Vercel, nền tảng đám mây phổ biến của giới lập trình viên, vừa xác nhận một vụ vi phạm bảo mật nghiêm trọng. Sự cố bắt nguồn từ việc một tài khoản Google Workspace của nhân viên bị xâm nhập thông qua một lỗ hổng tại nền tảng AI Context.ai. Tin tặc sau đó leo thang đặc quyền để truy cập vào các hệ thống nội bộ của Vercel.

Dữ liệu nào bị ảnh hưởng?

Theo CEO Guillermo Rauch, kẻ tấn công đã tiếp cận được các biến môi trường (environment variables) không được đánh dấu là nhạy cảm. Mặc dù Vercel mã hóa toàn bộ dữ liệu nhạy cảm của khách hàng, các biến không được đánh dấu này đã trở thành cánh cửa cho tin tặc mở rộng phạm vi tấn công. Sự cố phơi bày rủi ro tiềm ẩn khi tích hợp các công cụ AI của bên thứ ba, một xu hướng phổ biến trong ngành công nghệ hiện nay.

Hệ quả và bài học

Vụ việc cho thấy mối đe dọa bảo mật có thể đến từ chính những công cụ hỗ trợ như AI. May mắn là các dự án mã nguồn mở quan trọng như Next.js và Turbopack không bị ảnh hưởng. Vercel đã thông báo cho khách hàng bị tác động và khuyến nghị họ xem xét lại, xoay vòng các khóa bí mật. Sự cố này là lời cảnh tỉnh cho cả các startup và doanh nghiệp lớn về việc quản lý quyền truy cập và phân loại dữ liệu một cách chặt chẽ hơn.