Informe del incidente de seguridad de Railway
Última actualización: 24 de octubre de 2026. Queremos explicarte con total transparencia qué ocurrió, qué parte de la web se vio afectada, qué hemos hecho y qué seguimos haciendo.
- Qué ocurrió
- Qué se vio afectado
- Qué no se vio afectado
- Cronología
- Medidas tomadas
- Lo que seguimos haciendo
- ¿Tienes que hacer algo?
Qué ocurrió
Railway, el proveedor donde alojamos el backend de la web, notificó por vías oficiales un incidente de seguridad. Según su comunicado, un tercero no autorizado pudo acceder a las variables de entorno cifradas de algunos clientes y, en algunos casos, obtener su contenido descifrado. Estas variables pueden contener claves de API y credenciales de bases de datos.
Nuestro backend sostiene el dashboard, las estadísticas, el inicio de sesión con Discord y la parte servidor del chat de soporte. Por precaución, tratamos todas las credenciales guardadas allí como potencialmente expuestas, aunque no tenemos constancia de que se haya hecho un uso indebido de ellas.
Puedes consultar el estado oficial del proveedor en status.railway.com.
Qué se vio afectado
- Credenciales del backend: las claves de acceso a la base de datos, al servicio del chat de soporte, a las sesiones de la web, a la sincronización con el bot, al panel de administración y al sistema de alertas estaban almacenadas en Railway y fueron renovadas.
- Dashboard y estadísticas: mientras Railway tuvo pausados los despliegues, no pudimos publicar correcciones del backend y estas secciones podían fallar o ir con retraso.
- Sesiones: al renovar la clave de firma de sesiones, todas las sesiones abiertas dejaron de ser válidas y es necesario volver a iniciar sesión con Discord.
- Reinicios puntuales del backend: durante el cambio de credenciales, el backend estuvo reiniciándose brevemente hasta que todas las claves nuevas quedaron aplicadas.
Qué no se vio afectado
- El bot de Discord siguió funcionando con normalidad: no depende de Railway para operar.
- La parte pública de la web (páginas, documentación, comandos) está alojada aparte y no contiene secretos.
- Las credenciales de Patreon no se almacenaban en Railway.
- Tus contraseñas: FireFighter no tiene tu contraseña de Discord. El inicio de sesión se hace mediante Discord OAuth2 y nunca pasa por nuestros servidores.
Cronología
| Momento | Qué ocurrió |
|---|---|
| Madrugada del 22/10 | Railway notifica el incidente por correo oficial y pausa temporalmente los despliegues. |
| Mañana del 22/10 | Publicamos un comunicado en nuestro Discord y un aviso en la web. Comenzamos a preparar la renovación de credenciales. |
| Durante el día | Railway restablece los despliegues. Renovamos todas las credenciales, desplegamos el backend con las claves nuevas y retiramos las antiguas. |
| Tarde del 22/10 | Verificamos cada servicio, revisamos los registros y damos el incidente por resuelto. Retiramos el aviso de la web y publicamos este informe. |
| 23/10 | Railway publica su informe preliminar: nuestro espacio de trabajo no figura entre los de mayor riesgo. Al haber rotado y revocado ya las credenciales, no es necesario repetir la rotación. |
Medidas tomadas
Siguiendo las recomendaciones de Railway, revocamos y sustituimos todas las claves almacenadas en sus variables de entorno:
- Base de datos: nueva contraseña de acceso y nueva cadena de conexión. La anterior ya no es válida.
- Chat de soporte: nueva clave de servicio. La anterior ha sido invalidada.
- Sesiones de la web: nueva clave de firma.
- Sincronización bot ↔ backend: nuevo secreto compartido, aplicado en ambos lados.
- Panel de administración: nueva clave de acceso para el equipo.
- Sistema de alertas: nuevo webhook; el anterior ha sido eliminado.
- Bot y aplicación de Discord: token y credenciales OAuth2 regenerados.
Además, revisamos los registros de la base de datos, del chat de soporte y de los servidores y no hemos detectado actividad inusual.
Lo que seguimos haciendo
- Vigilancia continua de los registros durante los próximos días.
- Refuerzo de las protecciones del backend y la web a raíz de este incidente.
- Informe de Railway: el 23 de octubre Railway publicó su informe preliminar. Nuestro espacio de trabajo no figura entre los de mayor riesgo y las credenciales ya se habían rotado y revocado, por lo que no es necesario repetir la rotación. Seguimos vigilando cualquier actividad sospechosa.
Estas son las protecciones que ya teníamos activas y que seguimos manteniendo:
- Detección y registro de intentos de ataque (escaneos, inyecciones, accesos no autorizados).
- Bloqueo automático de IPs reincidentes y alertas en tiempo real al equipo.
- Cifrado de extremo a extremo en el chat de soporte.
- Cabeceras de seguridad reforzadas y límites de peticiones frente a abusos.
¿Tienes que hacer algo?
- Vuelve a iniciar sesión en el dashboard si te lo solicita. Es un efecto esperado de la renovación de claves.
- Desconfía de mensajes directos que se hagan pasar por nosotros. Nunca te pediremos contraseñas ni tokens por mensaje directo.
- Si ves algo extraño en la web o el dashboard, avísanos por el chat de soporte o en support@firefighterbot.xyz.
Puedes ver el resto de cambios de ese día en el Snapshot 26Fire0001. Si has encontrado una vulnerabilidad, consulta nuestra página de seguridad y reporte de vulnerabilidades.