Railway, una plataforma donde muchas empresas alojan webs, APIs y aplicaciones, informó el 21 de octubre de 2026 de que un tercero pudo acceder a las variables de entorno de sus clientes y, en algunos casos, leer su contenido. Ahí suelen guardarse claves de API y contraseñas de bases de datos. Pide a todos sus usuarios que las cambien.
Lo que se sabe
- Qué pasó: según el aviso de seguridad de Railway, la empresa detectó el 21 de octubre actividad anómala en los sistemas que guardan las variables de entorno de los clientes. Su investigación indica que un tercero no autorizado pudo acceder a variables cifradas y, para algunas, obtener el contenido descifrado.
- A quién afecta: Railway dice que su análisis inicial apunta a que el impacto «puede estar limitado» a una parte de los usuarios, pero recomienda a todos tomar medidas. Escribirá por correo a las cuentas que confirme como afectadas.
- Lo que pide hacer: cambiar de inmediato todas las variables de entorno guardadas en Railway, incluidas las claves de API, y las credenciales de registros privados de imágenes, y revisar los registros de esos servicios en busca de actividad rara.
- El posible objetivo: Railway cree que el ataque es parte de una serie dirigida contra empresas de plataforma para llegar a los proveedores de inferencia de IA. Dice que avisó a esos proveedores para que revoquen las claves de forma preventiva.
- Los despliegues, en pausa: según el aviso y el panel de estado, todas las compilaciones y despliegues están detenidos mientras investiga. Railway reconoce que, hasta que vuelvan, sus clientes no pueden actualizar sus aplicaciones con credenciales nuevas.
- Lo que ya hizo Railway: su panel de estado indica que está rotando todas las credenciales de sus storage buckets (las nuevas aparecen solas en el panel del cliente) y que invalidó sesiones de inicio de sesión, así que algunos usuarios tendrán que volver a entrar.
- La cronología: el incidente se abrió en el panel de estado el 21 de octubre a las 07:24 UTC (02:24 en Lima) como un problema de servicio; el aviso de seguridad se enlazó a las 21:59 UTC (16:59 en Lima). El 22 de octubre a la 01:22 UTC (20:22 del 21 en Lima) publicó trece guías con los pasos recomendados: revisar si hay uso inesperado en OpenAI, Anthropic, Grok, OpenRouter y Stripe, buscar accesos raros en GitHub, AWS y Google Cloud, y cambiar las credenciales de las bases de datos PostgreSQL, MySQL, MongoDB y Redis. Railway avisa de que algunos pasos necesitan volver a desplegar y tendrán que esperar, pero otros se pueden empezar ya. A las 03:00 UTC (22:00 en Lima), las compilaciones seguían en pausa.
Qué cambia y qué no
No cambia nada para quien no tiene servicios en Railway. Tampoco hay, por ahora, un dato oficial de cuántas cuentas se vieron afectadas ni de qué variables concretas se leyeron.
Sí cambia para cualquier negocio cuya web o aplicación corre en Railway: todas las claves guardadas allí deben tratarse como expuestas, aunque la cuenta no reciba el correo. Y hay una complicación práctica: con los despliegues en pausa, una clave nueva no se puede poner en marcha hasta que Railway reactive las compilaciones. Revocar la clave vieja antes puede dejar el servicio sin funcionar un rato.
Cómo saber si te afecta y qué hacer hoy
- Averigua si tu web o tu app está en Railway. Si la montó un desarrollador o una agencia, pregúntale directamente. En el panel de Railway, cada servicio muestra sus variables en la pestaña Variables.
- Haz la lista de lo que hay en esas variables. Lo habitual: claves de pasarelas de pago, de proveedores de IA, de correo transaccional, de almacenamiento en la nube, contraseñas de base de datos y tokens de GitHub o de registros de imágenes.
- Decide el orden. Una forma razonable de priorizar, mientras no se pueda redesplegar: primero lo que cuesta dinero o abre datos (pagos, IA, nube, base de datos, registros privados), aunque el servicio se caiga un rato; después, lo de menor riesgo, cuando vuelvan los despliegues.
- Revoca en el proveedor, no solo en Railway. Cambiar el valor de la variable no anula la clave vieja: hay que borrarla en el panel de cada servicio (Stripe, OpenAI, tu nube) y crear otra. Railway ya avisó a los proveedores de IA, pero eso no sustituye tu propia revocación.
- Pon límites de gasto y revisa el consumo desde el 21 de octubre en los paneles de tus proveedores de IA y de nube. Picos fuera de horario o modelos que no usas son la señal típica de uso ajeno.
- Empieza hoy por lo que no necesita redesplegar. Las guías de Railway sobre el uso inesperado en proveedores de IA y en Stripe, y sobre accesos raros en GitHub y en la nube, se pueden seguir ya. Para lo demás, vigila el panel de estado y, cuando vuelvan las compilaciones, despliega con las claves nuevas.
Relacionado: LiteLLM 1.107.0 con malware: qué hacer con tus claves de IA
Fuentes
- Railway, «Security Disclosure: Wednesday October 21st» (en inglés)
- Railway, panel de estado (incidente «Railway Platform Outage»)
Actualizaciones: si Railway publica cuántas cuentas se vieron afectadas o reactiva los despliegues, se añadirá aquí con su enlace.