Vercel, jedna z najpopularniejszych platform do hostowania aplikacji webowych, oficjalnie potwierdziła incydent bezpieczeństwa z 20 kwietnia 2026 roku. Hakerzy uzyskali dostęp do wewnętrznych systemów firmy i wykradli dane klientów — w tym klucze API, kod źródłowy i zawartość baz danych. Co szczególnie niepokojące, atak nie był bezpośredni: napastnicy weszli przez backdoor w narzędziu AI firmy trzeciej.
Jak doszło do włamania?
Wektor ataku był sprytny i wieloetapowy. W marcu 2026 roku hakerzy włamali się do Context AI — firmy oferującej aplikacje AI integrujące się z pakietami biurowymi Google Workspace. Jeden z pracowników Vercel podłączył aplikację Context AI do swojego firmowego konta Google.
Atakujący, korzystając z tokenów OAuth przejętych podczas włamania do Context AI, przejęli konto Google tego pracownika. To z kolei dało im wejście do wewnętrznych systemów Vercel. Schemat ten nosi wszystkie cechy klasycznego ataku na łańcuch dostaw (supply chain attack) — cel końcowy atakuje się przez słabsze ogniwo, jakim jest zaufany dostawca.
Co zostało skradzione?
Zgodnie z oświadczeniem CEO Vercel, hakerzy wykradli:
- klucze API i dane uwierzytelniające niezaszyfrowane w zmiennych środowiskowych,
- kod źródłowy projektów klientów,
- dane z baz danych,
- dane pracownicze — 580 rekordów z imionami, adresami e-mail i danymi kont.
Firma podkreśliła, że otwarte projekty Next.js i Turbopack nie zostały naruszone. Skradzionymi danymi zainteresowała się znana grupa hakerska ShinyHunters, która zaoferowała je na sprzedaż, żądając podobno 2 milionów dolarów okupu.
Zagrożenie dla całego ekosystemu
Incydent dotknął potencjalnie „setki użytkowników z wielu organizacji”. To niepokojące, bo Vercel jest infrastrukturą, na której działają tysiące startupów, agencji i aplikacji SaaS. Skradzione klucze API mogą dawać dostęp do dalszych systemów — baz danych, usług chmurowych, zewnętrznych API.
Sprawa jasno pokazuje, że zagrożenie często nie przychodzi z zewnątrz przez brute force czy phishing, ale przez zaufane integracje i aplikacje, którym firma przyznała szerokie uprawnienia.
Co powinieneś zrobić?
Jeśli korzystasz z Vercel lub podobnych platform hostingowych, podejmij kilka kroków:
- Rotuj klucze API — szczególnie te oznaczone jako „non-sensitive”, czyli niezaszyfrowane. Vercel wprost zalecił to swoim klientom.
- Audytuj integracje OAuth — sprawdź, jakie aplikacje mają dostęp do Twoich kont Google, GitHub i innych. Usuń te, których nie używasz lub nie rozpoznajesz.
- Szyfruj zmienne środowiskowe — nigdy nie przechowuj sekretów w postaci jawnej w konfiguracji środowiska.
- Zasada minimalnych uprawnień — integracje zewnętrzne powinny mieć dostęp tylko do tego, czego faktycznie potrzebują — nic więcej.
Atak na Vercel to kolejne przypomnienie, że bezpieczeństwo łańcucha dostaw jest dziś równie ważne jak ochrona własnej infrastruktury. Zaufanie do narzędzi AI i integracji SaaS musi iść w parze z regularnym audytem uprawnień i polityką zero trust.