Railway、環境変数の不正アクセスを公表―APIキーなどの変更を要請

アプリの開発・運用基盤を提供するRailwayは2026年10月21日、顧客の環境変数を保存するシステムで不審な活動を検知したと公表しました。第三者が暗号化された変数へアクセスし、一部の内容を復号した可能性があるとしています。

環境変数にはAPIキーやデータベース、コンテナ配布用レジストリの認証情報が含まれる場合があります。同社は影響が一部利用者に限られる可能性を示す一方、予防的に全利用者へ保存した秘密情報の変更と、接続先サービスの不審な利用記録の確認を求めています。対象アカウントや侵入経路の全容は未公表です。

同社は22日にRailway APIトークンを失効させました。ただし、これは顧客が保存した外部サービスのAPIキーをすべて変更したという意味ではありません。利用者は発行元でキーを失効・再発行し、アプリ側の設定にも反映する必要があります。

調査に伴って停止していたビルド・デプロイは、日本時間23日7時49分の状況更新で全プランが概ね通常速度に戻ったと案内されました。新規登録は引き続き一時停止中です。利用するプランの復旧状況と、認証情報の変更手順は公式の障害情報・案内で確認できます。