Attack chain:
1. Взломали context.ai, которым пользовался один из сотрудников Vercel
2. Нашли его OAuth-токен с доступом к Google Workspace (само приложение сейчас уже удалено)
3. Использовали его, чтобы окончательно попасть в инфру

После первоначального доступа могли собрать some Vercel environments and environment variables that were not marked as "sensitive" и ... пока на этом все.

At this time, we do not have reason to believe that credentials or personal data have been compromised.

Sensitive environment variables — это те переменные окружения, которые ты должен отметить сам, после чего они шифруются. Но многие этого не делают, поэтому данные лежат открыто.

Что нужно сделать:
— проверить логи активности через Dashboard или CLI
— ротировать переменные окружения и отметить необходимые как "sensitive"
— поискать подозрительные деплойменты

Сейчас компания продолжает расследовать инцидент вместе с Mandiant. Отдельно отмечают, что хакер(ы) хорошо ориентировались и быстро продвигались.