Vercel 2026년 4월 보안 사고

• Vercel 내부 시스템 일부에 대한 비인가 접근이 확인됐으며, 영향 범위는 제한된 일부 고객으로 한정된 상태
• 초기 접근은 Context.ai 침해를 통한 Vercel 직원의 Google Workspace 계정 손상에서 시작됐고, 공격자는 권한 확대 후 민감 항목으로 표시되지 않은 environment variables에 접근 가능한 상태
• 서비스 자체는 영향을 받지 않았으며, incident response 전문가 투입, law enforcement 통보, secret 교체 권고와 sensitive environment variables 기능 사용 같은 고객 보호 조치 진행 상태
• 조사 결과 Next.js와 Turbopack, 기타 오픈소스 프로젝트는 안전한 상태이며, environment variables 개요 페이지와 관리 인터페이스 개선도 배포된 상태
• 해킹 포럼에는 ShinyHunters를 자처한 공격자의 데이터 판매 주장과 580개 직원 레코드 파일, 내부 대시보드로 보이는 스크린샷이 공개됐지만, 공유 데이터의 진위는 독립적으로 확인되지 않은 상태

침해 경로와 확인된 범위

• 초기 접근은 Context.ai 침해를 통해 Vercel 직원의 Google Workspace 계정이 손상되면서 발생
• 공격자는 손상된 계정에서 Vercel 환경으로 권한을 확대했고, 민감 항목으로 표시되지 않은 environment variables에 접근 가능한 상태
  • 해당 변수들은 저장 시 암호화되지 않은 상태였음
  • 원래 의도는 비민감 정보 저장 용도였으나, 공격자는 이 변수들을 열거한 뒤 추가 접근 확보
• Vercel은 모든 고객 environment variables를 저장 시 완전 암호화한다고 밝힘
  • 다만 non-sensitive로 지정하는 기능이 존재하며, 이번 추가 접근은 그 열거 과정에서 발생
• Vercel 내부 시스템 일부에 대한 비인가 접근이 확인됐으며, 영향 범위는 제한된 일부 고객으로 한정된 상태
  • 사고 조사와 복구를 위해 incident response 전문가 투입 상태
  • law enforcement 통보 완료
• 서비스 자체는 영향을 받지 않았으며, 영향받은 고객과 별도로 대응 진행 중
• 고객 보호 조치로 environment variables 검토, sensitive environment variable 기능 사용, 필요 시 secret 교체 권고
• 추가 공개 정보 기준 침해 원인은 서드파티 AI 도구의 Google Workspace OAuth 애플리케이션 침해
  • 확인 대상으로 제시된 애플리케이션
    • 110671459871-30f1spbu0hptbs60cb4vsmv79i7bbvqj.apps.googleusercontent.com
• 조사 결과 Next.js, Turbopack, 기타 오픈소스 프로젝트는 안전한 상태
• 대시보드 업데이트도 배포된 상태
  • environment variables 개요 페이지 추가
  • sensitive environment variables 관리 인터페이스 개선
• 고객 대상 재권고 사항으로 민감 정보 포함 여부 점검과 sensitive variable 기능 활성화 제시

공격자 주장과 외부 공개 정보

• 이번 공개는 자신을 ShinyHunters라고 주장한 공격자가 해킹 포럼에 Vercel 침해와 데이터 판매 시도를 게시한 뒤 이어진 상황
• 다만 최근 ShinyHunters extortion gang 연계 공격과 관련된 위협 행위자들은 이번 사건 관여를 부인한 상태
• 포럼 게시물에서 공격자는 access keys, source code, database data, 내부 배포 접근 권한, API keys를 판매한다고 주장
  • 게시물 인용 기준 여러 직원 계정, 여러 내부 배포 접근 권한, 일부 NPM tokens, 일부 GitHub tokens 포함 주장
• 공격자는 Vercel 직원 정보가 담긴 텍스트 파일도 공유
  • 580개 데이터 레코드 포함
  • 항목은 이름, Vercel 이메일 주소, 계정 상태, 활동 타임스탬프 구성
• Vercel Enterprise 내부 대시보드로 보이는 스크린샷도 함께 공유된 상태
• 공유된 데이터와 스크린샷의 진위는 독립적으로 확인되지 않음
• Telegram 메시지 기준 공격자는 Vercel과 접촉 중이며 200만 달러 ransom demand를 논의했다고 주장
• 민감 데이터나 자격 증명 노출 여부, 공격자와의 협상 여부에 대한 추가 질의 전달 상태이며, 해당 응답 내용은 포함되지 않음