Vercel 보안 침해 확인, 해커는 탈취한 데이터를 판매 중이라고 주장

Vercel이 내부 시스템 무단 접근을 공식 확인했고, 현재 사고 대응 전문가와 법 집행 기관과 함께 조사 중이다. 서비스 자체에는 영향이 없었지만, 일부 고객이 영향을 받았다고 밝혔다.

침해의 출발점은 서드파티 AI 도구 Context.ai의 Google Workspace OAuth 앱 손상이었다. 이 경로를 통해 Vercel 직원 계정이 탈취됐고, 이후 해당 계정에서 Vercel 환경으로 권한 상승이 이뤄진 것으로 설명됐다.

공격자는 non-sensitive 환경 변수를 열거해 추가 접근을 얻었으며, 이 변수들은 at rest 암호화가 적용되지 않은 상태로 저장돼 있었다. Vercel은 고객의 sensitive 환경 변수는 fully encrypted at rest로 저장하지만, 이번 사건은 민감하지 않다고 분류된 변수 관리가 취약점으로 작용할 수 있음을 드러냈다.

해커는 해킹 포럼과 Telegram에서 ShinyHunters를 자처하며 다음을 판매한다고 주장했다.

• access keys
• source code
• database data
• internal deployment access
• API keys 포함한 토큰들

또한 Linear 데이터를 증거로 제시하며 다수 직원 계정 접근 권한을 보유했다고 주장했고, 200만 달러 ransom을 요구했다고 전해졌다. 다만 BleepingComputer는 해당 데이터와 스크린샷의 진위를 독립적으로 확인하지 못했다.

Vercel은 고객에게 다음을 권고했다.

• environment variables 검토
• 필요 시 sensitive environment variable feature 활성화
• secret rotation 수행

또한 Next.js, Turbopack 등 오픈소스 프로젝트의 안전성에는 영향이 없다고 강조했고, 대시보드에는 environment variable overview와 개선된 관리 인터페이스를 배포했다고 밝혔다. Google Workspace 관리자는 특정 OAuth client ID를 점검하라는 IOC도 함께 공개됐다.