La plataforma de alojamiento Railway publicó el 10 de noviembre su informe sobre la intrusión sufrida en octubre: las claves robadas a sus clientes sirvieron para consumir unos 740.000 dólares en servicios de inteligencia artificial sin que ellos lo supieran. El documento describe un ataque en cadena de 26 horas, llevado a cabo y combatido a la velocidad de los agentes de IA. Sobre todo, arroja luz sobre un fenómeno más amplio: las claves de API de los proveedores de IA se han convertido en una moneda que los piratas se disputan.
Un ataque en cinco eslabones
Railway permite a los desarrolladores desplegar sus aplicaciones sin gestionar servidores. Según su informe del incidente, el atacante intentó primero crear cuentas ficticias ya el 18 de octubre, y después explotó el 20 de octubre un fallo desconocido en la infraestructura de compilación para salir parcialmente del aislamiento previsto. Desde allí, recuperó una credencial interna, consultó el historial de 353 compilaciones y copió el repositorio de código fuente interno de la empresa.
A continuación, el pirata encadenó debilidades: una configuración errónea de la autenticación ante un proveedor de nube le proporcionó una credencial temporal, con la que obtuvo una clave SSH y una credencial más duradera en una máquina de orquestación. Estos accesos le permitieron leer la base de datos donde se almacenan, cifradas, las variables de entorno de los clientes, y descifrarlas. Railway resume el episodio rechazando la idea de una intrusión única seguida de una corrección única. El atacante fue expulsado en la mañana del 21 de octubre, unas 26 horas después del primer exploit.
Las claves de IA, objetivo prioritario
Las búsquedas del atacante apuntaban sobre todo a claves de proveedores de IA, pero también a credenciales de nube, de bases de datos y de pago. Railway estima en un máximo del 1,85 % de sus espacios de trabajo, es decir, unos 100.000, aquellos cuyas variables pudieron ser descifradas en parte. Se trata de una cota máxima, no de un recuento de víctimas confirmadas, insiste BleepingComputer. También se restablecieron tokens vinculados a las cuentas de 1.852 usuarios, entre ellos accesos a GitHub. La empresa afirma no haber encontrado ningún rastro de acceso a las bases de datos de sus clientes.
Los 740.000 dólares de consumo fraudulento se reparten entre varios proveedores, que no reaccionan todos de la misma manera. Siempre según el informe, AWS Bedrock y Google Gemini reembolsan mediante sus procedimientos habituales contra el fraude, OpenAI examina los expedientes caso por caso, las conversaciones continúan con Anthropic y OpenRouter se niega a reembolsar. Railway se compromete a asumir lo que los proveedores no cubran.
Una campaña que va más allá de Railway
El incidente se enmarca en lo que la empresa de seguridad Wiz llama «Black October»: al menos nueve plataformas destinadas a desarrolladores de IA notificaron intrusiones en octubre, entre ellas Lightning AI, OpenCode, Warp y Northflank, seguidas de otras desde entonces. El punto en común es la búsqueda de claves que dan acceso a los modelos, para el «LLMJacking», es decir, el uso de la IA a costa de otro, o para la reventa. Wiz describe un caso en el que se realizaron unos 1,7 millones de llamadas a Bedrock en trece horas, y vincula el uso de claves robadas a dos servicios de reventa, sin poder demostrar su relación directa con los ataques. Railway plantea también la hipótesis de intentos de destilación, que consisten en entrenar un modelo a partir de las respuestas de otro.
Por último, el informe describe una relación de fuerzas singular: un atacante que se apoya en modelos sin restricciones y en agentes lanzados en paralelo, frente a unos defensores obligados a seguir el ritmo. La propia empresa dio que hablar a principios de noviembre por otro motivo. Según CSO Online, uno de sus ingenieros reconoció que unos agentes de prueba que había lanzado habían sondeado la infraestructura de un competidor, Primcloud; el director de Railway, Jake Cooper, pidió disculpas y prometió prohibir este tipo de pruebas externas automatizadas.
Lo que deben hacer los desarrolladores
Railway pide a sus clientes que señalen cualquier cargo que no reconozcan y que renueven las credenciales expuestas; como sus tokens de API y de proyecto han sido invalidados, es posible que tengan que volver a conectarse. Se invita a los clientes más expuestos a detener sus despliegues. Más allá de esta plataforma, la lección vale para cualquier equipo que almacene claves de IA en un proveedor de alojamiento:
- fijar límites de gasto y alertas en cada proveedor de IA;
- utilizar claves distintas por proyecto, para limitar los daños y localizar el origen de un abuso;
- renovar regularmente los secretos, e inmediatamente después de cualquier incidente en un proveedor;
- vigilar los informes de uso, porque una clave robada se convierte en factura en pocas horas.
Preguntas frecuentes
¿Cuántos clientes de Railway están afectados?
Railway estima que, como máximo, el 1,85 % de sus espacios de trabajo, es decir, unos 100.000, pudieron ver algunas variables descifradas. Es un techo teórico: no se conoce el número de secretos realmente robados.
¿Se reembolsará a las víctimas?
Según el informe, varios proveedores de IA reembolsan o examinan los expedientes, y Railway se compromete a cubrir los importes que estos se nieguen a asumir. Los clientes deben señalar los cargos sospechosos a través del formulario previsto.
¿Qué es el LLMJacking?
Es el uso fraudulento de un modelo de IA con las credenciales de otra persona o empresa, que recibe la factura. Las claves robadas también pueden revenderse a servicios de acceso baratos.
Fuentes
- Incident report: October security incident — Railway (blog oficial), 2026-11-10
- Railway breach leads to $740,000 in fraudulent AI charges — BleepingComputer, 2026-11-10
- Black October for AI developer platforms — Wiz, 2026-11-10
- Railway's AI agents go off the track on a rival's network — CSO Online, 2026-11-06