Si tienes una app, una API o una base de datos en Railway, hoy toca cambiar contraseñas. La plataforma avisó que un tercero sin permiso pudo leer las variables de entorno de algunos clientes, y pide a todos rotarlas por precaución.
Las variables de entorno son los datos secretos que tu app necesita para funcionar, como llaves de API o la contraseña de la base de datos. Por eso el aviso es serio aunque el alcance todavía se esté investigando.
¿Qué pasó?
Railway es un servicio de hosting en la nube muy usado para desplegar proyectos full stack sin administrar servidores. El 21 de octubre de 2026 publicó un aviso de seguridad firmado por Jacob Cooper: esa mañana detectaron actividad anómala en los sistemas que almacenan las variables de entorno de sus clientes.
Según la empresa, un tercero no autorizado pudo acceder a variables cifradas y, en algunos casos, obtener su contenido ya descifrado. Esas variables pueden incluir llaves de API, credenciales de bases de datos y credenciales de registros privados de contenedores.
Railway cree que el ataque forma parte de una serie de golpes recientes contra empresas de plataformas, con la meta de llegar a proveedores de inferencia de IA, es decir, a los servicios que ejecutan modelos de inteligencia artificial. Como respuesta, pausó todos los despliegues mientras investiga y pidió a esos proveedores revocar las llaves de forma preventiva.
BleepingComputer reportó el 22 de octubre que, según la página de estado de Railway, los builds de los planes Pro y Enterprise ya se habían restaurado, aunque con retrasos, y que los planes Hobby, Free y Trial seguían sin builds en ese momento.
¿Por qué te importa?
Con una sola llave filtrada, alguien puede gastar tu crédito de IA, leer tu base de datos o subir imágenes a tu registro privado. Y como no sabes si tu cuenta está entre las afectadas, la única opción segura es asumir que sí.
Railway dice que su análisis inicial apunta a un subconjunto de usuarios y que solo escribirá por correo a las cuentas que confirme como comprometidas. Aun así, recomienda que todos tomen medidas desde ya, sin esperar ese correo.
¿Qué puedes hacer?
- Haz una lista de todas las variables de entorno de tus proyectos en Railway y genera llaves nuevas en cada servicio de origen: proveedores de IA, bases de datos, pasarelas de pago y correo.
- Cambia también las credenciales de tus registros privados de contenedores.
- Después de rotar, revoca las llaves viejas para que dejen de funcionar aunque alguien ya las tenga.
- Revisa los registros de esos servicios en busca de accesos raros desde el 21 de octubre, como consumos de API que no reconozcas.
- Sigue el blog de Railway y status.railway.com para saber cuándo se reanudan los despliegues de tu plan.
Sigue leyendo
- OpenCode sufrió una brecha: rota tus llaves de OpenAI y Anthropic
- GhostAction regresa: falsas auditorías roban llaves en GitHub
Fuentes
- Railway (aviso oficial): Security Disclosure: Wednesday, October 21st
- BleepingComputer: Railway warns devs to rotate secrets after potential breach
Imagen de portada: foto de panumas nikhomkhai en Pexels.