요약
배포 플랫폼 레일웨이가 고객 환경 변수가 유출됐을 수 있다며 모든 비밀값을 바꾸라고 권고했습니다.
앱 배포 플랫폼 레일웨이가 10월 21일 블로그에 올린 보안 공지입니다. 레일웨이는 이날 아침 고객의 환경 변수(앱 설정과 비밀값을 담아 두는 변수)를 저장하는 시스템에서 이상 활동을 발견했다고 밝혔습니다.
왜 중요한가
- 환경 변수에는 API 키와 데이터베이스 접속 정보가 들어 있어, 피해가 고객이 쓰는 외부 서비스로 번질 수 있습니다.
- 레일웨이는 이번 일을 AI 추론 업체(AI 모델을 API로 파는 업체)의 키를 노린 연쇄 공격의 하나로 봤습니다.
- 조사 중 배포가 멈춰, 고객은 키를 바꾸면 서비스가 멈추고 그대로 두면 유출 위험을 안게 됐습니다.
핵심 내용
- 제3자가 암호화된 환경 변수에 접근했을 수 있고, 일부는 복호화된 내용까지 가져갔을 수 있다고 했습니다.
- 모든 환경 변수와 비공개 컨테이너 레지스트리 접속 정보를 바로 바꾸라고 권했습니다.
- 바꾼 뒤에는 해당 서비스의 로그에서 이상한 사용 흔적을 확인하라고 했습니다.
- 초기 분석으로는 피해가 일부 사용자에 그친 것으로 보이며, 피해가 확인된 고객에게는 따로 이메일을 보낸다고 했습니다.
- AI 추론 업체들에 알려 키를 미리 폐기하게 했지만, 원인과 피해 계정 수는 밝히지 않았습니다.
HN 반응
- 새벽에 키를 바꿨더니 배포가 막혀 서비스가 멈췄다는 불만에, 도난당한 키가 서비스 중단보다 훨씬 위험하다는 반론이 이어졌습니다.
- 일부 이용자는 Anthropic 키 사용량이 갑자기 한도에 닿았다거나 키가 이미 악용됐다며 피해가 실제로 일어나고 있다고 전했습니다.
여기 유럽은 새벽 5시 20분인데, 방금 키를 잔뜩 교체했습니다.
그런데 이런 공지를 읽게 됐네요.
그래서 지금 제 서비스는 작동하지 않습니다. 키를 도난당하는 것과 제품이 멈추는 것 중 어느 쪽이 더 나쁩니까? 로그에는 잘못된 사용 흔적이 전혀 없었고, 키를 그냥 뒀다면 서비스라도 계속 켜져 있었을 텐데, 키를 교체하라는 그들의 조언을 따른 게 정말 후회됩니다.
그쪽에서 고객 서비스를 자동으로 다시 배포해 주길 바랍니다. 다만 그 과정을 제가 테스트해 보지 못했다는 게 걱정입니다. 아니, 새벽 5시에 키는 이미 바꿨고, 이제 제가 할 수 있는 건 없어요. 다시 자야겠죠. 일어나서 배포를 확인할 만한 시점도 알 수 없으니... 그냥... 기다려야 하나요?
진지하게 물으신 건지는 모르겠지만, 대부분의 자격 증명은 도난당하는 쪽이 제품이 멈추는 것보다 더 나쁩니다.
sass로 흥한 자, sass로 망하는 법이죠.
자동 고침이 일을 엄청 하고 있네요. 하중까지 받치고 있어요.
AWS나 Zendesk 같은 중요한 키라면 도난당하는 순간 끝장이라고 봐야죠.
아니요, 대규모 유출 사고에서 자격 증명 하나가 유출되는 건 기대 손실로 따지면 별일도 아닙니다.
서비스가 조금이라도 수익과 연결돼 있다면, 다시 온라인으로 돌아올 수 있다는 확신이 들 때까지 기다리면서 모니터링하는 편이 낫습니다.
별일도 아니라고요? 우리 데이터베이스에 접근하는 게 별일이 아니라고요? 대부분의 애플리케이션에서 기업이라는 성의 열쇠는 전부 플랫폼 제공업체의 파라미터 스토어나 시크릿 키 시스템에 보관돼 있어요. 서비스 중단은 고객에게는 나쁘고 기업에는 조금 나쁜 정도지만, 자격 증명 도난은 양쪽 모두에게 치명적입니다.
도난당한 키는 고객의 개인 데이터로 가는 열쇠일 뿐만이 아닙니다.
당신의 신용카드로 가는 열쇠이기도 합니다. 해커들이 당신 계정으로 GPU 인스턴스 수백 대를 띄우고, 데이터 전송 예산을 넘겨 테라바이트 단위로 트래픽을 쓰고, 신용카드로 결제되는 GitHub Actions에서 수만 CPU 분을 태우고, AI 제공업체에서 수천 달러어치 토큰을 쓴 뒤에 AWS 청구서를 받아 보면 매출은 싹 날아갑니다.
키에 따라 다르죠. 나라 전체를 여는 열쇠일 수도 있고, 신경 쓸 필요 없는 키일 수도 있습니다(예를 들어 면접에서 얘기해 볼 문제 5개가 올라 있는 저장소 같은 거요).
당연하죠. 이미 비활성화된 계정의 키일 수도 있고요.
여기서 "도난당한 키"란 당연히 훔칠 만한 가치가 있는 것에 접근할 수 있는 키를 뜻합니다. 제 요지는 사용자의 개인 데이터 말고도 훔칠 만한 게 훨씬 많다는 겁니다. 많은 회사는 그 데이터를 그다지 대단하게 여기지 않으니까요.
그 별것 아닌 사건이 매출 손실뿐 아니라 모든 걸 잃게 할 수도 있다면, 저는 해결책이 나올 때까지 24시간 내내 안절부절못하느니 차라리 푹 자겠습니다.
영화 〈마진 콜〉에 이런 대사가 있습니다.
지출 한도 덕분에 살았습니다. Anthropic 키 중 하나에서 사용량이 엄청나게 치솟는 걸 발견했는데 어디서 나오는 건지 알 수 없었습니다. 하루 만에 한도에 도달했는데, 정상이 아니죠. 그래서 만일을 대비해 키를 교체했습니다. 그런데 Railway에서 키를 업데이트하러 갔더니 배포가 안 된다는 걸 알게 됐고, 저도 제품이 망가졌습니다. 그나마 다행인 건 사용자가 300명 정도뿐이라는 건데, 그래도 좋지는 않네요.
저 사람들이 어떻게 키를 되팔아서 그걸로 이익을 낼 수 있는지 도무지 상상이 안 갑니다. 훔치는 게 돈도 아닌데 그걸로 어떻게 이득을 보는 거죠?
클라우드 자격 증명이라면 머신을 만들 수 있으니 이해가 되는데, API 키로는... 무슨 수로 돈을 벌 수 있다는 건지?
API에 따라 다르겠죠? 중국 쪽 세력이 OAI/Anthropic에서 정보를 증류하려고 명의 대여자(바지 사장)를 내세워 사들이는 데 엄청난 돈을 쓴다는 소문을 생각하면, 유출된 OAI/Anthropic 키는 금방 팔려 나갈 거라고 확신합니다.
저희 회사 고객들이 화가 났습니다. 여기 동남아시아는 오전 9시 45분입니다. 상황이 좋지 않아요.
사이버 보안 면에서는 정신없는 하루네요. PHP RCE, eMudhra 인증서, 그리고 이제 Railway까지.
제 생각엔 이제 막 시작일 뿐이에요.
https://blog.cloudflare.com/emudhra-certificate-compromise
https://www.wiz.io/blog/php2shell-php-rce
pingcap 해킹이 그중 가장 큰 사건일 것 같은데, 어쩐 일인지 눈에 안 띄고 지나갔어요.
[0] https://news.ycombinator.com/item?id=50173716
하필 이번 주에 본드 흡입을 끊기로 했으니, 제가 때를 잘못 골랐나 봅니다.
설마 진심은 아니시겠죠?
진심입니다. 그리고 저를 설마라고 부르지 마세요.
관련 진행 중인 스레드입니다.
PingCap TiDB Leaks - https://news.ycombinator.com/item?id=50173716 - 2026년 10월 (댓글 32개)
(첫 페이지에 3시간밖에 머물지 못해서 다시 올렸습니다.)
성명서에서 이 사건을 얼마나 축소했는지 기가 막힙니다. https://www.pingcap.com/trust-hub/security/security-update-october-2026/
"외부 사고 대응 업체가 PingCAP의 운영 시스템을 검토했으나, 공격자가 명령을 실행했거나 검토 대상 시스템에서 지속적인 접근 권한을 유지했다는 증거를 발견하지 못했습니다"
흠, 사실이 아닐 텐데요.
"증거를 발견하지 못했다"는 건 그런 일이 없었다는 뜻이 아니라, 사고 대응 업체가 찾아내지 못했다는 뜻입니다.
증거는 그들이 어떻게 했는지 설명한 블로그 글에 있습니다. 하지만 운영 상태가 얼마나 엉망이었는지를 보면, 그들 스스로도 뭔가에 대한 증거를 갖고 있을 거라고는 기대하지 않습니다.
고객사로 Plaid가 올라 있네요. 아주 좋습니다(반어).
GitLab도 있어요.
https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/
Shopify도 있습니다. 이유도 밝히지 않고 앱을 대거 목록에서 내리고 있는데, 결제 데이터를 위조하거나 훔친 공급망 공격일 가능성이 가장 높아 보여요.
미쳤네요..
버그 대재앙(bugocalypse, 철자가 이게 맞는지는 모르겠지만)이 닥친 모양이네요.
Postiz 창업자가 X에 올린 글에 따르면 그의 서비스가 중단된 상태이고 키는 이미 악용됐으며, Railway는 그가 목소리를 내기 전까지 이 일에 대해 조용했다고 합니다.
https://x.com/wickedguro/status/2113015432974405658