Hackeři pronikli do infrastruktury společnosti Railway, na které zákazníci sestavují své aplikace. Ukradené přístupové údaje pak použili k čerpání placených služeb umělé inteligence. Neoprávněné využití dosáhlo 740 000 dolarů a útok mohl zasáhnout až 100 000 pracovních prostorů zákazníků.
Útok začal 20. října zneužitím dosud neznámé chyby v infrastruktuře pro sestavování aplikací. Útočníci získali přístup k historii sestavení, internímu zdrojovému kódu a následně také ke klíčům pro dešifrování zákaznických údajů.
Mezi odcizenými údaji byly především přístupové klíče k placeným službám umělé inteligence. Takový klíč umožňuje programu používat službu bez ručního přihlášení, přičemž náklady platí vlastník klíče. Útočníci hledali také přístupy ke cloudovým službám, databázím a platebním službám.
Společnost Railway bojovala s útočníky téměř 26 hodin a přístup jim zablokovala 21. října. Připustila, že útočníci mohli dešifrovat část zákaznických proměnných, ve kterých aplikace uchovávají hesla a přístupové klíče. Dešifrování se mohlo týkat nejvýše 1,85 procenta pracovních prostorů.
Incident zasáhl také přístupové tokeny propojených účtů více než 1 850 uživatelů. Token umožňuje aplikaci přistupovat k jiné službě jménem uživatele bez zadávání hesla. Mezi zasaženými byly také přístupy ke GitHubu.
Railway spolupracovala se společnostmi OpenAI, Anthropic, GitHub, GitLab a Stripe na zrušení potenciálně napadených klíčů. Zákazníkům doporučila vyměnit uložené přístupové klíče. Chce jim také uhradit neoprávněně vzniklé náklady, které neproplatí samotní poskytovatelé služeb.
Ukradený klíč může být podle šetření, které Railway cituje, otestován do 30 minut a naplno zneužit o několik dní později. U placených AI služeb proto samotné heslo nestačí. Další kontrolu poskytují limity útraty, upozornění na neobvyklou spotřebu, omezená oprávnění a záznamy o každém použití klíče. Prvním krokem je zjistit, kde firma tyto klíče ukládá a zda má pro jejich použití nastavené limity.
Při plánování bezpečnostních aktualizací nestačí vysoké skóre zranitelnosti. Přednost má oprava systému, který je vystaven útoku a jehož napadení ohrozí přístupy, data nebo provoz.
Během 30 dní lze určit odpovědnost za kyberbezpečnost, prověřit účty, obnovu záloh i postup pro první hodinu incidentu.
Kdo drží obnovovací slova, může s bitcoinem nakládat, zatímco logo banky v aplikaci z něj bankovní vklad neudělá a pojištění vkladů se na něj nevztahuje.
Napište nám, co u vás řešíte. Společně probereme, jestli vám můžeme pomoci.
