Vercel a fost hackuit (aprilie 2026): Planul de urgență de 60 de minute pe care fiecare dezvoltator trebuie să îl ruleze azi

Vercel a fost hackuit (aprilie 2026): Planul de urgență de 60 de minute pe care fiecare dezvoltator trebuie să îl ruleze azi

Pe 19 aprilie 2026, Vercel a confirmat că atacatorii au compromis un instrument AI terț (Context.ai), au preluat controlul asupra contului Google Workspace al unui angajat Vercel și au citit variabilele de mediu care nu erau marcate ca „sensibile” într-un subset limitat de proiecte ale clienților. Dacă ai implementat ceva pe Vercel în ultimele 30 de zile, trebuie să presupui că una dintre variabilele tale de mediu este deja în mâinile cuiva și trebuie să acționezi rapid.

Iată adevărul incomod: majoritatea vibecoderilor livrează valori .env direct dintr-un șablon fără a atinge vreodată comutatorul „sensitive” (sensibil). Exact acesta este tipul de variabilă pe care l-a citit atacatorul. Acest ghid te va ghida prin următoarele 60 de minute, explicând ce trebuie verificat, ce trebuie rotit și cum să îți consolidezi stack-ul astfel încât următoarea breșă a platformei să nu îți distrugă aplicația.

Pe scurt: Ce să faci în următoarele 60 de minute

Dacă nu citești nimic altceva, fă aceste șase lucruri chiar acum:

1. Oprește implementările automate pe ramurile de producție.
2. Rulează vercel env pull și caută în output modele de secrete (sk_live_, AKIA, ghp_, eyJ).
3. Rotește fiecare cheie API stocată ca variabilă de mediu non-sensibilă, începând cu plățile, baza de date, autentificarea și cheile providerilor de cloud.
4. Readaugă secretele rotite folosind comutatorul „Sensitive” (Sensibil) al variabilelor de mediu din Vercel, apoi reimplementează.
5. Deschide jurnalul de activitate Vercel pentru perioada 1–20 aprilie și marchează orice implementare, conectare sau eveniment de token pe care nu îl recunoști.
6. Revizuiește jurnalul de audit al organizației GitHub pentru aceeași perioadă, căutând noi PAT-uri, chei de implementare sau modificări ale fluxurilor de lucru.

Mai jos găsești detalierea completă, cu comenzile, modelele și ordinea de rotație de care vei avea nevoie.

Ce s-a întâmplat exact în breșa Vercel din aprilie 2026?

Vercel a dezvăluit pe 19 aprilie 2026 că un atacator a compromis Context.ai, un instrument terț de productivitate AI utilizat de un angajat Vercel. De acolo, atacatorul a preluat controlul asupra contului Google Workspace Vercel al angajatului, a pătruns în mediul intern Vercel și a accesat variabilele de mediu care nu erau flagate ca „sensibile”.

Variabilele marcate ca „sensibile” utilizează o cale separată de citire criptată, iar Vercel afirmă că nu există dovezi că acestea ar fi fost expuse. Tot restul, variabilele de mediu obișnuite care stochează chei API, URL-uri de baze de date, secrete JWT, era lizibil. O postare pe un forum de cybercrime a susținut ulterior că vinde date Vercel pentru 2 milioane de dolari, deși Vercel nu a confirmat exfiltrarea. Indiferent de situație, mișcarea sigură este să presupui compromiterea în scopul rotației, chiar dacă Vercel nu ți-a trimis un e-mail direct.

Compania a evaluat atacatorul ca fiind „foarte sofisticat, bazat pe viteza lor operațională și înțelegerea detaliată a sistemelor Vercel”. Traducere: nu a fost un script kiddie, ia timpul în serios.

Ești afectat? Cum să verifici în 5 minute

Răspuns scurt: dacă folosești Vercel și nu ai fost strict în privința comutatorului „Sensitive”, consideră-te afectat. Iată triajul de 5 minute:

• Deschide jurnalul de activitate Vercel și filtrează din 1 aprilie 2026 până acum. Caută conectări necunoscute, creări de token-uri sau implementări.
• Mergi la Google Workspace Admin → Security → API Controls și caută indicatorul publicat de compromitere: ID-ul client OAuth 110671459871-30f1spbu0hptbs60cb4vsmv79i7bbvqj.apps.googleusercontent.com. Dacă este autorizat, revocă-l imediat.
• Verifică dacă cineva din echipa ta s-a conectat vreodată la Context.ai folosind Google SSO. Dacă da, tratează conturile lor ca fiind cu risc ridicat.
• Uită-te la fila Environment Variables a proiectului tău Vercel. Numără câte NU sunt marcate ca „Sensitive”. Fiecare dintre ele este în raza de acțiune.

Dacă ai primit un e-mail de la Vercel care începe cu „Am identificat un incident de securitate care vă afectează contul”, te afli în categoria celor confirmați ca impactați. Sari la secțiunea de rotație și începe ACUM.

Planul de răspuns de urgență de 60 de minute

Acesta este ordonat după raza de explozie. Nu sări peste pași, fiecare deblochează următorul.

Pasul 1: Îngheață mediul (Primele 10 minute)

Oprește sângerarea înainte de a începe forensică:

• Oprește implementările automate pe ramurile main / production (Vercel Dashboard → Project → Settings → Git).
• Dezactivează temporar Aplicația Vercel GitHub la github.com/organizations/<your-org>/settings/installations dacă suspectezi o compromitere mai profundă.
• Exportă jurnalul de audit Vercel într-un CSV și salvează-l local. Vei avea nevoie de el dacă acest lucru devine un incident notificabil GDPR mai târziu.
• Activează Observability Plus (chiar și o săptămână de probă) pentru a păstra jurnale extinse.

Acesta este pasul de „păstrare a dovezilor”. Rotirea înainte de a face o instantanee a jurnalului îți distruge cronologia.

Pasul 2: Extrage variabilele de mediu și scanează-le pentru secrete

Deschide terminalul și rulează:

vercel link
vercel env pull .env.vercel-audit

Apoi scanează output-ul. Cel mai rapid mod este CLI-ul GitGuardian:

ggshield secret scan path .env.vercel-audit

Dacă nu vrei să instalezi nimic, caută aceste modele, ele prind 80% din secretele scurse în fișierele env:

grep -E "AKIA[0-9A-Z]{16}|sk_live_[0-9a-zA-Z]{24}|ghp_[0-9a-zA-Z]{36}|ghs_[0-9a-zA-Z]{36}|npm_[0-9a-zA-Z]{36}|eyJ[a-zA-Z0-9_-]+|-----BEGIN" .env.vercel-audit

Fiecare potrivire este un candidat la rotație. Fiecare secret nepotrivit care este totuși o credențială (URL-uri DB, parole Redis, chei de semnare webhook) este DE ASEMENEA un candidat la rotație; grep-ul prinde doar lucrurile evidente.

Pasul 3: Rotește secretele în ordinea priorității (Nu alfabetic)

Aici greșesc majoritatea echipelor. Rotește 40 de secrete în ordine aleatorie, o cheie de sesiune invalidează fiecare conectare activă, iar tichetele de suport explodează. Fă-o pe niveluri:

Nivelul 0 — Rotește în următoarele 30 de minute:

• Toate Token-urile Personale de Acces GitHub (fine-grained și clasice)
• Toate token-urile existente ale variabilelor de mediu sensibile Vercel
• Token-urile de Protecție a Implementării

Nivelul 1 — Rotește azi:

• Cheile secrete ale procesatorilor de plăți (Stripe sk_live_, Adyen, Braintree)
• AUTH_SECRET, NEXTAUTH_SECRET, chei de semnare JWT, cookie-uri de sesiune
• Șiruri de conexiune la baza de date cu acces de scriere (DATABASE_URL, Mongo, Redis)
• Cheile providerilor de cloud (AWS IAM, conturi de serviciu GCP, secrete client Azure)
• Secrete de semnare webhook (actualizează la expeditor ȘI la receptor)

Nivelul 2 — Rotește săptămâna aceasta:

• Chei SaaS terțe (email, SMS, analitică, CRM)
• Secrete client OAuth
• Credentiale SMTP, chei CDN

Nivelul 3 — Rotește când este convenabil:

• Token-uri de analitică read-only, DSN-uri Sentry, chei publice/anonime

Ordinea critică a operațiunilor:

• Pentru bazele de date: creează noul utilizator înainte de a revoca cel vechi, sau vei da site-ul jos în mijlocul rotației.
• Pentru cheile de sesiune: planifică un eveniment de deconectare, fiecare sesiune activă moare.
• Pentru webhook-uri: actualizează ambele părți în aceeași fereastră de implementare.
• Reimplementează după fiecare modificare a variabilei de mediu. Vercel înglobează valorile la momentul build-ului, nu la runtime.

Pasul 4: Readaugă totul ca „Sensibil”

Când pui noile valori înapoi, activează comutatorul „Sensitive” pentru fiecare dintre ele. Valorile sensibile utilizează o cale separată criptată și, conform bulletinului propriu al Vercel, nu au fost expuse în acest incident. Aceasta este modificarea dintr-un singur clic care ar fi salvat majoritatea clienților afectați.

Pasul 5: Auditează repo-ul pentru modificări nedorite

Compară HEAD pe ramura principală cu un commit cunoscut ca bun de înainte de 1 aprilie. Concentrează-te pe:

• Scripturile package.json, în special postinstall, prepare, preinstall
• Fișierele de lock (package-lock.json, pnpm-lock.yaml) pentru dependențe noi neașteptate
• .github/workflows/*.yml pentru fluxuri de lucru noi sau acțiuni nepinate
• vercel.json pentru modificări ale comenzilor de build sau rescrieri suspecte
• next.config.js pentru anteturi noi sau redirecționări către domenii necunoscute

Dacă publici pachete npm, rulează și npm view <pkg> time --json și verifică să nu fi livrat nimic pe care nu l-ai scris tu.

Pasul 6: Vânează în aval

Atacatorii nu se opresc la variabilele de mediu, le folosesc. Interoghează sistemele tale din aval pentru fereastra 1 aprilie – prezent:

• AWS CloudTrail: CreateUser neașteptat, AttachUserPolicy, burst-uri S3 GetObject, conectări de la IP-uri noi.
• Jurnalele de audit ale bazei de date: interogări mari SELECT *, exporturi, conexiuni din regiuni neobișnuite.
• Stripe / Adyen: chei API noi, rambursări suspecte, creări de clienți din locații ciudate.
• Provider de autentificare: conectări cu călătorie imposibilă, resetări de parolă neautorizate, noi aplicații OAuth.

Orice lovitură aici transformă acest exercițiu de rotație într-un incident real, escaladează și ia în considerare obligațiile de notificare (GDPR: 72 de ore).

Ce ratează „Vibecoderii”: Suprafața de atac ascunsă

Dacă ai ajuns la codare asistată de AI, folosind instrumente precum Claude Code, Cursor sau Copilot, probabil ți-ai lansat prima aplicație Vercel înainte de a citi vreun document de securitate. E în regulă. Dar există patru capcane ascunse care lovesc vibecoderii mai tare decât îi lovesc pe dezvoltatorii experimentați:

1. Capcana NEXT_PUBLIC_. Orice prefixat cu NEXT_PUBLIC_ este inclus în JavaScript-ul clientului. Dacă ai pus o cheie API acolo „doar pentru test”, era deja publică înainte de breșă. Caută în output-ul construit: grep -rE "sk_|AKIA|eyJ" .next/static/.
2. Scurgerea Linear / Slack. Dacă echipa ta lipește secrete în probleme Linear sau fire Slack „doar pentru o secundă”, acele secrete stau în jurnale terțe. Revizuiește jurnalul de audit Linear și caută aceleași modele regex de mai sus.
3. Presupunerea .env.local în repo privat. Repo-urile private nu sunt private dacă Aplicația Vercel GitHub a fost compromisă. Fiecare fișier .env.* comis este în raza de acțiune.
4. Implementări preview cu secrete de producție. Majoritatea vibecoderilor reutilizează variabilele de mediu de producție pentru mediile preview. Asta îți dublează suprafața de atac. Separa-le.

Aceasta este munca plictisitoare de infrastructură pe care instrumentele de codare AI o sar peste. Soluția nu este să nu mai folosești AI, ci să combini viteza AI cu o linie de bază de securitate. Dacă încă încerci să dai seama unde trăiește exact aplicația ta, comparația noastră Vercel vs Netlify și analiza Railway vs Render vs Fly.io sunt puncte bune de plecare.

Cum să îți consolidezi stack-ul astfel încât următoarea breșă să nu te ardă

Breșele platformei sunt o chestiune de când, nu de dacă. Iată linia de bază pe care fiecare aplicație de producție ar trebui să o aibă în loc până luni:

• Setează implicit fiecare nouă variabilă de mediu ca „Sensibilă” în Vercel. Fă-o memoria musculară a echipei tale.
• Folosește credențiale cu durată scurtă de viață. Schimbă cheile AWS/GCP cu durată lungă de viață cu federarea GitHub OIDC; providerul tău de cloud are încredere directă în identitatea CI, fără secret cu durată lungă de viață care să fie scurs.
• Instalează scanarea secretelor pre-commit (gitleaks, Trufflehog). Oprește secretele să intre în repo de la început.
• Restricționează Aplicația GitHub la repo-uri specifice, nu la nivel de organizație.
• Revizuire trimestrială a aplicațiilor OAuth în Google Workspace, Microsoft 365, GitHub și Vercel. Omoară orice nu recunoști.
• Rulează scanări de secrete ca hook Claude Code, aplicare deterministică pre-commit chiar și atunci când AI uită.
• Fixează versiunea Next.js și monitorizează advisory-urile. Vercel este stewardul principal Next.js, așa că incidentele de aici se propagă.
• Segmenteează secretele backend. Dacă folosești Supabase sau Firebase, folosește securitatea la nivel de rând și cheile de rol de serviciu cu moderatie; o cheie de serviciu scursă înseamnă compromiterea completă a BD.

Ai nevoie de ajutor pentru a bloca asta? Iată cum se potrivește Techsy

Iată pitch-ul onest: majoritatea echipelor mici nu au un inginer de securitate, iar citirea unui ghid de răspuns la incidente cu 60 de pași la 2 dimineața nu este modul în care cineva vrea să își petreacă ziua de luni.

La Techsy, am gestionat răspunsul la incidente și consolidarea platformei pentru peste 40 de aplicații Next.js și Node.js de producție în ultimii doi ani. Special pentru incidentul Vercel, oferim:

• Răspuns de Urgență în 72 de Ore, Executăm rotația Nivelul 0 / Nivelul 1, scanăm variabilele tale de mediu împotriva a peste 200 de semnături de secrete și audităm jurnalele tale Vercel + GitHub + cloud cap-la-coadă. Timpul typical de execuție: o zi lucrătoare.
• Audit de Consolidare a Platformei, Migrarea variabilelor sensibile, rotația credențialelor OIDC, scanarea secretelor pre-commit, delimitarea Aplicației GitHub și un manual de proceduri scris astfel încât viitorul tău sine să știe ce să facă în timpul următoarei breșe.
• DevSecOps Continuu, Revizuiri trimestriale OAuth, scanare continuă a secretelor și simulacre de incidente astfel încât „nu ni se va întâmpla nouă” să devină o afirmație pe care chiar o poți susține.

Suntem ingineri, nu un vendor de securitate de bifat casuțe. Dacă intri în panică acum, contactează-ne pentru un apel gratuit de triaj de 30 de minute, îți vom spune onest dacă ai nevoie de noi sau dacă te poți descurca cu ghidul de mai sus.

Întrebări frecvente

Hack-ul Vercel este confirmat real sau doar o rumoare?

Confirmat. Vercel a publicat un bulletin oficial de securitate pe 19 aprilie 2026, recunoscând accesul neautorizat printr-un instrument AI terț compromis (Context.ai) și un cont Google Workspace al unui angajat deturnat. Variabilele de mediu nemarcate ca „sensibile” au fost accesate. O postare separată pe BreachForums susține că vinde datele pentru 2 milioane USD; acea parte este neverificată.

Nu am primit un e-mail de la Vercel. Sunt în siguranță?

Probabil, dar „probabil” nu este o postură de securitate. Vercel a spus că a contactat subsetul limitat de clienți cu impact confirmat. Dacă e-mailul tău nu a sosit, riscul tău este mai mic, dar fiecare variabilă de mediu non-sensibilă de pe platforma Vercel a fost în raza de explozie. Fă oricum triajul de 10 minute de mai sus.

Care este diferența dintre variabilele de mediu „sensibile” și cele regulate în Vercel?

Variabilele de mediu „Sensibile” utilizează o cale separată de citire criptată și nu pot fi vizualizate în dashboard după creare. Variabilele de mediu regulate sunt lizibile de către oricine are acces la proiect (inclusiv, în acest incident, atacatorul). Soluția este gratuită și necesită un singur clic per variabilă.

Trebuie să rotesc TOATE secretele mele sau doar pe cele de pe Vercel?

Rotește fiecare secret stocat într-o variabilă de mediu Vercel non-sensibilă. Dacă ai folosit aceeași cheie și în altă parte (un anti-pattern comun), rotește-o peste tot. Nu uita de .env.local în implementările preview, sistemele CI precum GitHub Actions și orice referințe lipite în Linear sau Slack.

Cum îmi scanez variabilele de mediu pentru secrete reale rapid?

Rulează vercel env pull .env.audit apoi ggshield secret scan path .env.audit. Dacă nu poți instala GitGuardian, folosește one-liner-ul grep din Pasul 2 al ghidului, acesta prinde chei AWS, chei Stripe, token-uri GitHub, token-uri npm, JWT-uri și blocuri PEM.

Ar trebui să mă mut de la Vercel după acest incident?

Nu din cauza acestui incident alone. Răspunsul Vercel, IoC public, cronologia, ghidul de rotație, au fost rezonabil de transparente. Fiecare platformă va avea o breșă la un moment dat. Ceea ce contează este dacă te-ai proiectat pentru asta: implicite pentru variabile sensibile, credențiale cu durată scurtă de viață, medii segmentate. Dacă cântărești oricum alternative, postările noastre Vercel vs Netlify și Railway vs Render vs Fly.io detaliază compromisurile.

Cât timp am să notific clienții dacă sunt afectat?

GDPR îți oferă 72 de ore de la conștientizarea unei breșe notificabile. California (CCPA) are declanșatoare specifice clasei de date. Contractele SOC 2 / ISO 27001 cer adesea o notificare mai precoce decât regulatorii. Dacă ai clienți plătitori și confirmi exfiltrarea datelor lor, presupune că ești pe un ceas de 72 de ore și consultă departamentul legal înainte de a trimite orice.

Pot fi atacate aplicațiile Next.js prin acest mecanism chiar dacă nu sunt pe Vercel?

Incidentul este specific platformei Vercel. Next.js în sine, găzduit în altă parte, nu este afectat de mecanismul breșei. Dar dacă ai folosit aceleași modele de variabile de mediu NEXT_PUBLIC_ care expun accidental secrete, acele probleme călătoresc cu codul tău indiferent de gazdă. Auditează output-ul build-ului oricum.

Care este soluția dintr-un singur clic care ar fi prevenit majoritatea daunelor?

Marcarea fiecărei variabile de mediu care conține credențiale ca „Sensibilă” în Vercel din prima zi. Este o casetă de bifat în dashboard. În acest incident, variabilele sensibile NU au fost accesate, doar cele regulate au fost. Aceasta este soluția și costă zero dolari și aproximativ cinci minute per proiect.

Cum mă asigur că echipa mea nu livrează niciodată din nou un secret nemarcat?

Trei straturi: (1) scanarea secretelor pre-commit cu gitleaks, (2) o verificare CI care eșuează dacă o variabilă de mediu este adăugată fără flag-ul sensitive: true prin API-ul Vercel și (3) un hook Claude Code care rulează scannerul la fiecare editare. Apărare în profunzime, oricare dintre cele trei prinde 80%, toate trei prind ~99%.

Concluzia

Breșa Vercel din aprilie 2026 este rea, dar este supraviețuibilă, dacă te miști în următoarele 60 de minute. Îngheață implementările, extrage variabilele de mediu, rulează grep-ul, rotește pe niveluri, readaugă ca sensibile și vânează în aval. Acesta este întregul ghid.

Breșele platformei expun cât de mult ne bazăm pe implicite. Majoritatea echipelor care au fost rănite aici nu au făcut nimic greșit, au lăsat pur și simplu comutatorul „Sensitive” nebifat pentru că nimeni nu le-a spus că contează. Aceasta este lecția reală pentru vibecoderi: codul generat de AI se livrează rapid, dar implicitele de securitate nu vin la pachet cu generarea.

Dacă vrei o a doua pereche de ochi pe stack-ul tău sau preferi să nu execuți acest ghid singur la 2 dimineața, programează un apel gratuit de triaj cu echipa Techsy. Altfel, mult succes, mișcă-te rapid și marchează acele variabile ca sensibile.