Nach Darstellung von Vercel nahm der Vorfall seinen Ausgang bei einem externen KI-Werkzeug. „Der Vorfall begann mit der Kompromittierung von Context.ai, einem KI-Werkzeug eines Drittanbieters, das ein Vercel-Mitarbeiter nutzte", erklärte das Unternehmen. Über diesen Zugang habe der Angreifer das Google-Workspace-Konto des Mitarbeiters bei Vercel übernommen und sich so Zugriff auf einige Vercel-Umgebungen sowie auf Umgebungsvariablen verschafft, die nicht als „sensibel" eingestuft waren.
Vercel-Chef Guillermo Rauch führte in einem Beitrag auf X aus, dass das Unternehmen alle Umgebungsvariablen von Kunden im Ruhezustand vollständig verschlüsselt speichere und über mehrere gestaffelte Schutzmechanismen für seine Kernsysteme und Kundendaten verfüge. Es bestehe jedoch die Möglichkeit, Umgebungsvariablen als „nicht sensibel" zu kennzeichnen. „Leider erlangte der Angreifer durch seine systematische Auswertung weiteren Zugriff", so Rauch.
Die Untersuchung läuft weiter. Bestätigt ist, dass die Zugangsdaten einer begrenzten Zahl von Kunden offengelegt wurden; diese wurden benachrichtigt und aufgefordert, ihre Anmeldedaten zu erneuern.
Das Angebot zum Verkauf der Daten erschien im BreachForums unter dem Pseudonym ShinyHunters. Der Angreifer pries die Daten – Datenbanken, Zugangsschlüssel, Mitarbeiterkonten und Quellcode – für 2 Millionen Dollar an und behauptete: „Das könnte der größte Angriff auf eine Lieferkette aller Zeiten werden, wenn man es richtig macht."
Das Threat-Intelligence-Unternehmen Hudson Rock, das auf Infostealer-Malware spezialisiert ist, berichtete, dass der Lumma-Stealer im Februar 2026 die Zugangsdaten eines Context.ai-Mitarbeiters abgegriffen habe – was den Angriff auf Vercel begünstigt haben könnte.
Der BreachForums-Beitrag mit dem Datenangebot wurde offenbar gelöscht, und die Gruppe ShinyHunters hat eine Verantwortung für den Angriff Berichten zufolge bestritten. Ob die Gruppe Vercel auf ihrer Leak-Website nennen wird, ist offen. Vercel hat angekündigt, im Verlauf der Untersuchung weitere Informationen mitzuteilen.