Vercel Context.ai OAuth 2026: डेटा में सेंध

Vercel का आधिकारिक सुरक्षा बुलेटिन आंतरिक सिस्टम तक अनधिकृत पहुँच, हमले के स्रोत और ग्राहकों के एनवायरनमेंट वैरिएबल की सुरक्षा भंग होने की सीधे पुष्टि करता है। शुरुआती समीक्षा में ग्राहकों के एक सीमित समूह की पहचान हुई थी। लॉग और संकेतकों के व्यापक विश्लेषण में कुछ अतिरिक्त खाते मिले जिनकी सुरक्षा उसी अप्रैल की घटना में भंग हुई थी। Vercel ने उन ग्राहकों से संपर्क करके उन्हें सुधारात्मक कदम बताए।

BleepingComputer ने बुलेटिन और Vercel के CEO की तकनीकी व्याख्या पर रिपोर्ट की। इससे Context.ai से जुड़े खाते पर कब्ज़ा होने, एनवायरनमेंट वैरिएबल की सूची बनाए जाने और ग्राहकों को दी गई सलाह की पुष्टि होती है। रिपोर्ट में एक फ़ोरम उपयोगकर्ता के सोर्स कोड, डेटाबेस डेटा और कर्मचारी रिकॉर्ड से जुड़े दावों का भी उल्लेख था, लेकिन उनकी स्वतंत्र रूप से प्रामाणिकता जाँची नहीं जा सकी। इसलिए LeakData उन दावों को घटना के पुष्ट दायरे का हिस्सा नहीं मानता।

पुष्ट डेटा श्रेणी ग्राहकों के वे एनवायरनमेंट वैरिएबल हैं जो Vercel पर “गैर-संवेदनशील” के रूप में संग्रहीत थे और जिनके मान प्लेनटेक्स्ट में प्राप्त किए जा सकते थे। किसी एनवायरनमेंट वैरिएबल में कॉन्फ़िगरेशन हो सकता है, लेकिन उपयोगकर्ता उसमें API कुंजियाँ, एक्सेस टोकन, डेटाबेस क्रेडेंशियल या हस्ताक्षर कुंजियाँ भी रख सकते हैं। Vercel ने ग्राहकों को सलाह दी कि वे ऐसे मानों को संभावित रूप से उजागर मानें और उन्हें रोटेट करें।

इस सूची का मतलब यह नहीं है कि हर प्रभावित ग्राहक ने हर प्रकार का सीक्रेट संग्रहीत किया था। Vercel ने कहा कि संवेदनशील के रूप में चिह्नित ग्राहकों के एनवायरनमेंट वैरिएबल संग्रहीत अवस्था में एन्क्रिप्टेड रहते हैं। घटना में उन मानों के ज़रिए आगे बढ़ा गया जिन्हें गैर-संवेदनशील श्रेणी में रखा गया था और जो इसलिए पढ़े जा सकते थे।

Vercel के अनुसार, एक छोटे, तीसरे पक्ष के AI टूल के Google Workspace OAuth ऐप्लिकेशन की सुरक्षा एक व्यापक अभियान के दौरान भंग हुई थी। हमलावर ने उस पहुँच का इस्तेमाल करके टूल का उपयोग करने वाले Vercel कर्मचारी के व्यक्तिगत Google Workspace खाते और फिर उसके Vercel खाते पर नियंत्रण हासिल किया। वहाँ से आंतरिक एनवायरनमेंट तक पहुँचने के कारण एक खाते से शुरू हुए हमले का सप्लाई चेन पर असर बढ़ गया।

Vercel ने OAuth ऐप्लिकेशन का पहचानकर्ता प्रकाशित किया और Google Workspace प्रशासकों तथा खाता मालिकों से जाँच करने को कहा कि कहीं वही ऐप इस्तेमाल तो नहीं हो रहा है। हमलावर की कार्रवाई की रफ़्तार और Vercel के उत्पादों के API सरफ़ेस की विस्तृत जानकारी के आधार पर कंपनी ने उसे अत्यधिक कुशल माना। कंपनी ने यह भी कहा कि वह Google Mandiant, अन्य सुरक्षा कंपनियों, उद्योग के अन्य संगठनों और कानून प्रवर्तन एजेंसियों के साथ काम कर रही थी।

बुलेटिन में “एक सीमित समूह” और बाद में “थोड़ी संख्या में अतिरिक्त खाते” कहा गया है, लेकिन कोई सटीक संख्या नहीं दी गई है। Vercel के कुल ग्राहकों, डिप्लॉयमेंट या प्लेटफ़ॉर्म उपयोगकर्ताओं की संख्या इस डेटा सेंध में प्रभावित लोगों या रिकॉर्ड की कुल संख्या नहीं है।

विस्तृत समीक्षा में कुछ अन्य ग्राहक खातों में भी सुरक्षा भंग होने के संकेत मिले। ये मामले अप्रैल की घटना से अलग लग रहे थे और आकलन के अनुसार इनकी शुरुआत Vercel के सिस्टम पर नहीं हुई थी। कंपनी ने उन खातों के धारकों से संपर्क किया, लेकिन इन मामलों को अप्रैल की डेटा सेंध की अगली कड़ी या Vercel की किसी पिछली सुरक्षा घटना के रूप में वर्गीकृत नहीं किया।

Vercel ने GitHub, Microsoft, npm और Socket के साथ मिलकर किए गए काम के आधार पर पुष्टि की कि Vercel द्वारा प्रकाशित किसी भी npm पैकेज की सुरक्षा भंग नहीं हुई थी और छेड़छाड़ का कोई सबूत नहीं था। Next.js, Turbopack और कंपनी की अन्य ओपन-सोर्स परियोजनाएँ सुरक्षित रहीं। सार्वजनिक स्रोतों से दुर्भावनापूर्ण पैकेज डाले जाने या Vercel पर होस्ट किए गए हर डिप्लॉयमेंट पर असर पड़ने की पुष्टि नहीं होती।

कंपनी ने एनवायरनमेंट वैरिएबल का अवलोकन प्रस्तुत किया और संवेदनशील मानों के प्रबंधन में सुधार किए। ग्राहकों को समझना चाहिए कि केवल किसी परियोजना या खाते को हटाने से जोखिम समाप्त नहीं होता, क्योंकि चुराया गया सीक्रेट किसी बाहरी प्रोडक्शन सिस्टम तक पहुँच देता रह सकता है। पहले संभावित रूप से उजागर मानों को रोटेट करना चाहिए, फिर लॉग और जुड़ी सेवाओं की समीक्षा करनी चाहिए।

घटना की तारीख सार्वजनिक स्रोतों से सत्यापित की जा सकने वाली सबसे शुरुआती तकनीकी गतिविधि पर आधारित है। पुष्ट घटना में Context.ai OAuth की कड़ी के ज़रिए एक कर्मचारी के खाते की सुरक्षा भंग करना, वहाँ से Vercel के एनवायरनमेंट तक पहुँचना और कुछ ग्राहकों के गैर-संवेदनशील एनवायरनमेंट वैरिएबल पढ़ना शामिल है। ग्राहकों और रिकॉर्ड की कुल संख्या अब भी अज्ञात है।

ग्राहकों को गैर-संवेदनशील एनवायरनमेंट वैरिएबल में संग्रहीत API कुंजियों, टोकन, डेटाबेस क्रेडेंशियल और हस्ताक्षर कुंजियों को संभावित रूप से उजागर मानकर रोटेट करना चाहिए। सोर्स कोड, डेटाबेस, आंतरिक डिप्लॉयमेंट और 580 कर्मचारी रिकॉर्ड से जुड़े फ़ोरम के दावों की Vercel ने पुष्टि नहीं की थी। इसलिए उन्हें डेटा श्रेणियों और संख्यात्मक दायरे में शामिल नहीं किया गया है।