Cloudplatform Railway bevestigt een hack op 21 oktober 2026, waarbij aanvallers versleutelde environment variables van klanten konden inzien en voor een deel ontsleutelen. Daarin stonden secrets zoals API keys, databasewachtwoorden en container registry credentials, en een blockchain-onderzoeker koppelt de aanval aan circa 371.000 dollar aan gestolen cryptovaluta.
21 oktober 2026
datum van de hack bij Railway
371.000 dollar
gestolen crypto, volgens onderzoeker
Wat is er gebeurd bij Railway?
Cloudplatform Railway is op woensdag 21 oktober 2026 gehackt. Aanvallers kregen toegang tot versleutelde environment variables van klanten en konden een deel daarvan ontsleutelen, waardoor secrets als API keys, databasewachtwoorden en credentials voor container registries blootgesteld raakten.
Railway merkte de ongewone activiteit zelf op in de systemen die klantgegevens voor environment variables opslaan. Blockchain-onderzoeker Taylor Monahan zag al verdachte cryptotransacties voordat Railway zelf met het nieuws naar buiten kwam, en koppelde die later aan het incident.
Wie achter de aanval zit, is niet bekendgemaakt en Railway legt ook niet uit hoe de aanvallers precies binnenkwamen. Het bedrijf vermoedt wel dat de hack onderdeel is van een bredere campagne tegen platformbedrijven, gericht op het compromitteren van aanbieders van AI-rekenkracht.
Railway pauzeerde na ontdekking alle deployments, maakte tokens en credentials ongeldig en riep klanten op hun environment variables te vervangen. Op 22 oktober publiceerde het bedrijf aanvullende adviezen om verdachte toegang via Google Cloud en AWS te controleren, en meldde de statuspagina dat de meeste diensten die avond weer normaal werkten.
Ben ik getroffen door het datalek bij Railway?
Railway zegt dat de impact naar eigen inschatting beperkt is tot een deel van de gebruikers, maar het bedrijf noemt geen exact aantal of lijst van getroffen klanten.
Of Nederlandse gebruikers zijn geraakt, is niet bevestigd. Railway is een internationaal platform voor ontwikkelaars en bedrijven, en er is geen aparte waarschuwing voor Nederlandse klanten bekendgemaakt.
Had je environment variables in Railway staan, ga er dan van uit dat je bent geraakt. Railway heeft getroffen klanten direct per e-mail op de hoogte gesteld, dus controleer ook je mailbox en het Railway-dashboard.
Wat kunnen criminelen met de gegevens van Railway?
Met gestolen API keys en cloudcredentials voor AWS, Google Cloud of AI-diensten zoals OpenAI en Anthropic kunnen criminelen ongeautoriseerd gebruikmaken van die diensten, op jouw rekening.
Databasewachtwoorden geven toegang tot de databases achter je eigen applicatie, waardoor aanvallers bij de gegevens van jouw gebruikers kunnen komen. Credentials voor container registries maken het mogelijk om broncode of container-images te bekijken of te manipuleren.
Bij cryptowallets waarvan de private keys in Railway stonden, is al misbruik vastgesteld: een onderzoeker koppelde de hack aan ongeveer 371.000 dollar aan weggesluisde cryptovaluta.
Wat moet je nu doen na het datalek bij Railway?
Stond je environment variables in Railway, behandel die dan als gelekt, ook als je zelf nog geen misbruik hebt gezien. De stappen hieronder gelden specifiek voor klanten van Railway.
- Roteer direct alle environment variables en API keys die in Railway stonden.
- Vervang databasewachtwoorden en credentials voor container registries.
- Controleer je cloud- en AI-facturen bij AWS, Google Cloud, OpenAI en Anthropic op onverwacht gebruik.
- Verplaats tegoeden van cryptowallets waarvan de private keys in Railway stonden.
- Bekijk logs van gekoppelde diensten op verdachte toegang sinds 21 oktober 2026.
Wat zegt Railway over het datalek?
Railway bevestigt dat aanvallers versleutelde environment variables konden benaderen en voor een deel ook konden ontsleutelen. Het bedrijf vermoedt dat de aanval onderdeel is van een bredere campagne tegen platformbedrijven, gericht op het compromitteren van aanbieders van AI-rekenkracht.
Wij denken dat dit onderdeel is van een reeks recente aanvallen op platformbedrijven, met als doel om AI-inferentieproviders te compromitteren.
Railway, verklaring op de eigen blog
Railway pauzeerde alle deployments, liet upstream providers proactief sleutels intrekken en stuurde getroffen klanten direct een e-mail. Het bedrijf beloofde updates op de eigen blog en op status.railway.com.
Op 22 oktober volgden aanvullende adviezen om verdachte toegang via Google Cloud en AWS en onverwacht gebruik van OpenAI te controleren. Volgens de statuspagina draaiden deployments in US West die avond weer normaal, al moesten Hobby-accounts nog worden hersteld.
Eerder op CyberInsider
Wat te doen bij een datalek?
Wat weten we nog niet?
- Hoeveel klanten precies getroffen zijn.
- Hoe de aanvallers precies binnenkwamen.
- Wie er achter de aanval zit.
- Of er naast de gemelde 371.000 dollar nog meer financiële schade is.
Bronnen: Security.nl, Railway (blog.railway.com), Railway Status, crypto.news, Railway (blog.railway.com) – GCP advies.