CEO của Vercel cho biết một nhóm hacker “rất tinh vi”, có khả năng được hỗ trợ bởi AI, đứng sau sự cố bảo mật gần đây làm lộ một số thông tin đăng nhập của khách hàng sau khi hệ thống nội bộ bị xâm nhập.

“Chúng tôi tin rằng nhóm tấn công này rất tinh vi và, tôi cực kỳ nghi ngờ, được tăng tốc đáng kể bởi AI,” CEO Guillermo Rauch đã tweet, đồng thời cho biết thêm rằng những kẻ tấn công “di chuyển với tốc độ đáng ngạc nhiên và hiểu biết sâu sắc về Vercel.”

Công ty, một nền tảng đám mây dành cho nhà phát triển, cho biết vào Chủ nhật rằng họ đã xác định được việc truy cập trái phép vào một số hệ thống nội bộ và đang tích cực điều tra. Sự cố đã ảnh hưởng đến một nhóm nhỏ khách hàng có thông tin đăng nhập bị xâm phạm, khiến công ty phải khuyến nghị xoay vòng thông tin đăng nhập ngay lập tức.

Vụ vi phạm bắt nguồn từ việc công cụ AI bên thứ ba Context.ai, được một nhân viên Vercel sử dụng, bị xâm phạm, cho phép kẻ tấn công chiếm đoạt tài khoản Google Workspace của nhân viên này và truy cập vào một số môi trường Vercel cùng các biến môi trường không nhạy cảm.

Việc tiết lộ này làm nổi bật những lo ngại ngày càng tăng về rủi ro bảo mật do các tích hợp bên thứ ba và công cụ hỗ trợ AI gây ra, khi những kẻ tấn công ngày càng khai thác các lỗ hổng chuỗi cung ứng để xâm nhập vào các tổ chức.

Vercel và tiền mã hóa

Natalie Newson, nhà nghiên cứu bảo mật blockchain cấp cao tại CertiK, nói với Decrypt rằng sự kiện này đã thúc đẩy sự khẩn cấp đặc biệt trong giới nhà phát triển tiền mã hóa. “Vì nhiều giao diện người dùng (frontend) tiền mã hóa sử dụng Vercel để lưu trữ UI của họ, một vụ vi phạm có thể cho phép kẻ tấn công cài đặt một công cụ rút ví. Người dùng tương tác với một trang đáng tin cậy sẽ không mong đợi bất kỳ điều gì độc hại xảy ra,” cô nói thêm rằng, “Các vụ khai thác trong không gian tiền mã hóa có thể dẫn đến những tổn thất tài chính đáng kể.”

Ngay cả khi các hợp đồng thông minh vẫn an toàn, việc xâm nhập giao diện người dùng vẫn gây ra rủi ro. “Việc xâm nhập giao diện người dùng có thể đặc biệt gây thiệt hại cho người dùng cuối,” cô lưu ý, chỉ ra sự cố CoW Swap vào tháng 4, trong đó một người dùng đã bị rút 316 nghìn đô la từ ví của họ.

Cô cho biết xu hướng AI tác nhân đang gia tăng đã khiến nhiều người dùng đăng tải các ứng dụng và tiện ích mở rộng mới nhất để cải thiện năng suất và những kẻ xấu đang tận dụng xu hướng này. “Các công ty nên hết sức thận trọng khi sử dụng các ứng dụng và tiện ích mở rộng AI mới, đồng thời xem xét các mô hình bảo mật nội bộ để đảm bảo rằng nếu một vụ vi phạm xảy ra, tác động vẫn được hạn chế tối đa,” cô nói.

Rauch cho biết cuộc tấn công diễn ra thông qua “một loạt các thao tác” bắt đầu bằng tài khoản nhân viên bị xâm phạm và leo thang thành quyền truy cập rộng hơn vào các môi trường nội bộ. Mặc dù Vercel lưu trữ các biến môi trường của khách hàng được mã hóa khi không sử dụng, công ty cho phép một số biến được đánh dấu là không nhạy cảm, mà những kẻ tấn công đã có thể truy cập.

Công ty tin rằng số lượng khách hàng bị ảnh hưởng là có hạn và cho biết họ đã liên hệ với những người có khả năng bị ảnh hưởng như một ưu tiên hàng đầu. Vercel đã triển khai các biện pháp giám sát và bảo vệ bổ sung, đồng thời xem xét chuỗi cung ứng của mình để đảm bảo an toàn cho các dự án như Next.js và Turbopack.

John Woods, CEO của Nillion, nói với Decrypt rằng “tập hợp con giới hạn” thường có nghĩa là số lượng khách hàng bị ảnh hưởng được quan sát thấy cho đến nay là hạn chế, nhưng điều đó không nhất thiết loại trừ khả năng di chuyển nội bộ rộng hơn hoặc rủi ro lan truyền xuống cấp rộng hơn. “Trong các nền tảng đám mây hiện đại, phạm vi ảnh hưởng không chỉ là về số lượng khách hàng bị ảnh hưởng rõ ràng lúc đầu, mà còn về những gì các hệ thống bị xâm phạm có thể tiếp cận phía sau hậu trường,” Woods nói.

Ông khuyến nghị các công ty nên tuân thủ nhiều phương pháp hay nhất để tránh tình huống này. “Khóa các quyền OAuth, sử dụng đặc quyền tối thiểu, thực thi các kiểm soát chặt chẽ xung quanh các biến môi trường nhạy cảm, tách biệt triển khai giao diện người dùng khỏi quyền bí mật hoặc ký, và giám sát chặt chẽ các lần triển khai và nhật ký,” ông nói.

“Đối với bất kỳ ai có thông tin đăng nhập có thể đã bị đánh cắp, ưu tiên hàng đầu là thu hồi quyền truy cập, xoay vòng thông tin đăng nhập và xem xét mọi hệ thống mà những thông tin đăng nhập đó có thể tiếp cận,” ông nói thêm, lưu ý rằng, “Ở cấp độ cao hơn, bài học là tránh các kiến trúc mà một sự xâm nhập có thể tiếp cận quá nhiều thứ.”

Hiện vẫn chưa rõ ai đứng sau cuộc tấn công. Các ảnh chụp màn hình đã xuất hiện cho thấy một người dùng có tên nhóm hacker “ShinyHunters” tuyên bố trên một diễn đàn đã xâm nhập Vercel và đang bán quyền truy cập vào dữ liệu công ty, bao gồm mã nguồn, khóa API và các hệ thống nội bộ.

Đối tượng này, người cũng có thể mạo danh ShinyHunters, cũng tuyên bố đã thảo luận về yêu cầu tiền chuộc 2 triệu đô la với công ty. Vercel đã không phản hồi ngay lập tức yêu cầu xác nhận những tuyên bố đó.