Vercel mengonfirmasi bahwa sistemnya terdampak insiden keamanan yang berawal dari alat AI pihak ketiga yang telah dikompromikan. Perusahaan menyebut dampaknya hanya mengenai sejumlah terbatas pelanggan, sementara layanan intinya tetap berjalan.
Kasus ini menarik perhatian karena pelaku mengklaim menjual data hasil peretasan dengan harga $2 million dan menyebut nama kelompok ShinyHunters. Di sisi lain, laporan BleepingComputer menyebut ShinyHunters membantah keterlibatan tersebut.
Apa yang terjadi pada Vercel
Vercel dikenal sebagai platform cloud untuk hosting dan deployment aplikasi web. Perusahaan ini juga berada di balik Next.js, framework React yang luas digunakan pengembang untuk membangun aplikasi modern.
Dalam penjelasannya, Vercel menyatakan serangan bermula dari alat AI pihak ketiga yang dipakai oleh seorang karyawan. Nama alat tersebut tidak diungkap secara spesifik oleh perusahaan.
Dari titik awal itu, pelaku disebut memperoleh akses ke akun Google Workplace milik karyawan tersebut. Akses itu lalu dipakai untuk menjangkau sebagian environment variables milik Vercel.
Environment variables merupakan konfigurasi yang disimpan di luar kode aplikasi. Data ini membantu aplikasi berjalan sesuai fungsi yang ditetapkan oleh pengembang dan tim operasional.
Vercel menegaskan pelaku hanya mendapatkan environment variables yang tidak ditandai sebagai “sensitive”. Perusahaan juga mengatakan tidak ada informasi sensitif yang diakses dalam insiden ini.
Klaim penjualan data dan nama ShinyHunters
Sorotan utama kasus ini datang dari unggahan di forum peretasan yang menawarkan data terkait pelanggan Vercel. Dalam unggahan tersebut, pelaku mengklaim memiliki access keys terverifikasi yang bisa dipakai untuk potensi serangan besar terhadap rantai pasok global.
Isi pesan yang dikutip dari forum itu berbunyi, “We have verified access keys for a potential global supply chain attack. We’re selling this access. Are you interested in buying it?” Klaim ini belum menjadi bukti bahwa gangguan luas benar-benar telah terjadi, namun menunjukkan tingkat kekhawatiran yang muncul di komunitas keamanan.
Pelaku juga mengaku bagian dari ShinyHunters, nama yang sebelumnya dikaitkan dengan sejumlah insiden besar. Namun, menurut laporan BleepingComputer, kelompok ShinyHunters justru membantah klaim tersebut.
Selain menawarkan akses, pelaku disebut membagikan file teks berisi informasi karyawan Vercel. Laporan yang beredar menyebut file itu memuat 580 catatan data, termasuk nama, alamat email, status akun, dan stempel waktu aktivitas.
Dalam pembahasan yang sama, pelaku juga disebut menyinggung permintaan tebusan sebesar $2 million. Tidak ada keterangan dari referensi yang menyatakan tuntutan itu dipenuhi.
Dampak bagi pelanggan dan ekosistem
Vercel memiliki pelanggan besar dari berbagai sektor, termasuk OpenAI, Cursor, Pinterest, dan Bose. Karena posisinya sebagai platform pengembangan dan deployment, insiden pada Vercel memicu perhatian lebih besar dari sekadar gangguan pada satu perusahaan.
Meski begitu, Vercel menegaskan hanya sebagian kecil pelanggan yang kemungkinan terdampak. Perusahaan juga menyebut layanan inti tidak terpengaruh oleh insiden ini.
Kekhawatiran utama berasal dari kemungkinan penyalahgunaan akses untuk pola serangan supply chain. Dalam konteks ini, data atau kunci akses yang bocor bisa dipandang berisiko jika terhubung dengan proses pengembangan, deployment, atau integrasi pelanggan.
Namun, berdasarkan pernyataan perusahaan, informasi sensitif tidak ikut diakses. Itu menjadi poin penting dalam menilai skala risiko aktual dibanding klaim besar yang disampaikan pelaku di forum.
Langkah yang dilakukan Vercel
Setelah insiden terungkap, Vercel meminta pelanggan meninjau kembali environment variables mereka. Perusahaan juga menyarankan rotasi secrets bila diperlukan untuk mengurangi risiko lanjutan.
Vercel kemudian memperbarui dashboard-nya, termasuk antarmuka yang lebih baik untuk mengelola environment variables sensitif. Langkah ini diarahkan untuk membantu pelanggan memisahkan dan mengawasi konfigurasi penting dengan lebih jelas.
Perusahaan juga mengatakan sedang bekerja langsung dengan pelanggan yang terdampak. Selain itu, Vercel telah memberi tahu aparat penegak hukum terkait insiden ini.
Untuk membantu investigasi lebih luas, Vercel mempublikasikan indicator of compromise atau IOC. Publikasi IOC biasanya berguna bagi tim keamanan untuk memeriksa apakah ada aktivitas mencurigakan yang serupa di lingkungan mereka.
Kasus ini menunjukkan bagaimana celah pada alat pihak ketiga dapat menjadi pintu masuk ke sistem perusahaan besar. Dalam insiden Vercel, fokus penyelidikan kini tidak hanya pada data yang diklaim dijual seharga $2 million, tetapi juga pada validitas klaim pelaku, asal-usul nama ShinyHunters yang dibawa-bawa, dan sejauh mana akses non-sensitif itu dapat menimbulkan risiko lanjutan bagi pelanggan.