Data van Vercel-klanten op straat na geavanceerde cyberaanval

De bron: Een gecompromitteerde OAuth-app

Het incident begon bij Context.ai, een AI-hulpmiddel van een derde partij. De aanvaller slaagde erin de Google Workspace OAuth-app van deze tool over te nemen. Via deze weg kreeg de hacker toegang tot het zakelijke Google-account van een Vercel-medewerker, wat vervolgens de deur opende naar specifieke interne omgevingen van Vercel.

Vercel omschrijft de aanvaller als "zeer geavanceerd", gezien de snelheid waarmee de systemen werden geanalyseerd. Het incident lijkt onderdeel van een bredere aanval die honderden gebruikers van de bewuste AI-tool bij verschillende organisaties kan treffen.

Impact op klanten

Volgens Vercel is de schade vooralsnog beperkt tot een specifieke subset van klanten. De aanvallers konden omgevingsvariabelen inzien die niet als "gevoelig" waren gemarkeerd. Deze waarden worden als platte tekst opgeslagen en zijn daardoor leesbaar bij ongeoorloofde toegang.

Belangrijk is dat variabelen die wél als "sensitive" zijn gemarkeerd, versleuteld worden opgeslagen op een manier die voorkomt dat ze gelezen kunnen worden. Vercel stelt dat er momenteel geen bewijs is dat deze versleutelde waarden zijn gecompromitteerd.

Maatregelen en onderzoek

Vercel heeft cybersecurity-experts van Mandiant ingeschakeld om het incident te onderzoeken en de systemen te saneren. Ook de politie en relevante toezichthouders zijn op de hoogte gesteld. Het bedrijf werkt daarnaast direct samen met Context.ai om de volledige omvang van het onderliggende lek te begrijpen.

Dringend advies aan gebruikers

Vercel benadrukt dat het simpelweg verwijderen van een project of account niet voldoende is om het risico te elimineren. Als API-sleutels of tokens zijn uitgelekt, blijven deze geldig, ook als het project op Vercel niet meer bestaat.

Het bedrijf adviseert klanten de volgende stappen te nemen:

• Rotate Secrets: Ververs onmiddellijk alle API-keys, tokens en databasewachtwoorden die niet als "sensitive" waren gemarkeerd.
• Gebruik 'Sensitive Variables': Maak vanaf nu consequent gebruik van de beveiligingsfunctie voor gevoelige variabelen.
• Check Logs: Controleer de activiteitslogs in het Vercel-dashboard op verdachte handelingen of onverwachte deployments.
• 2FA: Schakel tweestapsverificatie in op alle Vercel-accounts.

Vercel blijft de situatie monitoren en zal updates publiceren via hun officiële Security Bulletin naarmate het onderzoek vordert.