Hackers invadem sistema da Vercel e expõem dados de clientes

A provedora de infraestrutura web Vercel confirmou um incidente de segurança que resultou no acesso não autorizado a sistemas internos da empresa. O ataque teve origem na comprometimento da ferramenta de inteligência artificial Context.ai, utilizada por um funcionário, evidenciando mais um caso crítico de ataque à cadeia de suprimentos digital.

De acordo com a investigação, hackers exploraram o acesso à ferramenta externa para assumir o controle da conta corporativa do Google Workspace do colaborador. A partir desse ponto, conseguiram acessar ambientes internos da Vercel e variáveis de ambiente que não estavam classificadas como sensíveis. Embora dados críticos protegidos por criptografia não tenham sido comprometidos, um subconjunto limitado de clientes teve credenciais expostas.

A cadeia de ataque demonstra um nível elevado de sofisticação. O vetor inicial pode estar ligado à infecção de um funcionário da Context.ai com o malware Lumma Stealer, conhecido por roubar credenciais e tokens de autenticação. Com isso, os invasores teriam obtido acesso a tokens OAuth, permitindo escalar privilégios e se movimentar lateralmente até atingir a infraestrutura da Vercel.

Um dos pontos mais críticos do incidente foi o uso excessivo de permissões OAuth. Um funcionário da Vercel teria autorizado permissões amplas (“Allow All”) ao integrar sua conta corporativa com a plataforma da Context.ai, abrindo caminho para que o invasor explorasse essa confiança implícita entre sistemas. Esse tipo de falha reforça um problema recorrente em ambientes modernos: a dificuldade em controlar integrações entre aplicações SaaS.

Além disso, o grupo hacker conhecido como ShinyHunters reivindicou a autoria do ataque e afirmou estar vendendo os dados obtidos por cerca de US$ 2 milhões, indicando possível monetização do incidente.

Mesmo sem divulgação completa do escopo, a Vercel afirmou que está trabalhando com empresas especializadas como a Mandiant para investigar o caso e reforçar suas defesas. Entre as medidas recomendadas estão a rotação imediata de credenciais, auditoria de logs, revisão de variáveis de ambiente e análise de atividades suspeitas em deployments recentes.

O incidente também levanta preocupações mais amplas sobre segurança em ambientes de desenvolvimento modernos, especialmente aqueles que dependem fortemente de integrações com ferramentas de IA e serviços de terceiros. A crescente adoção dessas tecnologias amplia a superfície de ataque e cria novos vetores para invasores explorarem.

Do ponto de vista estratégico, o caso reforça a importância de práticas como o princípio do menor privilégio, controle rigoroso de acessos OAuth, monitoramento contínuo e segmentação de ambientes — especialmente em organizações que operam com pipelines de desenvolvimento altamente automatizados.