Điểm khởi đầu của sự cố được xác định bắt nguồn từ một công cụ AI bên thứ ba là Context.ai. Tin tặc đã lợi dụng ứng dụng OAuth của công cụ này trong hệ sinh thái Google Workspace để xâm nhập, từ đó chiếm quyền tài khoản của một nhân viên Vercel. Khi đã có được danh tính hợp lệ, kẻ tấn công không cần khai thác thêm lỗ hổng phần mềm mà sử dụng chính quyền truy cập này để đi sâu vào hệ thống nội bộ. Đây là kiểu tấn công “đi đường vòng” ngày càng phổ biến trong các môi trường sử dụng nhiều dịch vụ bên thứ ba.
Từ tài khoản bị chiếm, kẻ tấn công tiếp tục mở rộng phạm vi truy cập sang một số môi trường nội bộ và các biến môi trường – thành phần được xem là “hậu trường” của hệ thống. Theo thiết kế của Vercel, các biến này được chia thành hai nhóm: nhạy cảm và không nhạy cảm.
Nhóm nhạy cảm được lưu trữ theo cơ chế không cho phép đọc trực tiếp, trong khi nhóm còn lại có mức độ bảo vệ thấp hơn. Theo Vercel, hiện chưa có bằng chứng cho thấy các biến được đánh dấu là nhạy cảm bị truy cập. Tuy nhiên, trong thực tế vận hành, nhiều thông tin tưởng như không quan trọng như cấu hình dịch vụ, địa chỉ nội bộ hay token tạm thời vẫn có thể trở thành mắt xích giúp tin tặc suy luận và mở rộng quyền truy cập. Chính việc khai thác các biến “không nhạy cảm” này được cho là đã tạo điều kiện để kẻ tấn công tiến sâu hơn vào hệ thống.
Đáng chú ý, sự cố diễn ra trong bối cảnh hệ sinh thái của Vercel có phạm vi ảnh hưởng rộng. Đây là đơn vị phát triển Next.js – nền tảng phổ biến trong cộng đồng phát triển. Dù vậy, Vercel khẳng định các dự án mã nguồn mở như Next.js và các hệ thống lõi hiện không bị ảnh hưởng. Tuy nhiên, về mặt lý thuyết, nếu các hệ thống triển khai bị kiểm soát, nguy cơ tấn công chuỗi cung ứng vẫn là kịch bản cần được lưu ý.
Ảnh bài đăng trên diễn đàn ngầm do đối tượng tấn công phát tán qua Telegram
Vercel cho biết đã xác định một nhóm nhỏ khách hàng có thể bị ảnh hưởng, chủ động liên hệ để khuyến nghị thay đổi thông tin xác thực và mở rộng điều tra. Hiện tại, Vercel vẫn đang tiếp tục đánh giá khả năng dữ liệu bị trích xuất ra ngoài và sẽ cập nhật thêm khi có thông tin mới.
Ngoài ra, các chuyên gia nhận định nhiều khả năng sẽ cần thêm thời gian để làm rõ toàn bộ phạm vi ảnh hưởng cũng như phương thức khai thác của tin tặc. Trong khi chờ kết luận chính thức, người dùng và doanh nghiệp sử dụng nền tảng đám mây nói chung nên chủ động rà soát lại hệ thống của mình, đặc biệt là các tích hợp bên thứ ba, nhật ký truy cập và cơ chế quản lý thông tin xác thực.
