CEO Vercel mengatakan bahwa kelompok peretas yang "sangat canggih" dan berpotensi dibantu AI berada di balik insiden keamanan baru-baru ini yang membocorkan beberapa kredensial pelanggan setelah pelanggaran sistem internal.

“Kami meyakini kelompok penyerang ini sangat canggih dan, saya sangat menduga, sangat dipercepat oleh AI,” cuit CEO Guillermo Rauch, menambahkan bahwa para penyerang “bergerak dengan kecepatan yang mengejutkan dan pemahaman mendalam tentang Vercel.”

Perusahaan, yang merupakan platform cloud untuk pengembang, mengatakan pada hari Minggu bahwa mereka telah mengidentifikasi akses tidak sah ke sistem internal tertentu dan sedang aktif menyelidiki. Insiden tersebut memengaruhi sebagian kecil pelanggan yang kredensialnya telah dikompromikan, mendorong perusahaan untuk menyarankan rotasi kredensial segera.

Pelanggaran tersebut berasal dari kompromi Context.ai, alat AI pihak ketiga yang digunakan oleh karyawan Vercel, yang memungkinkan penyerang mengambil alih akun Google Workspace karyawan tersebut dan mendapatkan akses ke beberapa lingkungan Vercel serta variabel lingkungan non-sensitif.

Pengungkapan ini menyoroti kekhawatiran yang berkembang mengenai risiko keamanan yang ditimbulkan oleh integrasi pihak ketiga dan perangkat bertenaga AI, karena penyerang semakin sering mengeksploitasi kerentanan rantai pasok untuk mendapatkan pijakan di dalam organisasi.

Vercel dan Kripto

Natalie Newson, peneliti keamanan blockchain senior CertiK, mengatakan kepada Decrypt bahwa peristiwa ini telah memicu urgensi di kalangan pengembang kripto secara khusus. “Karena banyak frontend kripto menggunakan Vercel untuk menghosting UI mereka, pelanggaran dapat memungkinkan penyerang menanamkan wallet drainer. Pengguna yang berinteraksi dengan halaman terpercaya tidak akan mengharapkan sesuatu yang berbahaya terjadi,” katanya, menambahkan bahwa, "Eksploitasi di ruang kripto dapat menyebabkan kerugian finansial yang signifikan."

Meskipun smart contract tetap aman, kompromi pada antarmuka pengguna (frontend) tetap menimbulkan risiko. “Kompromi frontend bisa sangat merugikan pengguna akhir,” catatnya, menunjuk pada insiden CoW Swap pada bulan April di mana seorang pengguna kehilangan $316k dari dompet mereka.

Dia mengatakan bahwa tren peningkatan AI agentic telah menyebabkan banyak pengguna memposting aplikasi dan ekstensi terbaru untuk meningkatkan produktivitas dan pelaku jahat memanfaatkan tren ini. “Perusahaan harus sangat berhati-hati saat menggunakan aplikasi dan ekstensi AI baru sambil meninjau model keamanan internal untuk memastikan bahwa jika terjadi pelanggaran, dampaknya tetap seminimal mungkin,” katanya.

Rauch mengatakan serangan itu terjadi melalui “serangkaian manuver” yang dimulai dengan akun karyawan yang disusupi dan meningkat menjadi akses yang lebih luas ke lingkungan internal. Meskipun Vercel menyimpan variabel lingkungan pelanggan yang dienkripsi saat tidak aktif, perusahaan mengizinkan beberapa variabel ditandai sebagai non-sensitif, yang dapat diakses oleh para penyerang.

Perusahaan meyakini jumlah pelanggan yang terpengaruh terbatas dan mengatakan telah menghubungi mereka yang berpotensi terdampak sebagai prioritas. Vercel sejak itu telah menerapkan langkah-langkah pemantauan dan perlindungan tambahan, sekaligus meninjau rantai pasokannya untuk memastikan keamanan proyek-proyek seperti Next.js dan Turbopack.

John Woods, CEO Nillion, mengatakan kepada Decrypt bahwa “subset terbatas” biasanya berarti kumpulan pelanggan yang terpengaruh yang terlihat sejauh ini tampak terbatas, tetapi tidak serta-merta mengesampingkan pergerakan internal yang lebih luas atau risiko hilir yang lebih besar. “Dalam platform cloud modern, radius ledakan bukan hanya tentang berapa banyak pelanggan yang terlihat terpengaruh pada awalnya, tetapi juga tentang apa yang bisa dicapai oleh sistem yang dikompromikan di balik layar,” kata Woods.

Dia merekomendasikan perusahaan untuk mengikuti berbagai praktik terbaik untuk menghindari situasi semacam ini. “Kunci izin OAuth, gunakan prinsip hak akses paling rendah (least privilege), terapkan kontrol ketat seputar variabel lingkungan sensitif, pisahkan deployment frontend dari otoritas rahasia atau penandatanganan, dan pantau deployment serta log dengan cermat,” katanya.

“Bagi siapa pun yang kredensialnya mungkin telah diambil, prioritas utama adalah mencabut akses, merotasi kredensial, dan meninjau setiap sistem yang dapat dijangkau oleh kredensial tersebut,” tambahnya, mencatat bahwa, “Pada tingkat yang lebih tinggi, pelajarannya adalah menghindari arsitektur di mana satu kompromi dapat menjangkau terlalu banyak.”

Belum jelas siapa di balik serangan ini. Tangkapan layar telah muncul dari seorang pengguna dengan nama kelompok peretas “ShinyHunters” yang mengklaim di sebuah forum telah membobol Vercel dan menjual akses ke data perusahaan, termasuk kode sumber, kunci API, dan sistem internal.

Pelaku, yang mungkin juga meniru ShinyHunters, juga mengklaim telah membahas permintaan tebusan $2 juta dengan perusahaan. Vercel tidak segera menanggapi permintaan untuk mengkonfirmasi klaim tersebut.