Railway bị tấn công mạng, khuyến cáo toàn bộ người dùng thu hồi khóa bí mật

Nền tảng phát triển ứng dụng Railway vừa xác nhận một vụ tấn công mạng đã cho phép tin tặc truy cập vào một số bí mật của khách hàng. Công ty đang kêu gọi toàn bộ người dùng thu hồi và xoay vòng khóa API cũng như khóa cloud, trong bối cảnh lo ngại về một đợt xâm nhập dữ liệu khách hàng trên diện rộng.

Tin tặc có thể đã đọc được dữ liệu đã mã hóa

Theo bài đăng trên blog của Railway, những kẻ tấn công chưa được xác định danh tính "có thể đã truy cập vào các biến môi trường được mã hóa và, với một số trường hợp, đã lấy được nội dung đã giải mã".

Các biến môi trường này thường là danh sách mật khẩu và khóa API mà ứng dụng của lập trình viên dùng để truy cập các dịch vụ khác, chẳng hạn như lưu trữ dữ liệu trên cloud và cơ sở dữ liệu. Với những bí mật này trong tay, kẻ tấn công có thể đăng nhập và truy cập dữ liệu như thể chính là chủ sở hữu hợp pháp.

Railway cho biết phân tích ban đầu cho thấy vụ xâm nhập chỉ giới hạn ở "một nhóm người dùng", nhưng vẫn khuyến cáo "tất cả người dùng" nên thu hồi và xoay vòng toàn bộ khóa để tin tặc không thể lạm dụng.

Tạm dừng triển khai để điều tra

Công ty cũng cho biết đã tạm dừng việc triển khai của khách hàng trong thời gian điều tra, đồng nghĩa với việc website và ứng dụng của người dùng bị đóng băng tạm thời.

Railway không nêu rõ số lượng người dùng cụ thể bị ảnh hưởng, cũng không công bố nguyên nhân gốc rễ của sự cố. Công ty chưa phản hồi ngay yêu cầu bình luận về vụ việc, cũng như về việc liệu đã nhận được liên hệ nào từ phía tin tặc hay chưa, chẳng hạn như yêu cầu đòi tiền chuộc.

Hiện vẫn chưa rõ cách thức vụ tấn công diễn ra hay hệ thống nào của Railway bị xâm phạm. Công ty nhận định đây có thể là một phần của chiến dịch tấn công rộng hơn nhắm vào các nền tảng "với mục tiêu xâm phạm các nhà cung cấp dịch vụ suy luận AI".

Bối cảnh tấn công nhắm vào hệ thống AI

Kiểu tấn công này liên quan đến việc lừa các hệ thống AI làm rò rỉ dữ liệu nhạy cảm thông qua những câu lệnh độc hại vượt qua các rào chắn bảo vệ.

Vụ việc diễn ra không lâu sau khi cơ quan an ninh mạng Mỹ CISA cảnh báo rằng các công ty AI có trụ sở tại Trung Quốc đang tiến hành các cuộc tấn công quy mô lớn nhắm vào doanh nghiệp Mỹ, với mục đích cải thiện mô hình của chính họ.

Đầu tuần này, công cụ lập trình AI mã nguồn mở OpenCode cũng cho biết bí mật của khách hàng đã bị xâm phạm trong một vụ tấn công tương tự, khi tin tặc lấy được hơn 1% khóa API cùng các bí mật khác của người dùng. OpenCode quy sự cố này cho một cuộc tấn công "chưng cất AI" (AI distillation), trong đó một lượng lớn tác nhân tự động tìm cách trích xuất thông tin nhạy cảm từ các mô hình AI.

Chưa có dấu hiệu liên quan đến lỗ hổng PHP

Vụ tấn công Railway dường như tách biệt với hai lỗ hổng bảo mật nghiêm trọng vừa được công bố công khai trong ngôn ngữ lập trình web PHP tuần này. Hai lỗ hổng này đã khiến nhiều doanh nghiệp và chính phủ trên khắp thế giới phải gỡ website xuống để vá trước khi tin tặc khai thác.

PHP được sử dụng trên khoảng 70% website và hệ thống internet công cộng. Các bản vá cho lỗi có tên "PHP2Shell" được phát hành công khai vào thứ Tư, sau một nỗ lực phối hợp toàn cầu nhằm giúp các tổ chức lớn khắc phục hệ thống trước nguy cơ bị tấn công.

Các nhà nghiên cứu bảo mật tại Amazon cho biết họ đã tìm thấy bằng chứng về việc khai thác lỗ hổng bốn ngày trước khi bản vá được phát hành, cho thấy những lỗi này đang được sử dụng trong các cuộc tấn công thực tế.

Người dùng Việt Nam cần lưu ý gì?

Với các lập trình viên và doanh nghiệp Việt Nam đang sử dụng Railway hoặc các nền tảng cloud tương tự, đây là lời nhắc nhở về tầm quan trọng của việc quản lý bí mật an toàn:

• Xoay vòng khóa định kỳ: Thay đổi API key và mật khẩu thường xuyên, đặc biệt sau các sự cố bảo mật.
• Phân quyền tối thiểu: Chỉ cấp cho mỗi khóa quyền truy cập cần thiết, tránh dùng một khóa "vạn năng".
• Giám sát bất thường: Theo dõi log truy cập để phát hiện hành vi đáng ngờ sớm.
• Sao lưu và phương án dự phòng: Chuẩn bị kịch bản khi dịch vụ bị gián đoạn do sự cố bảo mật.

Sự cố tại Railway cho thấy ngay cả các nền tảng phát triển hiện đại cũng không miễn nhiễm trước tấn công mạng, và việc chủ động bảo vệ bí mật là trách nhiệm không thể xem nhẹ.