Railway, una plataforma de alojamiento en la nube orientada a desarrolladores, informó que atacantes aprovecharon una vulnerabilidad de día cero en su infraestructura de compilación para acceder a archivos internos y robar credenciales. La compañía afirma que el incidente derivó en aproximadamente 740.000 dólares en uso no autorizado de servicios de inteligencia artificial.
El ataque, que se extendió durante unas 26 horas, puso a prueba las defensas de Railway frente a intrusos que automatizaron sus intentos mientras los equipos de la empresa respondían y reforzaban sus sistemas.
## Cómo se produjo la intrusión
Railway permite crear, desplegar y ejecutar aplicaciones sin que los usuarios tengan que gestionar directamente buena parte de la infraestructura subyacente. Su entorno de compilación es multiusuario: varias compilaciones pueden ejecutarse en una misma máquina virtual, aunque deben permanecer aisladas entre sí.
Según el informe de la empresa, los atacantes utilizaron una vulnerabilidad desconocida hasta entonces para escapar parcialmente del aislamiento del sistema de archivos y leer archivos guardados en máquinas anfitrionas. Entre ellos había credenciales empleadas por los servidores de compilación para autenticarse en algunos sistemas internos.
Tras obtenerlas, los intrusos probaron distintas vías de acceso. Finalmente, consiguieron entrar en Temporal, el sistema interno de gestión de tareas de Railway. Allí encontraron una copia del código de la empresa y una configuración de autenticación defectuosa que les permitió obtener credenciales temporales para servicios en la nube.
Con ese acceso, alcanzaron otros sistemas internos y obtuvieron credenciales relacionadas con una base de datos de producción que contenía variables de entorno de clientes cifradas, además de información que podía servir para descifrarlas. Railway estima que las variables de entorno de hasta 100.000 espacios de trabajo pudieron quedar expuestas. La compañía aclara que se trata de un límite máximo estimado, no de una cifra confirmada de cuentas comprometidas.
## Claves de IA y cargos fraudulentos
Railway señala que los atacantes parecían estar especialmente interesados en las claves de API utilizadas por clientes para conectarse a servicios de inteligencia artificial. Estas claves permiten que las aplicaciones alojadas en la plataforma se comuniquen con modelos y herramientas de IA, pero también pueden generar cargos si caen en manos ajenas.
La empresa calcula que el uso no autorizado de servicios de IA ascendió a unos 740.000 dólares. Los cargos estarían vinculados a agentes de programación y procesos de entrenamiento de modelos. Railway considera posible que las claves robadas se revendieran, entre otros fines, para apoyar tareas de destilación de modelos: una técnica que utiliza las respuestas de un modelo grande para entrenar otro más pequeño.
El incidente comenzó el 20 de octubre, alrededor de las 07:28 UTC, y terminó el 21 de octubre a las 09:24 UTC. Durante ese periodo, los atacantes exploraron varias rutas de acceso en paralelo mientras los ingenieros de Railway trabajaban por turnos para bloquearlas. La compañía describió la respuesta como una carrera entre sistemas automatizados de ataque y defensa.
## Medidas adoptadas
Railway afirma que corrigió las vulnerabilidades explotadas, reconstruyó la infraestructura afectada y rotó las credenciales comprometidas. También trabaja con proveedores de IA para gestionar reembolsos por los cargos fraudulentos y se ha comprometido a cubrir las pérdidas que estos proveedores no reembolsen.
El incidente subraya los riesgos asociados a las credenciales almacenadas en plataformas de desarrollo y a los entornos multiusuario. Para las empresas, revisar periódicamente las claves de API, limitar sus permisos y establecer controles de gasto puede ayudar a reducir el impacto de una exposición.
from Latest from TechRadar https://ift.tt/HWV92Ln
via IFTTT IA
