Vercel: Παραβίαση συστημάτων επιβεβαιώθηκε – Hackers πουλούν κλεμμένα δεδομένα για $2 εκατ.

Η Vercel, η δημοφιλής πλατφόρμα cloud ανάπτυξης και deployment εφαρμογών, επιβεβαίωσε σήμερα, 19 Απριλίου 2026, ότι δέχθηκε παραβίαση στα εσωτερικά της συστήματα. Η ανακοίνωση έγινε μέσω επίσημου security bulletin, ενώ παράλληλα ένας απειλητικός παράγοντας διατείνεται ότι πωλεί κλεμμένα δεδομένα της εταιρείας σε hacking forum.

Τι συνέβη – Η πηγή της παραβίασης

Σύμφωνα με το επίσημο bulletin της Vercel, η παραβίαση δεν προήλθε από άμεση επίθεση στις υποδομές της εταιρείας. Όπως αποκάλυψε η έρευνα, η είσοδος των επιτιθέμενων έγινε μέσω ενός μικρού third-party AI εργαλείου, το οποίο χρησιμοποιούσε Google Workspace OAuth app. Το συγκεκριμένο app παραβιάστηκε στο πλαίσιο μιας ευρύτερης επίθεσης που ενδέχεται να έχει επηρεάσει εκατοντάδες οργανισμούς που χρησιμοποιούσαν το ίδιο εργαλείο. Η Vercel δεν αποκάλυψε το όνομα του εν λόγω εργαλείου.

Η εταιρεία ενεργοποίησε εξωτερικούς εμπειρογνώμονες incident response και ενημέρωσε τις αρχές επιβολής του νόμου, ενώ οι υπηρεσίες της παραμένουν σε πλήρη λειτουργία.

Τι ισχυρίζονται οι hackers

Παράλληλα με την επίσημη ανακοίνωση, ένας threat actor που χρησιμοποιεί το μονίκερ «ShinyHunters» ανάρτησε σε γνωστό hacking forum ότι κατέχει κλεμμένα δεδομένα της Vercel και τα προσφέρει προς πώληση. Το listing διαφημίζει access keys, source code, database records, internal deployment credentials, καθώς και NPM και GitHub tokens. Ο ίδιος ισχυρίζεται ότι βρίσκεται σε επικοινωνία με την Vercel και έχει θέσει λύτρα ύψους $2 εκατομμυρίων, με αρχική πληρωμή $500.000 σε Bitcoin.

Επίσης, σύμφωνα με πληροφορίες, ο απειλητικός παράγοντας κατέχει αρχείο με 580 εγγραφές εργαζομένων, που περιλαμβάνουν ονόματα, email διευθύνσεις και timestamps δραστηριότητας λογαριασμών. Αξίζει να σημειωθεί ότι η αυθεντική ομάδα ShinyHunters αρνήθηκε κάθε εμπλοκή στο συγκεκριμένο περιστατικό, σύμφωνα με πηγές που επικοινώνησαν μαζί τους.

Κίνδυνος Supply Chain – Εκατομμύρια developers σε επιφυλακή

Ο κίνδυνος αυτής της παραβίασης δεν περιορίζεται μόνο στην ίδια την Vercel. Η εταιρεία είναι γνωστή για την ανάπτυξη του Next.js, του δημοφιλέστατου React framework με περίπου 6 εκατομμύρια εβδομαδιαίες λήψεις. Ο απειλητικός παράγοντας υπαινίχθηκε ότι η πρόσβαση στα εσωτερικά της Vercel θα μπορούσε να επιτρέψει μια μαζική supply-chain επίθεση, επηρεάζοντας εφαρμογές που έχουν κατασκευαστεί στην πλατφόρμα. Ανησυχία έχουν εκφράσει ιδιαίτερα οι crypto και Web3 projects που φιλοξενούνται στη Vercel, καθώς αποθηκεύουν στις environment variables τους ευαίσθητα credentials.

Τι πρέπει να κάνουν οι χρήστες ΤΩΡΑ

Η Vercel έχει εκδώσει συγκεκριμένες οδηγίες για όλους τους χρήστες της πλατφόρμας:

• Έλεγχος και rotation environment variables: Οποιοδήποτε environment variable περιέχει secrets (API keys, tokens, database credentials, signing keys) και δεν ήταν σημειωμένο ως «sensitive», πρέπει να θεωρείται δυνητικά εκτεθειμένο και να αλλαχθεί άμεσα.
• Ενεργοποίηση του Sensitive Environment Variables feature: Οι τιμές που είναι σημειωμένες ως «sensitive» αποθηκεύονται με τρόπο που δεν επιτρέπει την ανάγνωσή τους, και προς το παρόν δεν υπάρχουν ενδείξεις ότι αυτές αποκτήθηκαν.
• Ανανέωση GitHub tokens που συνδέονται με Vercel integrations και έλεγχος recent build logs για cached credentials.
• Audit λογαριασμού για ύποπτη δραστηριότητα στα logs deployments και project configurations.

Κακή στιγμή για την Vercel

Η παραβίαση έρχεται σε εξαιρετικά κρίσιμη στιγμή για την εταιρεία. Σύμφωνα με αναφορές, η Vercel σχεδίαζε IPO μετά από ραγδαία ανάπτυξη εσόδων, ενώ ανταγωνιστές όπως η Netlify και η Render ήδη επικοινωνούν με πελάτες της Vercel προβάλλοντας τα δικά τους security profiles. Η έρευνα συνεχίζεται και η εταιρεία έχει υποσχεθεί περαιτέρω ενημερώσεις.

Πηγές

• BleepingComputer – Vercel confirms breach as hackers claim to be selling stolen data
• Vercel – Official Security Bulletin (April 2026)
• CyberInsider – Vercel confirms security incident as hackers claim to sell internal access
• TechWeez – Vercel Confirms Internal System Breach Linked to Third-Party AI Tool