Vercel telah mengonfirmasi pelanggaran keamanan yang melibatkan akses tidak sah ke sebagian sistem internalnya.
Perusahaan menyatakan bahwa insiden tersebut memengaruhi sejumlah “terbatas” kredensial pelanggan. Perusahaan melaporkan bahwa mereka mendeteksi masalah tersebut dan memulai investigasi segera setelah mengidentifikasi aktivitas yang tidak biasa.
Perusahaan memberi tahu pengguna yang terkena dampak secara langsung dan menyarankan mereka untuk segera merotasi kredensial mereka. Dalam pembaruan resminya, Vercel mengatakan,
“Kami mengidentifikasi insiden keamanan yang melibatkan akses tidak sah ke sistem internal Vercel tertentu.”
Perusahaan juga mencatat bahwa responsnya mencakup tindakan pemantauan dan penahanan untuk mencegah akses lebih lanjut.
Laporan pelanggaran muncul setelah seorang pengguna yang dikenal sebagai ShinyHunters memposting di forum peretasan yang menawarkan dugaan data Vercel seharga $2 juta. Postingan tersebut mengklaim akses ke aset sensitif seperti kode sumber, konten basis data, dan akun karyawan internal.
Vercel belum mengonfirmasi cakupan penuh klaim ini. Namun, mereka menggambarkan penyerang sebagai “sangat canggih berdasarkan kecepatan operasional mereka dan pemahaman mendetail tentang sistem Vercel.” Perusahaan belum memberikan detail apakah semua data yang disebutkan dalam postingan forum tersebut diakses.
Menurut CEO Vercel Guillermo Rauch, pelanggaran tersebut dimulai dengan akun karyawan yang disusupi. Dia mengatakan penyerang mendapatkan akses melalui alat kecerdasan buatan pihak ketiga bernama Context.ai. Ini memungkinkan penyerang untuk masuk ke akun Google Workspace karyawan.
Dari sana, penyerang mengakses sebagian sistem internal Vercel. Rauch menyatakan, “penyerang kemudian dapat menyusupi akun Google Workspace karyawan Vercel.” Dia menambahkan bahwa penyerang menggunakan akses ini untuk bergerak cepat melalui sistem dan mengumpulkan informasi.
Vercel menjelaskan bahwa lingkungan pelanggan disimpan dengan enkripsi. Pada saat yang sama, beberapa variabel dapat ditandai sebagai non-sensitif, yang mungkin telah diakses selama pelanggaran. Rauch mengatakan, “penyerang mendapatkan akses lebih lanjut melalui enumerasi mereka,” merujuk pada bagaimana data sistem dieksplorasi.
Perusahaan telah mengambil langkah-langkah untuk mengamankan infrastrukturnya dan meninjau rantai pasok perangkat lunaknya. Mereka mengonfirmasi bahwa proyek-proyek utama seperti Next.js dan Turbopack tetap aman.
Rauch menyarankan pengguna untuk mengikuti langkah-langkah keamanan standar, menyatakan, "rotasi rahasia, pemantauan akses ke lingkungan Vercel Anda dan layanan terkait" adalah tindakan yang diperlukan setelah kejadian tersebut.
