Vercel subisce un attacco informatico: malware su Roblox apre la strada al furto di dati

Un attacco informatico ha messo a rischio i clienti di Vercel, azienda nota per lo sviluppo di Next.js e altre librerie open-source. L'hacker ha attraversato più sistemi interni, rubando credenziali e dati sensibili, secondo un bollettino di sicurezza pubblicato domenica.

L'attacco non è partito direttamente da Vercel, ma ha sfruttato le vulnerabilità di applicazioni cloud interconnesse e integrazioni SaaS con permessi eccessivi. Gli investigatori di Hudson Rock hanno ricostruito la catena degli eventi: tutto è iniziato a febbraio, quando un computer di un dipendente di Context.ai è stato infettato dal malware Lumma Stealer dopo aver cercato exploit per Roblox, un vettore comune per distribuire infostealer.

Context.ai ha ammesso che la violazione ha permesso all'attaccante di accedere al suo ambiente AWS e a token OAuth di alcuni utenti, incluso un token associato a un account Google Workspace di un dipendente Vercel. Sebbene Vercel non sia un cliente di Context.ai, il dipendente utilizzava la Context AI Office Suite con accesso completo.

«L'attaccante ha sfruttato questo accesso per prendere il controllo dell'account Google Workspace del dipendente Vercel, ottenendo l'accesso ad alcuni ambienti e variabili d'ambiente di Vercel non contrassegnate come sensibili», ha dichiarato l'azienda nel suo bollettino. Vercel ha precisato che solo un numero limitato di clienti è stato colpito e che questi sono stati immediatamente avvisati di ruotare le credenziali.

Il CEO di Vercel, Guillermo Rauch, ha sottolineato che i dati dei clienti memorizzati dall'azienda sono completamente crittografati, ma l'attaccante ha ottenuto ulteriori accessi tramite enumerazione, cioè contando e inventariando variabili specifiche. «Crediamo che il gruppo attaccante sia altamente sofisticato e, sospetto fortemente, abbia accelerato le proprie azioni grazie all'AI», ha scritto su X. «Si sono mossi con una velocità e una comprensione approfondita di Vercel sorprendenti».

Un gruppo di minaccia che si fa chiamare ShinyHunters ha rivendicato l'attacco su Telegram, affermando di voler vendere i dati rubati, inclusi chiavi di accesso, codice sorgente e database. Tuttavia, secondo Austin Larsen, analista principale delle minacce di Google Threat Intelligence, «è probabile che si tratti di un impostore che cerca di aumentare la propria notorietà sfruttando un nome noto».

Vercel ha anche avvertito che l'attacco all'app OAuth di Google Workspace di Context.ai «è stato parte di una compromissione più ampia, potenzialmente coinvolgendo centinaia di utenti in molte organizzazioni». L'azienda ha pubblicato indicatori di compromissione e invitato i clienti a revisionare i log di attività, controllare e ruotare le variabili contenenti segreti.

Sia Vercel che Context.ai hanno confermato che le loro indagini separate e coordinate, supportate da CrowdStrike e Mandiant, sono ancora in corso.