Vercel confirme une faille de sécurité alors qu’un pirate exige une rançon de 2 millions USD
Vercel, la plateforme d’hébergement et de déploiement web qui sert d’infrastructure front-end à une part importante de l’écosystème crypto et Web3, a confirmé le 19 avril 2026 qu’un attaquant a accédé aux environnements internes via le compte Google Workspace compromis d’un employé.
Cet incident est le résultat indirect d’une faille OAuth chez un tiers, Context.ai, un outil de productivité IA. Un acteur malveillant a par la suite exigé une rançon de 2 millions USD, publiant sur un forum de piratage de présumées clés d’accès, du code source, des jetons API de Vercel ainsi qu’un fichier contenant les dossiers d’environ 580 employés.
Le directeur général de Vercel a toutefois confirmé que les variables d’environnement des clients sont cryptées au repos et qu’un sous-ensemble limité de clients a été invité à renouveler ses identifiants.
Nous soupçonnons qu’il s’agit moins d’une remise en question de la posture de sécurité interne de Vercel que d’un signal structurel sur la surface d’attaque créée lorsque les outils de développement, les intégrations d’IA et l’infrastructure de déploiement convergent dans une chaîne de confiance OAuth unique — un vecteur que les audits de smart contracts et les examens de sécurité au niveau du protocole ne traitent pas et n’ont jamais été conçus pour couvrir.
Faille de sécurité Vercel : redirection de la chaîne d’approvisionnement OAuth, exposition des variables d’environnement et confirmations de la plateforme
Le mécanisme fonctionne comme suit : Context.ai, un outil d’IA tiers utilisé par au moins un employé de Vercel, a vu son application OAuth Google Workspace compromise lors d’un incident plus large ayant potentiellement affecté des centaines d’organisations.
Cette compromission a permis à un attaquant de passer de la session Google Workspace de l’employé aux environnements internes de Vercel — accédant à des variables d’environnement non cryptées par énumération plutôt que par une faille directe des propres systèmes d’authentification de Vercel.
VERCEL just got breached.
They’re selling internal DB + employee accounts + GitHub/NPM tokens for $2M on BreachForums.
looks like someone got early access to Claude Mythos 💀 https://t.co/BVCDvoSHfs pic.twitter.com/6bJ7Sx9O5M
— shirish (@shiri_shh) April 19, 2026
Le directeur général de Vercel, Guillermo Rauch, a commenté l’incident sur X, déclarant : « Vercel stocke toutes les variables d’environnement des clients entièrement cryptées au repos. Nous disposons de nombreux mécanismes de défense en profondeur… Malheureusement, l’attaquant a obtenu un accès plus large grâce à son énumération. »
La faille s’est produite le 19 avril 2026, et Vercel collabore actuellement avec Mandiant — la société d’expertise judiciaire appartenant à Google — ainsi qu’avec les forces de l’ordre, ses pairs de l’industrie et Context.ai pour déterminer l’étendue complète des données consultées. Vercel a également publié un indicateur de compromission (IoC) pour l’application OAuth malveillante afin d’aider d’autres organisations dans la détection.
Un acteur malveillant utilisant le pseudonyme « ShinyHunters » — bien que des groupes d’extorsion affiliés aient nié tout lien — a publié sur un forum de piratage affirmant vendre des clés d’accès Vercel, du code source, des contenus de bases de données, des données de déploiement internes, des jetons API NPM et GitHub, ainsi qu’un fichier texte listant environ 580 noms d’employés, adresses e-mail et statuts.
Le même acteur a formulé une demande de rançon de 2 millions USD. Il est nécessaire de préciser le statut épistémique de plusieurs détails ici : l’authenticité des données publiées n’a pas été vérifiée de manière indépendante ; il n’est pas confirmé si Vercel a payé, refusé ou est en train de négocier la rançon ; l’étendue exacte de l’exfiltration des données client n’a pas été divulguée ; et la véritable identité de l’attaquant reste inconnue.
Vercel a confirmé que les projets open-source, notamment Next.js et Turbopack, ne sont pas affectés et a mis à jour son tableau de bord avec une page de présentation des variables d’environnement et des outils de gestion des variables sensibles améliorés.
next