Der Angriff offenbarte eine klassische Sicherheitskette aus Überkonfiguration, unzureichender Kontrolle und menschlichem Versagen. Wie Vercel in einem Sicherheitsbulletin mitteilte, hatten die Angreifer nach dem Diebstahl der OAuth-Token Zugriff auf mehrere Vercel-Umgebungen und Umgebungsvariablen erhalten – allerdings nur auf solche, die nicht explizit als “sensibel” markiert waren.
Das Beratungsunternehmen Hudson Rock rekonstruierte die Angriffskette: Ein Vercel-Mitarbeiter lud sich einen Cheat für das beliebte Online-Spiel Roblox herunter. Dieser Script enthielt einen Infostealer, der es Angreifern ermöglichte, auf das Gerät zuzugreifen. Von dort aus kompromittierten die Täter das KI-Tool Context.ai, das der Mitarbeiter mit erweiterten Berechtigungen nutzte. Diese übermäßigen Rechte ermöglichten es den Attackern, tiefergehenden Zugriff auf Vercel-Systeme zu erlangen.
Laut dem Cybersecurity-Unternehmen Contrast Security hätte dieser Angriff völlig vermeidbar sein können: “No exploit. No zero-day. Einfach ein nicht autorisiertes KI-Tool, übermäßige OAuth-Berechtigungen und ein Download eines Gaming-Cheats”, kommentierte Chief Information Security Officer David Lindner. Die Bedrohungsgruppe ShinyHunters soll Vercel-Daten für zwei Millionen Dollar zum Verkauf angeboten haben.
Vercel arbeitet mit Mandiant und weiteren Sicherheitsunternehmen an der Incident Response. Das Unternehmen betonte, dass “sensitive” gekennzeichnete Variablen durch spezielle Speichermechanismen geschützt sind und keine Hinweise auf deren Zugriff bestehen. Dennoch wurde eine begrenzte Anzahl von Vercel-Kunden zur sofortigen Neuvergabe von Anmeldedaten aufgefordert.
Der Fall illustriert ein fundamentales Problem der modernen Sicherheitslandschaft: OAuth-Token werden zunehmend zur Angriffsfläche. Jaime Blasco von Nudge Security warnt: “OAuth ist das neue laterale Bewegungsfeld.” Seine Empfehlung ist klar: Unternehmen sollten Admin-gesteuertes OAuth-Consent implementieren, statt Mitarbeitern freie Hand bei der Autorisierung von Drittanwendungen zu lassen.
Für deutsche Organisationen bietet Vercel konkrete Empfehlungen: Aktivitätsprotokolle überprüfen, Umgebungsvariablen rotieren, künftig nur “sensitive” markierte Variablen nutzen und Deployment Protection mindestens auf Standard-Level setzen. Die Vercel-Dokumentation enthält detaillierte Indikatoren für Kompromittierung und weitere Schutzmaßnahmen.