Hackers begonnen op een zondagavond medio oktober de cloudcomputing-firma Railway te verkennen en meldden duizenden accounts aan. Binnen enkele dagen maakten ze zich meester van activa ter waarde van meer dan $1,1 miljoen. Volgens berichtgeving van The Currency was het grootste deel van de buit geen cryptocurrency, en ging het niet om afpersing of ransomware. De zaak is een duidelijk voorbeeld van waarom de beveiliging van cloudaccounts en diefstal van AI-rekenkracht aandacht verdient van iedereen met een developer- of cloud-login.

Hoe de Railway-aanval zich ontvouwde

De gemelde tijdlijn is kort. De verkenning begon op een zondagavond medio oktober, en de eerste zichtbare stap was een golf van accountregistraties, duizenden. Binnen enkele dagen hadden de aanvallers activa ter waarde van meer dan $1,1 miljoen buitgemaakt.

Twee details vallen op. Ten eerste werkten de aanvallers vanaf het begin op schaal, door in bulk accounts aan te maken in plaats van één hoogwaardige klant te targeten. Ten tweede was er geen losgeldbriefje en geen dreiging met datalekken. Het doel lijkt simpel te zijn geweest: iets waardevols nemen en het gebruiken of verkopen.

De delen van het artikel die ons ter beschikking staan, beschrijven niet elke technische stap, dus we kunnen maar beter niet speculeren over hoe de accounts precies in $1,1 miljoen werden omgezet. Wat duidelijk is, is de uitkomst en het patroon.

Waarom AI-rekenkracht het nieuwe doelwit is

Jarenlang ging het standaardverhaal over cloudmisbruik over cryptomining. Aanvallers kaapten servers en brandden andermans elektriciteitsrekening door om munten te slaan. De Railway-zaak wijst ergens anders naartoe: het meeste wat werd weggenomen was helemaal geen crypto, maar AI-rekenkracht.

Dat is logisch als je naar de economie kijkt. Rekencapaciteit, vooral het soort dat voor AI-workloads wordt gebruikt, is duur en gewild. Anders dan een database met gestolen gegevens hoeft het niet op een darkwebforum te worden verkocht of tegen een slachtoffer te worden gebruikt. Het kan simpelweg worden gebruikt of doorverkocht, en de rekening gaat naar iemand anders.

Dit verandert ook wat een waardevol account is. Een login op een cloudplatform is niet langer alleen een deur naar opgeslagen bestanden. Het is een deur naar een gemeten resource die in geld kan worden omgezet. Dezelfde logica geldt voor aanvallen op cryptoplatforms, zoals de Liquid Network-hack, waarbij aanvallers $47 miljoen van een buit van $320 miljoen behielden. In beide gevallen is het doelwit iets dat direct te gelde kan worden gemaakt, al laat de Railway-zaak zien dat de prijs niet langer munten hoeft te zijn.

Wat het lek onthult over cloudaanmelding en beveiliging van inloggegevens

Het meest opvallende kenmerk van de aanval is het startpunt: duizenden nieuw aangemaakte accounts. Dat suggereert dat de voordeur van een clouddienst, het aanmeldproces, deel uitmaakt van het aanvalsoppervlak, en niet alleen de loginpagina die bestaande klanten gebruiken.

Voor platforms roept dat vragen op over hoe makkelijk accounts in bulk kunnen worden aangemaakt en hoe snel ongebruikelijke patronen worden opgemerkt. Voor individuele gebruikers en kleine teams is de les anders maar verwant: alles wat toegang tot rekenkracht geeft, is een doelwit, of het nu een wachtwoord, een API-sleutel of een opgeslagen token is.

Inloggegevens worden meestal lang voordat ze worden misbruikt gestolen. Phishingpagina's, malware en gecompromitteerde netwerken voeden de aanvoer. Microsofts waarschuwing over Russische hackers die hotel-wifinetwerken gebruiken om Microsoft 365-logingegevens te stelen laat één manier zien waarop gewone logins in handen van aanvallers belanden. Zodra inloggegevens op straat liggen, kan een cloudaccount met een gekoppelde betaalmethode een bron van rekenkracht worden die iemand anders betaalt.

Wat dit voor jou betekent

Je hoeft geen Railway-klant te zijn om dit relevant te maken. Als je sideprojecten draait, apps host, modellen traint of API-sleutels voor welke cloud- of AI-dienst dan ook bezit, heb je iets dat een aanvaller in contanten kan omzetten.

Het risico is vooral financieel en operationeel. Gestolen rekenkracht kan onverwachte rekeningen, opgeschorte accounts of verstoring van je eigen werk betekenen. Anders dan bij een datalek kan de schade zich eerst uiten als een vreemde regel op een factuur in plaats van als een waarschuwing.

Het goede nieuws is dat de basismaatregenen goed bekend zijn, en de meeste kosten minuten om in te stellen.

Hoe je je cloudaccounts en API-sleutels beschermt

  • Schakel overal multi-factorauthenticatie in. Geef prioriteit aan cloudplatforms, coderepositories en e-mailaccounts waarmee je je wachtwoorden kunt resetten.
  • Gebruik unieke wachtwoorden. Een wachtwoordmanager maakt dit praktisch, en het beperkt de schade als één dienst wordt gecompromitteerd.
  • Roteer API-sleutels regelmatig. Vervang sleutels volgens een schema, en onmiddellijk als er een mogelijk is blootgesteld. Verwijder sleutels die je niet meer gebruikt.
  • Houd secrets buiten je code. Plak geen sleutels in openbare repositories, gedeelde documenten of chatberichten.
  • Stel facturerings- en gebruiksalerten in. Uitgavenlimieten en meldingen bij ongebruikelijke activiteit zijn vaak de vroegste waarschuwing dat rekenkracht door iemand anders wordt gebruikt.
  • Beperk machtigingen. Geef elke sleutel of gebruiker alleen de toegang die nodig is voor zijn taak.
  • Wees voorzichtig op onbetrouwbare netwerken. Openbare wifi in hotels, luchthavens en cafés is een veelvoorkomende plek waar inloggegevens worden onderschept of gephisht.

Conclusie: audit deze week je cloudaccounts

Het Railway-incident herinnert eraan dat de beveiliging van cloudaccounts en diefstal van AI-rekenkracht een praktische, te gelde te maken dreiging is, en dat aanvallers bereid zijn duizenden accounts te registreren om die na te jagen. Neem een half uur om je cloud- en developeraccounts te reviewen: bevestig dat multi-factorauthenticatie aan staat, roteer oude API-sleutels en schakel gebruiks- en factureringsalerten in. Als je voor je werk reist, lees dan hoe login-gegevens op hotel-wifi worden gestolen om te begrijpen hoe inloggegevens überhaupt uit je handen verdwijnen. Een kleine audit nu is veel goedkoper dan een factuur die je niet hebt gemaakt.