应用程序主机Vercel表示其遭到黑客攻击，客户数据被盗

云应用托管巨头Vercel本周末表示，黑客入侵了其内部系统并访问了客户数据。黑客声称他们从Vercel系统中窃取了敏感的客户凭据，并正在网上出售这些数据。

Vercel在周日的一份声明中表示，此次泄露源自另一家软件制造商Context AI。 Vercel的一名员工下载了Context AI制作的应用程序，并将其连接到由Google托管的公司帐户。黑客使用该连接（称为OAuth）接管Vercel员工的Google帐户，并获得对Vercel的一些内部系统的访问权限，包括未加密的凭据。

Vercel表示，其Next.js和Turbopack项目并未受到此次泄露的影响。这两个开源项目都被网络和应用程序开发人员广泛使用。

Vercel表示，它已联系应用程序数据和密钥遭到泄露的客户。

在X上的一篇文章中，VercelCEOGuillermo Rauch建议客户轮换应用程序部署中标记为“非敏感”的任何密钥和凭据。

目前尚不清楚Vercel或Context AI漏洞的幕后黑手是谁，也不清楚他们是否是同一位黑客。出售这些数据的威胁行为者声称代表ShinyHunters黑客组织在网络犯罪论坛上列出该组织。 TechCrunch看到的该帖子声称，黑客正在出售对从Vercel窃取的客户API密钥、源代码和数据库数据的访问权限。

以破坏基于云和数据库的公司而闻名的ShinyHunters黑客组织告诉网络安全新闻网站Bleeping Computer，他们没有参与这起事件。

虽然黑客攻击的细节仍在浮出水面，但这次安全漏洞是近几个月来一系列“供应链”黑客攻击中的最新一起，这些攻击的目标是代码在网络上广泛使用的软件开发人员。通过破坏公司广泛使用并支持网络基础设施的软件，黑客可以同时窃取广泛目标的凭据，并进一步访问其他云巨头存储的大量数据。

Vercel对于此次攻击几乎没有透露任何其他信息，只是表示正在调查该事件并已向Context AI寻求答案。 Vercel表示，这次黑客攻击可能会影响“许多组织的数百名用户”，而不仅仅是其自己的系统，并警告整个科技行业可能存在下游违规行为。

为AI模型构建评估和分析的Context AI在其网站上证实，3月份其Context AI Office Suite消费者应用程序出现了漏洞。该应用程序允许用户通过未命名的第三方服务跨多个第三方应用程序自动执行操作和工作流程。

AIsaidit向一名客户通报了此次泄露事件，但据Vercel的事件，它现在认为该事件的范围可能比最初想象的更广泛。 Context AI表示，黑客“可能破坏了我们一些消费者用户的OAuth令牌”。

Context AI没有回应评论请求或有关违规行为的问题。目前尚不清楚Context AI当时为何没有披露此次泄露事件，也不清楚该公司是否收到了黑客的任何要求，例如赎金。

Vercel也没有回应有关该事件的问题，例如有多少客户可能受到影响。

已更正以删除对不相关的Context AI的引用，该AI的人员被OpenAI收购。