Vercel signale un accès non autorisé via un outil IA compromis, aucune donnée sensible n'a été affectée

Vercel a publié une analyse de l'incident de sécurité, indiquant que certains de ses systèmes internes ont été accessibles sans autorisation, en raison de la compromission d'un outil tiers utilisé par un employé, Context.ai. Les attaquants ont ainsi pris le contrôle du compte Google Workspace de cet employé et accédé à certaines données de configuration d'environnement. L'impact initial concerne un petit nombre de variables d'environnement non marquées comme « sensibles » (telles que des clés API, des jetons, etc.) qui pourraient avoir été exposées ; les utilisateurs concernés ont été notifiés et encouragés à renouveler immédiatement leurs identifiants. À ce jour, aucune preuve ne suggère que les données marquées comme « sensibles » ou la chaîne d'approvisionnement (par exemple, les paquets npm) aient été modifiées. Vercel a indiqué que les attaquants possédaient un haut niveau de compétence technique, et a collaboré avec Mandiant ainsi que plusieurs organismes de sécurité pour mener une enquête, tout en déposant une plainte auprès des autorités compétentes. L'entreprise a également souligné que ses services plateforme continuent de fonctionner normalement. Elle recommande aux utilisateurs d'activer l'authentification à deux facteurs, de renouveler intégralement les variables d'environnement potentiellement compromises, et de vérifier les journaux d'activité des comptes ainsi que les historiques de déploiement afin de prévenir tout risque supplémentaire.