Vercelがセキュリティインシデントの分析を発表：サードパーティ製AIツールが侵害され、不正アクセスが発生したが、現時点で機密データの改ざんは確認されていない

Vercelはセキュリティインシデントの分析結果を公表し、一部の内部システムが不正アクセスを受けたことを明らかにした。原因は、従業員が使用していたサードパーティ製AIツール「Context.ai」が侵害され、攻撃者がこれを利用してその従業員のGoogle Workspaceアカウントを乗っ取り、一部環境設定データにアクセスしたことにある。現時点での影響としては、少数の顧客において、「機密」とマークされていない環境変数（APIキーやトークンなど）が漏洩した可能性がある。同社はすでに該当するユーザーに通知し、直ちに認証情報を更新するよう推奨している。現時点では、「機密」とマークされたデータやサプライチェーン（npmパッケージなど）が改ざんされたことを示す証拠はない。Vercelは、攻撃者が高度な技術力を有していると述べており、Mandiantおよび複数のセキュリティ機関と共同で調査を開始し、法執行機関にも通報済みです。同時に、プラットフォームのサービスは正常に稼働していることを強調するとともに、さらなるリスクを防ぐため、ユーザーに対し多要素認証の有効化、漏洩の可能性がある環境変数の全面的な更新、およびアカウントのアクティビティログやデプロイ記録の確認を推奨しています。