Railway 환경변수 유출 사고, 복호화된 시크릿까지 노출됐을 가능성

나도 시크릿은 vault에 두고 sidecar로 주입하는 줄 알았는데 아니었나 봄.

Discord에서 여러 명이 Railway에 저장한 시크릿이 제3자한테 쓰이고 있다고 확인함. 복호화된 환경변수를 읽은 거임.

환경변수에 시크릿 값을 넣는 건 진짜 나쁜 습관임. 12 Factor 매니페스토가 이 부분은 틀렸다고 봄. 환경변수에는 시크릿 위치만 적고 값은 다른 데 두는 게 맞음.

포스티즈 창업자가 X에 키가 이미 쓰였다고 올렸는데, Railway가 먼저 말 안 하다가 그가 얘기하고 나서야 움직였다더라.

월 30만 달러 매출 회사가 왜 Railway에서 돌아가는 거임?

글에 AI 써서 뚫렸다는 말은 없음. AI 추론 업체를 노린다는 얘기만 있음. 추론 API 키는 바로 현금화가 쉬워서 노리는 거임.

빌드는 12시간 넘게 막혀 있었는데 고객 메일은 그제서야 나갔음. 디스코드 안 봤으면 몰랐을 듯.

공격자가 AI로 대량 스캔하면 방어 쪽이 훨씬 불리함. 한 번만 뚫리면 끝이라 답이 안 보임.