Shkelja e Vercel: Si një Skript Roblox i Shkarkuar nga një Punonjës Arriti Infrastrukturën që Mundëson Miliona Faqe Interneti

Shkelja e Vercel nuk është kryesisht një histori rreth Vercel. Është një histori rreth besimit të zinxhirit të furnizimit, qeverisjes së adoptimit të mjeteve AI të palëve të treta dhe shpejtësisë me të cilën një kredenciale e vetme e komprometuar në një kompani të vogël mund të përhapin dëmin në infrastrukturën që shërben miliona organizata.

#

Si u Zhvillua Sulmi

Zinxhiri i ngjarjeve që prodhoi shkeljen e Vercel filloi rreth Shkurtit 2026, në një kompani krejtësisht të veçantë nga Vercel.

Context AI kishte një punonjës workstation-i i të cilit u komprometua nga Lumma Stealer — një malware vjedhësi informacioni i disponueshëm komercialmente. Sipas raportimit të firmës Hudson Rock, infektimi ndodhi pasi punonjësi shkarkoi skripte të lidhura me një shfrytëzim loje Roblox. Malware-i mblodhi kredencialet e punonjësit në mënyrë të heshtur dhe i transmitoi ato në infrastrukturën e aktorit të kërcënimit.

Sulmuesi, pasi fitoi akses në infrastrukturën OAuth të Context AI, trashëgoi lejet që Context AI u kishte dhënë përdoruesve të tij — duke përfshirë llogarinë e Workspace të punonjësit të Vercel. Me qasje të brendshme, ai qasej në variablat e mjedisit që nuk ishin shënuar si të ndjeshme dhe prandaj ruhen pa kriptim.

#

Çfarë Shkoi Keq — dhe në Cilën Pikë

Në nivelin e punonjësit të Context AI: Një pajisje pune u përdor për të shkarkuar dhe ekzekutuar skripte të pabesueshme nga një komunitet shfrytëzimi loje — një aktivitet personal që futi malware të nivelit të ndërmarrjes në një mjedis korporativ.

Në nivelin organizativ të Context AI: Aplikacioni OAuth i kompanisë kishte dhënë leje që tejkalonin atë që funksionaliteti i produktit kërkonte. Kontrollet e qasjes me privilegj minimal nuk u zbatuan në shtresën e aplikacionit.

Në nivelin e punonjësit të Vercel: Një llogari ndërmarrjeje e Vercel u lidh me një mjet produktiviteti AI të shkallës konsumatorike pa ndërgjegjje ose miratim organizativ të dukshëm. Ky është përkufizimi i shadow IT.

Në nivelin e platformës Vercel: Variablat e mjedisit që përmbanin kredenciale të ndjeshme nuk ishin shënuar si të tilla dhe prandaj nuk ishin të kriptuara.

#

Mësimi më i Gjerë

Shkelja e Vercel nuk do të jetë incidenti i fundit i këtij lloji. Pika e hyrjes në sulmet moderne të zinxhirit të furnizimit rrallë është objektivi. Është një mjet i besuar, një aplikacion i lidhur, një shërbim i palëve të treta në ekosistemin e zgjatur të objektivit përfundimtar. Organizatat që e qeverisin atë ekosistem me të njëjtën rigorozitet që aplikojnë ndaj sistemeve të tyre të brendshme janë materialmente më mirë të pozicionuara kur ndodhin ato sulme.

---
Ky artikull do të përditësohet ndërsa hetimi i Vercel përparon. Përditësimi i fundit: Prill 2026.