VercelのCEOは、最近発生したセキュリティイベントが「高度に複雑」で、おそらく人工知能を活用したハッカー組織によって引き起こされ、内部システムが侵入され、一部の顧客認証情報が漏洩したと述べた。
「我々は攻撃組織が非常に熟練していると考えており、人工知能が彼らの攻撃を大幅に加速した可能性が高いと強く疑っています」と、CEOのギジェルモ・ラウヒは推特で述べ、攻撃者は「驚異的な速さで行動し、Vercelについて深い理解を持っている」と補足しました。
以下は、広大なコミュニティへのイベント調査の進捗状況の報告です。直接皆様に状況を簡潔にご説明したいと思います。
Vercelの従業員が、AIプラットフォームという名前の顧客による侵入事件の影響を受けました。https://t.co/xksNNigVfE彼が当時使用していたもの。詳細…
— ギヨーム・ローシュ (@rauchg)2026年4月19日
この会社は開発者向けのクラウドプラットフォーム企業であり、说日曜日、一部の内部システムが不正アクセスを受け、現在積極的に調査中であると述べた。このイベントにより一部の顧客の認証情報が漏洩したため、同社は顧客に直ちに認証情報を変更するよう推奨している。
今回のセキュリティ脆弱性は、Vercelの従業員が使用していたサードパーティのAIツールContext.aiが攻撃を受け、攻撃者がそのツールを介して従業員のGoogle Workspaceアカウントを乗っ取り、一部のVercel環境および非センシティブな環境変数へのアクセスを獲得したことが原因です。
今回の開示は、攻撃者がサプライチェーンの脆弱性を悪用して組織内部に侵入する事例が増加していることから、サードパーティ統合およびAIツールがもたらすセキュリティリスクに対する懸念が高まっていることを浮き彫りにしています。
Vercel と暗号通貨
CertiKの上級ブロックチェーンセキュリティ研究員であるナタリー・ニューソンは、デコードに対して、この事件は暗号通貨開発者たちの注目を特に引いたと語った。「多くの暗号通貨のフロントエンドがVercelを利用してユーザーインターフェースをホストしているため、侵入されると攻撃者がウォレット資金を盗む悪意のあるプログラムを埋め込む可能性があります。信頼できるページとやり取りするユーザーは、何らかの悪意のある行為が発生することを想定していません。」彼女は追加で、「暗号通貨分野の脆弱性は……」重大な財務損失「を引き起こす可能性があります。」
たとえスマートコントラクトがシステムの安全性を保っているとしても、フロントエンドの侵入は依然としてリスクを伴います。「フロントエンドの侵入はエンドユーザーにとって特に有害です」と彼女は指摘し、これを強調しました。牛交换は今年4月、ユーザーのウォレットから31万6,000ドルが盗まれる事件が発生しました。
彼女は、上昇トレンド智能体人工智能により、多くのユーザーが生産性を向上させるために最新のアプリケーションや拡張機能を公開しており、悪意のある行動者もこのトレンドを利用していると述べた。彼女は、「企業は新しいAIアプリケーションや拡張機能の使用に特に注意を払い、内部セキュリティモデルを確認することで、セキュリティ侵害が発生した場合でもその影響を最小限に抑えるべきである」と述べた。
ローハーは、この攻撃が「一連の手口」を通じて行われ、まず従業員アカウントが乗っ取られ、段階的に権限が昇格され、最終的に内部環境へのより大きなアクセス権を得たと述べた。Vercelは顧客の環境変数を静的に暗号化して保存しているが、同社は一部の変数を非センシティブとしてマークすることを許可しており、攻撃者はこれらの変数にアクセスできた。
同社は影響を受けた顧客の数は限定的であると判断し、影響を受けた可能性のある顧客に優先的に連絡したと述べました。Vercelはその後、Next.jsやTurbopackなどのプロジェクトの安全性を確保するため、追加の監視と保護措置を導入し、サプライチェーンを見直しました。
Nillionの最高経営責任者であるジョン・ウッズは、解密に対して、この「限定的なサブセット」は、現在観察されている影響を受けた顧客グループが限られていることを意味するが、より広範な内部拡散やより広範な下流リスクを排除するものではないと語った。ウッズは、「現代のクラウドプラットフォームでは、影響範囲は、最初に明示的に影響を受けた顧客の数だけでなく、損傷を受けたシステムがバックグラウンドでアクセスできる範囲にも依存する」と述べた。
彼は、このような状況を避けるために企業が一連のベストプラクティスに従うことを提案した。「OAuth認証のセキュリティを強化し、最小権限の原則を採用し、機密環境変数に厳格な制御を施し、フロントエンドのデプロイとキーまたは署名権限を分離し、デプロイとログを密に監視する。」
彼は追加で、「どの資格情報が盗まれた可能性があるかに関わらず、直ちにアクセス権を無効化し、資格情報を変更し、それらの資格情報がアクセス可能なすべてのシステムを確認することが最優先です。より広い視点では、1度の漏洩で広範囲に影響を与えるようなアーキテクチャを避けることが教訓です。」
現在のところ、この攻撃を企画したのは誰かは明確になっていません。スクリーンショット「ShinyHunters」という名前のハッカー組織のユーザーがフォーラム上で、Vercelに侵入し、ソースコード、APIキー、内部システムを含む企業データへのアクセス権を販売していると主張しています。
この俳優（彼はShinyHuntersを装っている可能性もある）は、同社と200万ドルの身代金要求について話し合ったと主張している。Vercelはまだこれに対してコメントしていない。