Vercel kinumpirma ang isang paglabag sa seguridad na kinasasangkutan ng hindi awtorisadong pag-access sa mga bahagi ng panloob nitong sistema. 

Sinabi ng kumpanya na naapektuhan ng insidente ang "limitadong" bilang ng mga kredensyal ng customer. Iniulat nito na natukoy ang isyu at nagsimula ng imbestigasyon agad matapos matukoy ang di-pangkaraniwang aktibidad.

Direktang ipinagbigay-alam ng kumpanya sa mga apektadong user at pinayuhan silang palitan agad ang kanilang mga kredensyal. Sa opisyal nitong update, sinabi ng Vercel, 

“Nakilala namin ang isang insidente sa seguridad na kinasasangkutan ng hindi awtorisadong pag-access sa ilang panloob na sistema ng Vercel.” 

Binanggit din ng kumpanya na ang tugon nito ay kinabibilangan ng pagsubaybay at mga hakbang sa pagpigil upang maiwasan ang karagdagang pag-access.

Mga Pag-aangkin ng mga Hacker at Posisyon ng Kumpanya

Lumabas ang mga ulat ng paglabag matapos mag-post ang isang user na kilala bilang ShinyHunters sa isang hacking forum na nag-aalok ng umano'y data ng Vercel sa halagang $2 milyon. Inaangkin ng post ang pag-access sa mga sensitibong asset tulad ng source code, nilalaman ng database, at panloob na account ng empleyado.

Hindi pa kinukumpirma ng Vercel ang buong saklaw ng mga pag-aangking ito. Gayunpaman, inilarawan nito ang umatake bilang "lubos na sopistikado batay sa bilis ng kanilang operasyon at detalyadong pag-unawa sa mga sistema ng Vercel." Hindi nagbigay ng detalye ang kumpanya kung na-access ang lahat ng data na binanggit sa forum post.

Ayon kay Vercel CEO Guillermo Rauch, nagsimula ang paglabag sa isang nakompromisong account ng empleyado. Sinabi niya na nakuha ng umatake ang pag-access sa pamamagitan ng isang third-party na artificial intelligence tool na tinatawag na Context.ai. Nagbigay-daan ito sa umatake na makapasok sa Google Workspace account ng empleyado.

Mula roon, na-access ng umatake ang ilang bahagi ng panloob na sistema ng Vercel. Sinabi ni Rauch, "nagawa ng umatake na ikompromiso ang Google Workspace account ng empleyado ng Vercel." Idinagdag niya na ginamit ng umatake ang pag-access na ito upang mabilis na lumipat sa sistema at mangalap ng impormasyon.

Mga Panukalang Panseguridad at Patuloy na Pagsubaybay

Ipinaliwanag ng Vercel na ang mga kapaligiran ng customer ay nakaimbak na may encryption. Kasabay nito, ang ilang variable ay maaaring markahan bilang hindi sensitibo, na posibleng na-access sa panahon ng paglabag. Sinabi ni Rauch, "nakakuha ang umatake ng karagdagang pag-access sa pamamagitan ng kanilang enumeration," na tumutukoy sa kung paano sinuri ang data ng sistema.

Gumawa ang kumpanya ng mga hakbang upang seguruhin ang imprastraktura nito at suriin ang software supply chain nito. Kinumpirma nito na ang mga pangunahing proyekto tulad ng Next.js at Turbopack ay nananatiling ligtas. 

Pinayuhan ni Rauch ang mga user na sundin ang karaniwang hakbang sa seguridad, na sinasabing, "pagpapalit ng lihim, pagsubaybay sa pag-access sa iyong mga Vercel environment at konektadong serbisyo" ay mga kinakailangang aksyon matapos ang gayong mga pangyayari.