VercelのCEOは、最近発生したセキュリティイベントが「高度に複雑」で、おそらくAIを活用したハッカー組織によって引き起こされ、内部システムが侵害され、一部の顧客認証情報が漏洩したと述べた。
「攻撃組織は非常に熟練しており、人工知能が彼らの攻撃を大幅に加速していると強く疑っています」と、CEOのギヨermo・ローアは推特で述べ、攻撃者は「驚異的な速度で行動し、Vercelについて深い理解を持っている」と補足しました。
この会社は開発者向けのクラウドプラットフォーム企業であり、说日曜日、一部の内部システムが不正アクセスを受け、現在積極的に調査を進めている。このイベントにより一部の顧客の認証情報が漏洩したため、同社は顧客に直ちに認証情報の変更を推奨している。
今回のセキュリティ脆弱性は、Vercelの従業員が使用していたサードパーティのAIツールContext.aiが攻撃を受け、攻撃者がそのツールを悪用して従業員のGoogle Workspaceアカウントを乗っ取り、一部のVercel環境および非センシティブな環境変数へのアクセスを獲得したことが原因です。
今回の開示は、攻撃者がサプライチェーンの脆弱性を悪用して組織内部に侵入する事例が増加していることから、サードパーティ統合およびAIツールがもたらすセキュリティリスクに対する懸念が高まっていることを浮き彫りにしています。
Vercel と暗号通貨
CertiKの上級ブロックチェーンセキュリティ研究員、ナタリー・ニューソンは、デコードに対して、この事件は暗号通貨開発者たちの注目を特に引いたと語った。「多くの暗号通貨のフロントエンドがVercelを使用してユーザーインターフェースをホストしているため、侵入されると攻撃者がウォレット資金を盗む悪意のあるプログラムを埋め込む可能性があります。信頼できるページとやり取りするユーザーは、何らかの悪意のある行為が発生すると予想しません。」彼女は追加で、「暗号通貨分野の脆弱性は……」重大な財務損失「を引き起こす可能性があります。」
スマートコントラクトが安全であるにもかかわらず、フロントエンドの侵入は依然としてリスクを伴います。「フロントエンドの侵入はエンドユーザーにとって特に有害です」と彼女は指摘し、これを強調しました。牛交換は今年4月、ユーザーのウォレットから31万6,000ドルが盗まれる事件が発生しました。
彼女は、上昇トレンド智能体人工智能により、多くのユーザーが生産性を向上させるために最新のアプリケーションや拡張機能を公開しており、悪意のある行動者もこのトレンドを悪用していると述べた。彼女は、「企業は新しいAIアプリケーションや拡張機能の使用に特に注意を払い、内部セキュリティモデルを確認することで、セキュリティ侵害が発生した場合でもその影響を最小限に抑えるべきである」と述べた。
ローハーは、この攻撃が「一連の手法」を用いて行われたと述べ、まず従業員アカウントが乗っ取られ、段階的に権限が昇格し、最終的に内部環境へのより大きなアクセス権を獲得したと説明した。Vercelは顧客の環境変数を静的に暗号化して保存しているが、同社は一部の変数を非センシティブとしてマークすることを許可しており、攻撃者はこれらの変数にアクセスできた。
同社は影響を受けた顧客の数は限定的であると判断し、影響を受けた可能性のある顧客に優先的に連絡したと述べました。Vercelはその後、Next.jsやTurbopackなどのプロジェクトの安全性を確保するため、追加の監視と保護措置を展開し、サプライチェーンを見直しました。
NillionのCEO、ジョン・ウッズは解密に対し、この「限定的なサブセット」は、現在観察されている影響を受けた顧客グループが限られていることを意味するが、より広範な内部拡散やより広範な下流リスクを排除するものではないと語った。ウッズは、「現代のクラウドプラットフォームでは、影響範囲は、最初に明示的に影響を受けた顧客の数だけでなく、損傷を受けたシステムがバックエンドでアクセスできる範囲にも依存する」と述べた。
彼は、このような状況を避けるために企業が一連のベストプラクティスに従うことを提案した。「OAuth認証のセキュリティを強化し、最小権限の原則を採用し、機密環境変数に厳格な制御を施し、フロントエンドのデプロイとキーまたは署名権限を分離し、デプロイとログを密に監視する。」
彼は追加で、「あらゆる資格情報が不正使用される可能性のある人々にとって、最も緊急の対応はアクセス権限の取り消し、資格情報のローテーション、およびこれらの資格情報がアクセス可能なすべてのシステムの監査です」と指摘し、「より高いレベルでの教訓は、1回の漏洩で広範囲に影響を与える可能性のあるアーキテクチャを避けることです。」
現在のところ、この攻撃を企画したのは誰かは不明です。スクリーンショット「ShinyHunters」というハッカー組織のユーザーがフォーラム上で、Vercelに侵入し、ソースコード、APIキー、内部システムを含む企業データへのアクセス権を販売していると主張しています。
この俳優（彼はShinyHuntersを装っている可能性もある）は、200万ドルの身代金要求について同社と話し合ったと主張している。Vercelはまだこれに対してコメントしていない。