내 앱의 ‘비밀 열쇠’가 털렸을 수도? 앱 호스팅 플랫폼 레일웨이(Railway) 환경변수 유출 사고로 본 API 키·DB 비밀번호 전부 교체 권고, 사흘간 타임라인과 내 앱 주인이 오늘 할 4단계 키 교체 체크리스트를 초보도 쉽게

요즘은 개발자가 아니어도 챗GPT나 클로드 같은 AI에게 “할 일 앱 만들어 줘”라고 부탁해 뚝딱 앱을 만들고, 버튼 몇 번으로 인터넷에 올리는 ‘바이브 코딩’이 유행이에요. 이렇게 만든 앱을 인터넷에 올려 24시간 돌려 주는 곳을 앱 호스팅 플랫폼(PaaS)이라고 하는데, 그중 스타트업·개인 개발자에게 인기 있는 미국 서비스가 레일웨이(Railway)예요.

그 레일웨이가 미국 시간 10월 21일(한국 시간 22일 아침) “고객이 저장해 둔 환경변수에 외부인이 접근했을 수 있다”는 보안 공지를 냈어요. 환경변수는 앱이 쓰는 AI API 키, 데이터베이스 비밀번호, 결제 키 같은 ‘비밀 쪽지’를 모아 두는 곳이에요. 레일웨이는 영향이 “일부 사용자”에 그칠 수 있다면서도 모든 사용자에게 저장된 키를 전부 바꾸라고 권고했고, 한동안 앱 배포 자체를 멈추기도 했어요. 오늘은 이게 무슨 뜻인지, 내 앱이 여기 있다면 무엇을 어떤 순서로 하면 되는지 차근차근 정리해 볼게요.

한눈에 보는 요약

먼저, 레일웨이는 뭐 하는 곳일까

푸드코트의 임대 매장을 떠올리면 쉬워요. 내가 메뉴(코드)만 들고 가면, 푸드코트(레일웨이)가 가게 자리·전기·수도·주방 설비(서버·네트워크·데이터베이스)를 다 갖춰 주고, 손님(사용자)이 찾아오면 알아서 문을 열어 주죠. 직접 건물을 짓는(서버를 사서 설치하는) 것보다 훨씬 간편해서, AI로 앱을 만든 초보자도 내앱.up.railway.app 같은 주소로 바로 서비스를 열 수 있어요.

환경변수가 대체 뭐길래 다들 긴장할까

앱은 혼자 일하지 않아요. 챗GPT 같은 AI를 부르고, 회원 정보를 데이터베이스에 저장하고, 결제사와 돈을 주고받죠. 그때마다 “나 이 앱 주인 맞아요”라고 증명하는 비밀 문자열(키)이 필요해요. 이 키를 코드 안에 그대로 적어 두면 코드가 공개될 때 같이 새어 나가니까, 보통은 코드 밖 ‘비밀 쪽지 서랍’에 따로 넣어 두는데 그게 바로 환경변수예요. 예를 들면 이런 식이에요.

OPENAI_API_KEY=sk-xxxxxxxx…
DATABASE_URL=postgresql://user:비밀번호@서버주소/앱DB
STRIPE_SECRET_KEY=sk_live_xxxx…

사흘간 무슨 일이 있었나 (한국 시간 기준)

레일웨이 상태 페이지(status.railway.com)에 올라온 기록을 한국 시간으로 바꿔 정리했어요.

레일웨이는 이번 일이 “AI 추론(인퍼런스) 업체를 노리고 플랫폼 회사들을 잇달아 공격하는 흐름의 일부”로 보인다고 설명했어요. 그래서 OpenAI 같은 AI 업체들에 미리 연락해 유출됐을 수 있는 키를 선제적으로 막아 달라고 요청했다고 해요.

왜 하필 AI 키를 노렸을까: ‘LLM재킹’

요즘 공격자들이 탐내는 건 의외로 남의 AI 사용권이에요. 남의 API 키로 AI를 돌리면 요금은 키 주인이 내고, 공격자는 신분을 숨긴 채 공짜로 AI를 쓸 수 있거든요. 이를 LLM재킹(LLMjacking)이라고 불러요.

뉴스에 나온 용어, 쉽게 풀기

레일웨이가 대신 해 준 것 vs 내가 직접 해야 하는 것

여기가 제일 헷갈리는 부분이에요. 레일웨이가 몇 가지 키는 직접 바꿔 줬지만, 외부 서비스의 키는 레일웨이가 대신 바꿀 수 없어요. OpenAI 키는 OpenAI 사이트에서, 결제 키는 결제사 사이트에서 내가 직접 바꿔야 하죠.

내 상황별 우선순위

내 앱이 레일웨이에 있다면: 오늘 할 4단계

레일웨이 데이터베이스 가이드는 특히 이렇게 강조해요. “유출이 의심된다면 잠깐 서비스가 멈추더라도 옛 비밀번호부터 끊는 게 더 중요하다.” 무중단 교체는 ‘평소 정기 교체’ 때 쓰는 방법이고, 지금처럼 사고가 난 상황에선 빨리 끊는 것이 우선이라는 뜻이에요.

키 종류별로 어디서 바꾸고 무엇을 확인할까

레일웨이를 안 쓰는 사람도 배울 점

요즘 잇따른 ‘개발 도구·플랫폼’ 사고와 무엇이 다를까

최근 MoricWorld에서도 개발자가 쓰는 도구 쪽 보안 사고를 여러 번 다뤘는데, 이번 건은 성격이 조금 달라요.

자주 묻는 질문

마무리: 서랍이 열렸다면, 자물쇠부터 바꾸기

이번 레일웨이 사고를 한 줄로 줄이면 “내 가게는 멀쩡한데, 푸드코트 관리실에 맡겨 둔 열쇠 꾸러미가 새어 나갔을 수 있다”예요. 열쇠를 누가 가져갔는지 확인될 때까지 기다리기보다, ① 서랍 속 키 목록 만들기 → ② 원래 사이트에서 새 키 발급 → ③ 바꿔 넣고 재배포 → ④ 옛 키 끊고 청구서 확인, 이 네 단계를 오늘 끝내 두는 게 가장 확실한 방법이에요. 24일 새벽 공개될 예비 보고서에서 원인과 피해 규모가 더 나오면, 그때 차분히 다음 판단을 하면 돼요. 🔑