Хакеры начали зондировать облачную компанию Railway в воскресенье вечером в середине октября, регистрируя тысячи аккаунтов. За несколько дней они похитили активы стоимостью более 1,1 млн долларов. Согласно репортажу The Currency, большая часть добычи пришлась не на криптовалюту, и операция не была связана с вымогательством или программами-вымогателями. Этот случай — наглядный пример того, почему безопасность облачных аккаунтов и кража вычислительных ресурсов для ИИ заслуживают внимания каждого, у кого есть логин разработчика или облачной платформы.

Как разворачивалась атака на Railway

Сообщаемая хронология коротка. Зондирование началось в воскресенье вечером в середине октября, и первым заметным шагом стала волна регистраций аккаунтов — тысячи из них. В течение нескольких дней злоумышленники похитили активы стоимостью более 1,1 млн долларов.

Две детали бросаются в глаза. Во-первых, атакующие с самого начала действовали в масштабе, создавая аккаунты массово, а не нацеливаясь на одного крупного клиента. Во-вторых, не было ни записки с требованием выкупа, ни угрозы утечки данных. Цель, по-видимому, была простой: взять что-то ценное и использовать или продать.

Доступные нам фрагменты статьи не описывают каждый технический шаг, поэтому лучше не строить догадок о том, как именно аккаунты превратились в 1,1 млн долларов. Ясны результат и схема.

Почему вычислительная мощность ИИ — новая цель

Годами хрестоматийная история злоупотребления облачными сервисами была связана с майнингом криптовалют. Злоумышленники угоняли серверы и сжигали чужие счета за электричество, чтобы добывать монеты. Случай Railway указывает на другое: большая часть похищенного была вовсе не криптовалютой, а вычислительной мощностью для ИИ.

Это логично, если учесть экономику. Вычислительные мощности, особенно используемые для задач ИИ, дороги и востребованы. В отличие от базы украденных записей, их не нужно продавать на форуме даркнета или использовать против жертвы. Их можно просто использовать или перепродать, и счёт оплатит кто-то другой.

Это также меняет представление о том, что считать ценным аккаунтом. Логин в облачную платформу — уже не просто дверь к хранящимся файлам. Это дверь к тарифицируемому ресурсу, который можно превратить в деньги. Та же логика применима к атакам на криптоплатформы, например к взлому Liquid Network, где атакующие оставили себе 47 млн долларов из добычи в 320 млн. В обоих случаях цель — нечто, что можно напрямую монетизировать, хотя случай Railway показывает, что добычей уже не обязательно должны быть монеты.

Что утечка раскрывает о регистрации в облачных сервисах и безопасности учётных данных

Самая примечательная особенность атаки — её отправная точка: тысячи только что созданных аккаунтов. Это говорит о том, что парадный вход облачного сервиса — процесс регистрации — является частью поверхности атаки, а не только страницей входа для существующих клиентов.

Для платформ это поднимает вопросы о том, насколько легко можно массово создавать аккаунты и насколько быстро замечаются необычные паттерны. Для отдельных пользователей и небольших команд урок другой, но связанный: всё, что даёт доступ к вычислительным ресурсам, является целью — будь то пароль, API-ключ или сохранённый токен.

Учётные данные обычно крадут задолго до того, как их используют. Фишинговые страницы, вредоносное ПО и скомпрометированные сети питают этот поток. Предупреждение Microsoft о том, что российские хакеры используют Wi-Fi сети отелей для кражи учётных данных Microsoft 365, показывает один из способов, которым обычные логины попадают в руки злоумышленников. Как только учётные данные оказываются снаружи, облачный аккаунт с привязанным способом оплаты может стать источником вычислительных ресурсов, за которые платит кто-то другой.

Что это значит для вас

Вам не нужно быть клиентом Railway, чтобы это имело значение. Если вы ведёте побочные проекты, хостите приложения, обучаете модели или храните API-ключи для любого облачного или ИИ-сервиса, у вас есть то, что злоумышленник может превратить в деньги.

Риск в основном финансовый и операционный. Украденные вычислительные ресурсы могут означать неожиданные счета, заблокированные аккаунты или нарушение вашей собственной работы. В отличие от утечки данных, ущерб может сначала проявиться как странная строка в счёте, а не как оповещение.

Хорошая новость в том, что базовые меры защиты хорошо известны, и большинство из них настраиваются за считанные минуты.

Как защитить свои облачные аккаунты и API-ключи

  • Включите многофакторную аутентификацию везде. В первую очередь для облачных платформ, репозиториев кода и почтовых аккаунтов, через которые можно сбросить пароли.
  • Используйте уникальные пароли. Менеджер паролей делает это практичным и ограничивает ущерб, если один сервис скомпрометирован.
  • Регулярно меняйте API-ключи. Заменяйте ключи по графику и немедленно, если какой-либо мог быть раскрыт. Удаляйте ключи, которые больше не используете.
  • Держите секреты вне кода. Избегайте вставки ключей в публичные репозитории, общие документы или сообщения в чатах.
  • Настройте оповещения о биллинге и использовании. Лимиты расходов и уведомления о необычной активности часто являются самым ранним предупреждением о том, что вычислительные ресурсы использует кто-то другой.
  • Ограничивайте права доступа. Давайте каждому ключу или пользователю только тот доступ, который нужен для его задачи.
  • Будьте осторожны в недоверенных сетях. Публичный Wi-Fi в отелях, аэропортах и кафе — обычное место перехвата или фишинга учётных данных.

Вывод: проведите аудит своих облачных аккаунтов на этой неделе

Инцидент с Railway — напоминание о том, что безопасность облачных аккаунтов и кража вычислительных ресурсов для ИИ являются практической, монетизируемой угрозой, и злоумышленники готовы регистрировать тысячи аккаунтов ради неё. Выделите полчаса, чтобы проверить свои облачные аккаунты и аккаунты разработчика: убедитесь, что многофакторная аутентификация включена, смените старые API-ключи и включите оповещения об использовании и биллинге. Если вы ездите в командировки, прочитайте, как данные для входа крадут через Wi-Fi в отелях, чтобы понять, как учётные данные уходят из ваших рук. Небольшой аудит сейчас обойдётся гораздо дешевле, чем счёт, который вы не накручивали.