Railway 암호화 환경변수 접근과 AI 키 유출 우려

암호화해 둔 키도 새 나갈 수 있다.

10월 21일(미국 시간), 앱 배포 플랫폼 Railway가 보안 사고를 알렸다. 외부인이 고객의 암호화된 환경변수에 접근해 일부 값을 복호화했을 수 있다고 한다. API 키와 데이터베이스 비밀번호 같은 값이다.

피해 고객 수와 침입 경로는 아직 공개되지 않았다.

Railway는 모든 사용자에게 저장된 키를 빠짐없이 교체·폐기하고 로그를 확인하라고 권고했다. 10월 22일 오전 기준, 새 배포는 멈춘 채 복구 중이다.

Railway는 이번 일을 AI 추론 업체를 노리고 플랫폼 회사들을 잇달아 공격하는 흐름의 하나로 보고 있다. 올해 Vercel과 OpenCode에서도 고객 키가 노출될 수 있는 사고가 있었지만, 같은 공격자인지는 확인되지 않았다.

AI 키가 표적이 되는 이유는 분명하다. 훔친 키로 AI를 쓰면 요금은 키 주인에게 청구되기 때문이다. METR에서는 도난당한 키 하나로 3주 동안 약 60만 달러어치 크레딧이 쓰였다(모델 개발사가 제공한 크레딧).

개발팀이라면 지금 점검한다.

• 키 즉시 폐기·재발급
• 서비스·환경마다 키 분리
• 사용량·결제 알림과 한도 설정
• 단기 자격증명으로 전환

10월 22일 기준, 암호화폐 지갑 개인키 유출은 확인되지 않았다.

출처: Railway 보안 공지·상태 페이지, Vercel 보안 공지, The Hacker News, METR, FortiGuard Labs

이미지: AI 생성