ซีอีโอของ Vercel ระบุว่า เหตุการณ์ด้านความปลอดภัยล่าสุดเกิดจากกลุ่มแฮกเกอร์ที่ “ซับซ้อนสูง” และอาจใช้ปัญญาประดิษฐ์ ซึ่งทำให้ระบบภายในถูกบุกรุกและข้อมูลรับรองของลูกค้าบางส่วนถูกเปิดเผย
“เราเชื่อว่ากลุ่มผู้โจมตีมีความเชี่ยวชาญสูง และฉันสงสัยอย่างยิ่งว่าปัญญาประดิษฐ์ได้เร่งความเร็วของการโจมตีอย่างมาก” ซีอีโอ กิเลอร์โม ลาウช กล่าวบน ทวิตเตอร์ และเสริมว่าผู้โจมตี “มีความเร็วในการดำเนินการที่น่าทึ่งและมีความเข้าใจลึกซึ้งเกี่ยวกับ Vercel”
บริษัทนี้เป็นแพลตฟอร์มคลาวด์ที่มุ่งเป้าไปที่นักพัฒนา กล่าว เมื่อวันอาทิตย์ที่ผ่านมา บริษัทพบว่าระบบภายในบางส่วนได้รับการเข้าถึงโดยไม่ได้รับอนุญาต และกำลังดำเนินการสอบสวนอย่างเร่งด่วน เหตุการณ์นี้ส่งผลกระทบต่อลูกค้าบางรายที่ข้อมูลรับรองของพวกเขาถูกเปิดเผย ดังนั้นบริษัทจึงแนะนำให้ลูกค้าเปลี่ยนข้อมูลรับรองทันที
ช่องโหว่ด้านความปลอดภัยครั้งนี้เกิดจากเครื่องมือ AI ของบุคคลที่สามที่พนักงานของ Vercel ใช้ ชื่อ Context.ai ถูกโจมตี ผู้โจมตีใช้เครื่องมือนี้ยึดครองบัญชี Google Workspace ของพนักงาน และได้รับสิทธิ์เข้าถึงบางสภาพแวดล้อมของ Vercel และตัวแปรสภาพแวดล้อมที่ไม่ละเอียดอ่อน
การเปิดเผยครั้งนี้เน้นย้ำถึงความกังวลที่เพิ่มขึ้นเกี่ยวกับความเสี่ยงด้านความปลอดภัยที่เกิดจากการผสานรวมของบุคคลที่สามและเครื่องมือปัญญาประดิษฐ์ เนื่องจากผู้โจมตีกำลังใช้ช่องโหว่ในห่วงโซ่อุปทานเพื่อเจาะเข้าสู่องค์กรมากขึ้น
Vercel และ cryptocurrency
นาตาลี นิวสัน นักวิจัยด้านความปลอดภัยบล็อกเชนระดับสูงของ CertiK กล่าวกับ Decrypted ว่าเหตุการณ์ครั้งนี้ได้ดึงดูดความสนใจอย่างมากจากนักพัฒนาสกุลเงินดิจิทัล “เนื่องจากอินเตอร์เฟซผู้ใช้ของสกุลเงินดิจิทัลจำนวนมากใช้ Vercel ในการโฮสต์ เมื่อถูกโจมตี ผู้โจมตีอาจฝังโปรแกรมที่มีเจตนาไม่ดีเพื่อขโมยเงินในกระเป๋าสตางค์ ผู้ใช้ที่โต้ตอบกับหน้าเว็บที่น่าเชื่อถือจะไม่คาดคิดว่าจะเกิดพฤติกรรมที่เป็นอันตรายใดๆ” เธอกล่าว และเสริมว่า “ช่องโหว่ในวงการสกุลเงินดิจิทัลอาจนำไปสู่...” ความสูญเสียทางการเงินอย่างร้ายแรง
แม้ว่า สัญญาอัจฉริยะ จะยังคงปลอดภัย แต่การบุกรุกหน้าเว็บยังคงเป็นความเสี่ยง “การบุกรุกหน้าเว็บเป็นอันตรายอย่างยิ่งต่อผู้ใช้ปลายทาง” เธอชี้ให้เห็น และเน้นย้ำจุดนี้ 牛交换 เกิดเหตุการณ์กระเป๋าเงินของผู้ใช้ถูกขโมยไป 316,000 ดอลลาร์สหรัฐในเดือนเมษายนปีนี้
เธอระบุว่า แนวโน้มการเพิ่มขึ้น ตัวแทนปัญญาประดิษฐ์ ทำให้ผู้ใช้จำนวนมากเผยแพร่แอปพลิเคชันและส่วนขยายล่าสุดเพื่อเพิ่มประสิทธิภาพการทำงาน ขณะเดียวกันผู้กระทำผิดก็กำลังใช้แนวโน้มนี้ประโยชน์ เธอกล่าวว่า: “องค์กรควรระมัดระวังเป็นพิเศษเมื่อใช้แอปพลิเคชันและส่วนขยายปัญญาประดิษฐ์ใหม่ ๆ พร้อมทั้งทบทวนโมเดลความปลอดภัยภายใน เพื่อให้มั่นใจว่าแม้จะเกิดช่องโหว่ด้านความปลอดภัย ผลกระทบก็จะถูกลดทอนให้น้อยที่สุด”
劳赫表示，此次攻击是通过“一系列手段”展开的，首先是员工账户被盗用，然后逐步升级，最终获得对内部环境的更大访问权限。虽然Vercel公司对客户环境变量进行静态加密存储，但该公司允许将部分变量标记为非敏感变量，攻击者得以访问这些变量。
บริษัทเชื่อว่าจำนวนลูกค้าที่ได้รับผลกระทบมีจำกัด และระบุว่าได้ติดต่อผู้ใช้ที่อาจได้รับผลกระทบเป็นอันดับแรก จากนั้น Vercel ได้ดำเนินการติดตั้งมาตรการตรวจสอบและป้องกันเพิ่มเติม พร้อมทั้งทบทวนห่วงโซ่อุปทานเพื่อให้แน่ใจถึงความปลอดภัยของโครงการต่างๆ เช่น Next.js และ Turbopack
หัวหน้าเจ้าหน้าที่บริหารของ Nillion จอห์น วูดส์ กล่าวกับ Decrypted ว่า “ชุดย่อยที่จำกัด” นี้มักหมายถึงกลุ่มลูกค้าที่ได้รับผลกระทบซึ่งสังเกตเห็นได้ในขณะนี้ดูเหมือนจะจำกัด แต่ไม่ได้หมายความว่าจะไม่มีการแพร่กระจายภายในที่กว้างขึ้นหรือความเสี่ยงด้านล่างที่กว้างขึ้น วูดส์กล่าวว่า: “ในแพลตฟอร์มคลาวด์สมัยใหม่ ขอบเขตของการกระทบไม่ได้ขึ้นอยู่กับจำนวนลูกค้าเริ่มต้นที่ได้รับผลกระทบอย่างชัดเจนเท่านั้น แต่ยังขึ้นอยู่กับขอบเขตที่ระบบที่ได้รับผลกระทบสามารถเข้าถึงได้ในพื้นหลัง”
เขาแนะนำให้บริษัทปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุดชุดหนึ่งเพื่อหลีกเลี่ยงสถานการณ์ดังกล่าว “เสริมความปลอดภัยของการอนุญาต OAuth ใช้หลักการสิทธิ์ขั้นต่ำสุด ควบคุมอย่างเข้มงวดต่อตัวแปรสภาพแวดล้อมที่สำคัญ แยกการปรับใช้ฟรอนต์เอนด์ออกจากคีย์หรือสิทธิ์การลงนาม และตรวจสอบการปรับใช้และบันทึกอย่างใกล้ชิด” เขากล่าว
เขาเสริมว่า “สำหรับผู้ที่อาจมีข้อมูลรับรองถูกขโมย ความเร่งด่วนคือการเพิกถอนสิทธิ์การเข้าถึง เปลี่ยนข้อมูลรับรอง และทบทวนระบบแต่ละระบบที่ข้อมูลรับรองเหล่านี้อาจเข้าถึง” โดยชี้ให้เห็นว่า “ในระดับที่สูงกว่า บทเรียนคือหลีกเลี่ยงการใช้สถาปัตยกรรมที่การรั่วไหลเพียงครั้งเดียวอาจส่งผลกระทบในวงกว้าง”
ยังไม่ชัดเจนว่าใครเป็นผู้วางแผนการโจมตีครั้งนี้ ภาพหน้าจอ ผู้ใช้จากกลุ่มแฮกเกอร์ที่ชื่อ “ShinyHunters” ได้ระบุบนฟอรัมว่าได้บุกเข้าสู่ระบบ Vercel และกำลังขายสิทธิ์การเข้าถึงข้อมูลของบริษัท รวมถึงซอร์สโค้ด คีย์ API และระบบภายใน
นักแสดงคนนี้ (ซึ่งอาจกำลังแอบอ้างตัวเป็น ShinyHunters) อ้างว่าเคยพูดคุยกับบริษัทเกี่ยวกับข้อเรียกร้องค่าไถ่ 2 ล้านดอลลาร์สหรัฐ Vercel ยังไม่ได้ให้ความเห็นใดๆ เกี่ยวกับเรื่องนี้