangsdaten offen, die von den Build-Diensten von Railway verwendet wurde.
Anschließend nutzten die Angreifer diese Zugangsdaten, um gespeicherte Build-Historien und eine Kopie des internen Quellcodes von Railway abzurufen. Sie untersuchten den Code auf weitere Zugangsmöglichkeiten und entdeckten eine fehlerhaft konfigurierte OpenID-Connect-(OIDC-)Vertrauensbeziehung.
Bis zum 21. Oktober hatten die Angreifer temporäre Cloud-Zugangsdaten erlangt, waren in die interne Infrastruktur vorgedrungen und auf eine Zugangsdaten zugegriffen, mit der sich die Umgebungsvariablen der Kunden entschlüsseln ließen.
Die Datenbankprotokolle von Railway zeigen, dass die Angreifer gezielt nach Schlüsseln von KI-Anbietern suchten. Weitere Abfragen richteten sich auf Zugangsdaten für Cloud-, Datenbank- und Zahlungsdienste.
Das Unternehmen erkannte am 20. Oktober um 13:58 Uhr UTC verdächtige Aktivitäten und entfernte die Angreifer bis zum folgenden Tag um 9:24 Uhr UTC vollständig.
Railway zufolge hat das Unternehmen die ausgenutzten Schwachstellen behoben und Builds auf dedizierte, kurzlebige virtuelle Maschinen mit strengeren Zugriffskontrollen verlagert.
Wie viele Kunden waren betroffen?
Railway bestätigte mehrere klar voneinander abgrenzbare Kategorien der Offenlegung:
- Bis zu 100.000 Arbeitsbereiche: Umgebungsvariablen aus höchstens 1,85 % der Arbeitsbereiche hätten entschlüsselt werden können. Dies stellt eine maximal mögliche Offenlegung dar, nicht eine bestätigte Zahl von Opfern.
- 1.852 Nutzer: Token verknüpfter Konten, darunter GitHub-OAuth-Token und Zugangsdaten von KI-Agenten mit eigenen Schlüsseln, wurden nachweislich entschlüsselt. Railway setzte die Token zurück und benachrichtigte die betroffenen Nutzer.
- 353 Build-Historien: Die Angreifer griffen auf gespeicherte Build-Historien mit buildbezogenen Informationen und Geheimnissen zu.
- $740,000: Die von Railway geschätzte betrügerische KI-Nutzung im Zusammenhang mit kompromittierten Zugangsdaten.
Railway fand keine Hinweise darauf, dass Git-Repositories von Kunden heruntergeladen oder Kundendatenbanken aufgerufen wurden. Ebenso stellte das Unternehmen keine Anmeldungen bei Railway-Konten mit während des Vorfalls gestohlenen Zugangsdaten fest.
Der Vorfall ähnelt anderen Angriffen auf Entwicklerplattformen. Im Oktober legte ein Zeabur-Breach Millionen Datensätze mit Umgebungsvariablen offen und weckte ähnliche Bedenken hinsichtlich in gehosteten Entwicklungsinfrastrukturen gespeicherter Geheimnisse.
Gestohlene KI-Zugangsdaten verursachten unautorisierte Nutzung
Railway geht davon aus, dass die Angreifer es auf KI-Schlüssel abgesehen hatten, um über Dienste, die den Zugang zu kommerziellen Modellen vermitteln oder weiterverkaufen, an diese zu verteilen.
Diese Aktivität wird häufig als LLMjacking bezeichnet: Dabei werden gestohlene API-Zugangsdaten verwendet, um kostenpflichtige KI-Dienste ohne die Zustimmung des Kontoinhabers zu nutzen.
Die Untersuchung von Railway identifizierte unautorisierte Anfragen im Zusammenhang mit Coding-Agenten und Workloads für das KI-Training. Das Unternehmen vermutet, dass einige Zugangsdaten für die Modelldestillation verwendet wurden, bei der die Ausgaben eines Modells zum Training eines anderen beitragen.
Railway hat jedoch weder die Betreiber der mutmaßlichen Vertriebsdienste identifiziert noch bestätigt, dass die ursprünglichen Angreifer diese kontrollierten.
Ähnliche Risiken durch den Diebstahl von Zugangsdaten traten beim LiteLLM-Supply-Chain-Angriff auf, bei dem bösartige Pakete zum Diebstahl von Token und sensiblen Infrastrukturdaten eingesetzt wurden.
Railway ändert seine Haltung zur Erstattung
Railway teilte betroffenen Kunden am 26. Oktober zunächst mit, dass das Unternehmen Gebühren, die über kompromittierte API-Schlüssel verursacht wurden, nicht erstatten könne.
Der Bericht vom 10. November enthielt eine anderslautende Zusage: Das Unternehmen wird Rückerstattungen mit den KI-Anbietern koordinieren und Verluste im Zusammenhang mit Token übernehmen, wenn die Anbieter eine Erstattung ablehnen.
Zu den vom Unternehmen gemeldeten Vereinbarungen gehören:
- AWS Bedrock und Google Gemini: Rückerstattungen wurden im Rahmen bestehender Betrugsrichtlinien eingeleitet.
- OpenAI: Kunden müssen Supportfälle eröffnen und Railway die Fall-IDs zur koordinierten Prüfung mitteilen.
- Anthropic: Railway übernimmt die betroffenen Gebühren, während die Gespräche mit dem Anbieter weiterlaufen.
- OpenRouter: Railway übernimmt die Verluste, da der Anbieter an seiner Richtlinie festhält, keine Rückerstattungen zu gewähren.
- SpaceXSI: Ansprüche werden im Rahmen des koordinierten Supports individuell geprüft.
Railway hat Kunden aufgefordert, unautorisierte Gebühren zu melden. Aus der Ankündigung geht nicht hervor, dass alle betroffenen Kunden eine Erstattung erhalten haben.
Was Sicherheitsteams nach dem Railway-Breach tun sollten
Railway rät Kunden, sensible Zugangsdaten, die vor dem 21. Oktober auf der Plattform gespeichert wurden, zu widerrufen und zu ersetzen, selbst wenn keine verdächtigen Aktivitäten festgestellt wurden.
Zu den empfohlenen Maßnahmen gehören:
- Offengelegte Zugangsdaten rotieren. Potenziell kompromittierte API-Schlüssel über den ausstellenden Anbieter widerrufen und in abhängigen Anwendungen ersetzen.
- Nutzung und Abrechnung überprüfen. Protokolle der KI-Anbieter auf unerwartete Anfragen, unbekannte Workloads und unautorisierte Gebühren prüfen.
- Verbundene Konten überprüfen. Zugriffsprotokolle von GitHub, Cloud-Diensten, Container-Registries und Datenbanken auf verdächtige Aktivitäten prüfen.
- Berechtigungen beschränken. Wo möglich, Zugangsdaten mit eng begrenztem Geltungsbereich verwenden und für unterschiedliche Workloads separate Schlüssel einsetzen.
- Nutzungskontrollen konfigurieren. API-Kontingente, Ausgabenlimits und Warnmeldungen bei Anomalien aktivieren, sofern die Anbieter diese Funktionen anbieten.
- Betrügerische Gebühren melden. Abrechnungsnachweise sichern und Ansprüche über Railway sowie den betroffenen KI-Anbieter einreichen.
Sicherheitsteams sollten außerdem überprüfen, dass alte Schlüssel widerrufen wurden und nicht lediglich aus der Anwendungskonfiguration gelöscht sind.
Untersuchungen zu KI-gestütztem Diebstahl von Zugangsdaten haben dokumentiert, dass Angreifer automatisierte Tools einsetzen, um offengelegte Zugangsdaten in Cloud- und KI-Diensten zu entdecken und zu validieren.
Railway zufolge hat das Unternehmen die Speicherung von Geheimnissen verbessert, Entschlüsselungsberechtigungen eingeschränkt und eine zentrale Protokollierung für Verschlüsselungs- und Entschlüsselungsvorgänge eingeführt.
Das Unternehmen hat den Vorfall außerdem dem Internet Crime Complaint Center des FBI gemeldet und arbeitet weiterhin mit externen Forensikern zusammen.
Die Untersuchung hat weder die Identität des Angreifers noch das endgültige Ziel der gestohlenen Zugangsdaten ermittelt. Railway plant, nach Genehmigung durch die Strafverfolgungsbehörden weitere Indicators of Compromise öffentlich zu machen.
Für betroffene Organisationen bleiben die Rotation von Zugangsdaten und Prüfungen der Abrechnung auf Anbieterseite auch nach der Behebung der Infrastruktur bei Railway erforderlich. Gestohlene API-Schlüssel können weiterhin externe Dienste autorisieren, bis diese Zugangsdaten ungültig gemacht werden.
Ein zweiter Fireworks-AI-Breach legte Chatprotokolle von Notion AI offen, wodurch sich die Folgen einer kompromittierten Cloud-Infrastruktur auf nachgelagerte Kunden ausweiteten.