Vercel ने अपने आंतरिक सिस्टम के कुछ हिस्सों तक अनाधिकृत पहुंच से जुड़े सुरक्षा उल्लंघन की पुष्टि की है। 

कंपनी ने बताया कि इस घटना से "सीमित" संख्या में ग्राहक क्रेडेंशियल प्रभावित हुए। उसने बताया कि असामान्य गतिविधि की पहचान करने के तुरंत बाद उसने इस मुद्दे का पता लगाया और जांच शुरू की।

कंपनी ने प्रभावित उपयोगकर्ताओं को सीधे सूचित किया और उन्हें बिना किसी देरी के अपने क्रेडेंशियल बदलने की सलाह दी। अपने आधिकारिक अपडेट में, Vercel ने कहा, 

“हमने एक सुरक्षा घटना की पहचान की जिसमें Vercel के कुछ आंतरिक सिस्टमों तक अनाधिकृत पहुंच शामिल थी।” 

फर्म ने यह भी नोट किया कि उसकी प्रतिक्रिया में आगे की पहुंच को रोकने के लिए निगरानी और नियंत्रण उपाय शामिल थे।

हैकर्स के दावे और कंपनी की स्थिति

उल्लंघन की खबरें तब सामने आईं जब ShinyHunters नामक एक उपयोगकर्ता ने एक हैकिंग फोरम पर कथित Vercel डेटा को $2 मिलियन में बेचने की पेशकश की। पोस्ट में संवेदनशील संपत्तियों जैसे सोर्स कोड, डेटाबेस सामग्री और आंतरिक कर्मचारी खातों तक पहुंच का दावा किया गया था।

Vercel ने इन दावों के पूर्ण दायरे की पुष्टि नहीं की है। हालांकि, इसने हमलावर को "उनकी परिचालन गति और Vercel के सिस्टम की विस्तृत समझ के आधार पर अत्यधिक परिष्कृत" बताया। कंपनी ने यह जानकारी नहीं दी है कि फोरम पोस्ट में उल्लिखित सभी डेटा तक पहुंचा गया था या नहीं।

Vercel के सीईओ गुइलर्मो राउच के अनुसार, उल्लंघन एक समझौता किए गए कर्मचारी खाते से शुरू हुआ। उन्होंने कहा कि हमलावर ने Context.ai नामक एक थर्ड-पार्टी आर्टिफिशियल इंटेलिजेंस टूल के माध्यम से पहुंच प्राप्त की। इसने हमलावर को कर्मचारी के Google Workspace खाते में प्रवेश करने की अनुमति दी।

वहां से, हमलावर ने Vercel के आंतरिक सिस्टम के कुछ हिस्सों तक पहुंच बनाई। राउच ने कहा, "हमलावर तब Vercel कर्मचारी के Google Workspace खाते से समझौता करने में सक्षम था।" उन्होंने आगे कहा कि हमलावर ने इस पहुंच का उपयोग सिस्टम में तेजी से आगे बढ़ने और जानकारी इकट्ठा करने के लिए किया।

सुरक्षा उपाय और चल रही निगरानी

Vercel ने समझाया कि ग्राहक वातावरण एन्क्रिप्शन के साथ संग्रहीत होते हैं। वहीं, कुछ वेरिएबल्स को गैर-संवेदनशील के रूप में चिह्नित किया जा सकता है, जिन तक उल्लंघन के दौरान पहुंच हो सकती थी। राउच ने कहा, "हमलावर ने अपनी गणना के माध्यम से आगे पहुंच प्राप्त की," यह इस बात का जिक्र करते हुए कि सिस्टम डेटा का कैसे अन्वेषण किया गया।

कंपनी ने अपने बुनियादी ढांचे को सुरक्षित करने और अपनी सॉफ्टवेयर आपूर्ति श्रृंखला की समीक्षा करने के लिए कदम उठाए हैं। उसने पुष्टि की कि Next.js और Turbopack जैसी प्रमुख परियोजनाएं सुरक्षित हैं। 

राउच ने उपयोगकर्ताओं को मानक सुरक्षा चरणों का पालन करने की सलाह दी, जिसमें कहा गया है, "क्रेडेंशियल रोटेशन (गुप्‍त विवरण बदलना), आपके Vercel वातावरण और जुड़े हुए सेवाओं तक पहुंच की निगरानी" ऐसी घटनाओं के बाद आवश्यक कार्य हैं।