Vercel xác nhận một phần dữ liệu khách hàng đã bị lộ sau vụ xâm nhập bắt nguồn từ Context.ai, nền tảng bên thứ ba có tích hợp với Google Workspace. Theo SiliconAngle, tin tặc đã lợi dụng quyền truy cập này để đăng nhập vào tài khoản Google Workspace của một nhân viên Vercel, từ đó tiếp cận biến môi trường của một số khách hàng.

Thông tin được Vercel công bố vào đêm 19/4 trong một thông báo bảo mật. Công ty, từng được định giá 9,3 tỷ USD vào năm ngoái, hiện cung cấp công cụ và hạ tầng đám mây phục vụ việc phát triển ứng dụng web dựa trên framework mã nguồn mở Node.js.

Vercel cho biết sự cố bắt nguồn từ Context.ai, một nền tảng đám mây hỗ trợ tự động hóa tác vụ bằng AI và kết nối với các dịch vụ bên thứ ba như Google Workspace. Sau khi xâm nhập Context.ai, tin tặc đã dùng quyền truy cập có được để đăng nhập vào tài khoản Google Workspace của nhân viên Vercel.

Từ tài khoản bị chiếm quyền, kẻ tấn công truy cập được biến môi trường của một số khách hàng. Đây là nơi lưu trữ các thông tin nhạy cảm như mật khẩu cơ sở dữ liệu hoặc khóa mã hóa. Vercel cho biết công ty có cung cấp tính năng bảo vệ riêng cho các biến môi trường nhạy cảm, nhưng các dữ liệu bị lộ trong sự cố lần này thuộc trường hợp chưa kích hoạt tính năng đó.

Theo đánh giá của Vercel, do các khách hàng liên quan không sử dụng lớp bảo vệ này, mức độ nghiêm trọng của vụ việc được xem là không cao.

SiliconAngle cho biết dữ liệu bị lộ bao gồm thông tin của hàng trăm nhân viên cùng nhiều API key. Một số API key trong đó được liên kết với các kho mã trên GitHub. Vercel hiện quản lý các kho mã Node.js trên GitHub và duy trì nhiều dự án mã nguồn mở khác, làm dấy lên lo ngại về nguy cơ tấn công chuỗi cung ứng có thể ảnh hưởng đến cộng đồng lập trình viên.

Trên mạng xã hội X, CEO Guillermo Rauch nói rằng quá trình phân tích chuỗi cung ứng cho thấy Next.js, Turbopack và nhiều dự án mã nguồn mở khác vẫn an toàn. Vercel hiện phối hợp với Google Mandiant để điều tra sự cố.

Công ty cũng khuyến nghị khách hàng thay thế các biến môi trường không nhạy cảm và rà soát log hoạt động để phát hiện dấu hiệu bất thường. Đồng thời, Vercel đã giới thiệu một dashboard mới nhằm hỗ trợ quản lý và giám sát biến môi trường thuận tiện hơn.