Vercel violada via IA de terceiro: chaves de clientes à venda por US$ 2M
A plataforma de deploy Vercel confirmou um breach originado por um infostealer no fornecedor de IA Context.ai, expondo credenciais de centenas de organizações — com atacante exigindo US$ 2 milhões para não publicar código-fonte e chaves de API roubadas.
O acesso inicial ocorreu após um colaborador da Context.ai ser infectado pelo Lumma Stealer em fevereiro de 2026, comprometendo via OAuth a conta corporativa Google de um funcionário da Vercel e abrindo caminho para sistemas internos. Empresas que hospedam aplicações na Vercel devem rotacionar imediatamente todas as chaves de API, tokens de deploy e credenciais OAuth — o risco downstream inclui comprometimento de pipelines de CI/CD e exposição de segredos de produção. Se PII de clientes estava em repositórios acessados, o incidente ativa obrigação de notificação sob LGPD Art. 48 e GDPR Art. 33.
Rotacione todas as credenciais Vercel e audite integrações OAuth de ferramentas de IA com acesso corporativo
Contexto
Vercel é uma das principais plataformas de deploy de aplicações web, utilizada por startups e enterprises globalmente — incluindo times de produto em crypto, fintech e SaaS. O vetor foi uma integração com Context.ai, ferramenta de analytics de IA conectada ao ambiente corporativo via OAuth; um colaborador da Context.ai foi comprometido por Lumma Stealer em fevereiro de 2026. O persona ShinyHunters, que reivindica o ataque, foi associado ao breach do Snowflake em 2024, que afetou 165 empresas e desencadeou investigações regulatórias nos EUA, Reino Unido e Canadá. A Vercel está investigando com a Mandiant e forças de ordem.
Impacto pra o negócio
Empresas clientes da Vercel podem ter tido chaves de API, credenciais de deploy e tokens de CI/CD expostos — ativos que permitem ao atacante comprometer pipelines de build e potencialmente injetar código malicioso em produção. O vazamento de 580 registros de funcionários (nomes, e-mails, status de conta) cria superfície imediata para campanhas de spear-phishing contra times de engenharia. Para empresas de crypto e fintech, o risco inclui drenagem de chaves privadas e tokens de API conectados à plataforma. O CISO e o responsável por segurança de supply chain são diretamente responsabilizados caso incidentes downstream sejam rastreados ao breach da Vercel. A demanda de resgate de US$ 2 milhões — sem garantia de não-vazamento — representa risco financeiro direto além do custo de resposta a incidente.
O que a gente tira disso
Este incidente reproduz exatamente a cadeia do Snowflake 2024 — infostealer em fornecedor → OAuth comprometido → acesso a sistemas internos — e empresas que não revisaram controles de terceiros após aquele episódio estão repetindo o erro. O gap mais comum em programas de segurança maduros é justamente o inventário de integrações OAuth e ferramentas de IA de terceiros, que raramente entra no escopo de bug bounty ou revisão de risco de fornecedores. Um programa de bounty com escopo em integrações OAuth e endpoints internos teria potencial de identificar permissões excessivas antes do atacante. Empresas resilientes segmentam o acesso de ferramentas de IA por ambiente (produção vs. desenvolvimento) e auditam concessões OAuth trimestralmente.
Checklist CISO/CTO
- Rotacione imediatamente todas as chaves de API, tokens de deploy e credenciais OAuth vinculadas ao Vercel
- Mapeie todas as integrações de IA e SaaS com acesso OAuth a ambientes corporativos e de produção
- Solicite ao time de segurança um relatório de acessos OAuth de terceiros concedidos nos últimos 90 dias
- Valide se PII de clientes estava em repositórios ou bancos de dados acessados — gatilho para notificação LGPD/GDPR em até 72h
- Inclua ferramentas de IA e plataformas de analytics no próximo ciclo formal de revisão de risco de fornecedores
- Aplique princípio de privilégio mínimo a integrações de terceiros: nenhuma ferramenta de IA deve ter acesso a produção sem escopo explícito e auditado
Mapeamento de compliance
- SOC 2 CC9.2 — Gestão de risco de fornecedores e parceiros com acesso a sistemas críticos
- ISO 27001 A.15.2 — Monitoramento e revisão de serviços de fornecedores
- LGPD Art. 48 — Notificação de incidente à ANPD em até 72h se PII de clientes brasileiros foi exposta
- GDPR Art. 33 — Notificação à autoridade supervisora em até 72h se dados de cidadãos europeus foram afetados
Conecte sua empresa aos melhores hunters do Brasil.
Hunterspay é plataforma Managed Bug Bounty: escopo, triagem, pagamento e gestão de vulnerabilidades — tudo curado. Segurança contínua sem contratar hunter interno.
Cadastrar empresa →