Vercel bekrefter innbrudd etter kompromittert tredjepartsintegrasjon
Vercel har bekreftet en sikkerhetshendelse med uautorisert tilgang til deler av selskapets interne systemer. Inngangen gikk gjennom et kompromittert tredjeparts AI-verktøy som var koblet til via OAuth i Google Workspace. Angriperne utnyttet den betrodde integrasjonen til å få begrenset intern tilgang, som berørte et lite utvalg systemer og potensielt eksponerte konfigurasjonsdata som miljøvariabler. Vercel oppgir at det ikke er funnet holdepunkter for at sensitive hemmeligheter eller kjerneinfrastrukturen i produksjon ble berørt, og at sentrale tjenester som utrullingsplattformen og Next.js-økosystemet ikke ble rammet. En trusselgruppe har tatt på seg ansvaret og hevder å ha stjålet data, men Vercel har ikke bekreftet påstandene og fortsetter undersøkelsene. Selskapet har trukket tilbake de berørte integrasjonene, hentet inn eksterne eksperter og involvert politimyndighet, og oppfordrer kunder til å gå gjennom tilkoblede tredjepartsapplikasjoner og rotere legitimasjon for sikkerhets skyld.
Hva det betyr for virksomheten
Innbruddet skjedde ikke i plattformen, men i en integrasjon noen hadde koblet på. Det er et mønster de fleste norske virksomheter er eksponert for: OAuth-tilkoblinger til Microsoft 365 eller Google Workspace godkjennes ofte av enkeltansatte, gjelder til de trekkes tilbake, og havner sjelden i noen oversikt. Med den raske innføringen av AI-verktøy har antallet slike koblinger vokst kraftig på kort tid. Er dere kunde hos Vercel, gjelder anbefalingen om rotering av legitimasjon direkte.
Berigo anbefaler
- Hent ut listen over OAuth-applikasjoner som har tilgang til Microsoft 365 eller Google Workspace hos dere, og fjern det som ikke er i bruk.
- Krev administratorgodkjenning før nye applikasjoner kan få tilgang til virksomhetens data.
- Er dere Vercel-kunde: gå gjennom tilkoblede applikasjoner og roter legitimasjon slik leverandøren anbefaler.
- Ta AI-verktøy inn i den ordinære leverandørvurderingen framfor å behandle dem som produktivitetsverktøy uten videre.
Kilde
Sikkerhet som forstås, styres og virker.
La oss hjelpe dere å gjøre sikkerhet til et fortrinn, ikke en kostnad. Ta kontakt for en uforpliktende samtale om hvor virksomheten står, og hva som bør prioriteres først.
Ta kontakt