ڪلائوڊ ايپ هوسٽنگ ديو ورسل هن هفتي جي آخر ۾ چيو ته هيڪرز ان جي اندروني سسٽم جي ڀڃڪڙي ڪئي ۽ ڪسٽمر ڊيٽا تائين رسائي ڪئي. هيڪرز دعويٰ ڪئي آهي ته انهن Vercel جي سسٽم مان حساس گراهڪ جي سندون چوري ڪيون آهن ۽ ڊيٽا آن لائن وڪرو ڪري رهيا آهن.
آچر تي هڪ بيان ۾، ورسل چيو ته ڀڃڪڙي هڪ ٻئي سافٽ ويئر ٺاهيندڙ، Context AI کان پيدا ٿيو. Vercel جي ملازمن مان هڪ Context AI پاران ٺاهيل ايپ ڊائون لوڊ ڪئي ۽ ان کي پنهنجي ڪارپوريٽ اڪائونٽ سان ڳنڍيو، جيڪو گوگل طرفان ميزبان آهي. هيڪرز اهو ڪنيڪشن استعمال ڪيو (OAuth جي نالي سان سڃاتو وڃي ٿو) Vercel ملازم جي گوگل اڪائونٽ تي قبضو ڪرڻ ۽ ورسل جي ڪجهه اندروني سسٽم تائين رسائي حاصل ڪرڻ لاءِ، بشمول سندون جيڪي انڪريپٽ ٿيل نه هيون.
ورسل جو چوڻ آهي ته ان جي Next.js ۽ Turbopack منصوبن جي ڀڃڪڙي کان متاثر نه ٿيا. ٻئي اوپن سورس پروجيڪٽ وڏي پيماني تي ويب ۽ ايپ ڊولپرز پاران استعمال ڪيا ويا آهن.
ورسل چيو ته اهو انهن گراهڪن سان رابطو ڪيو آهي جن جي ايپ ڊيٽا ۽ چابيون سمجھوتي ڪيون ويون آهن.
ايڪس تي هڪ پوسٽ ۾، ورسل جي چيف ايگزيڪيوٽو گيلرمو روچ گراهڪن کي صلاح ڏني ته اهي انهن جي ايپ جي ڊيپلائيمينٽ ۾ ڪي به چابيون ۽ سندون گھمائن جيڪي ”غير حساس“ طور نشان لڳل آهن.
اهو واضح ناهي ته ڪير Vercel يا Context AI جي خلاف ورزي جي پويان آهي، يا اهي ساڳيا هيڪر آهن. ڊيٽا وڪڻڻ واري خطري واري اداڪار دعوي ڪئي آهي ته سائبر ڪرمنل فورم تي پنهنجي لسٽنگ ۾ ShinyHunters هيڪنگ گروپ جي نمائندگي ڪندي. پوسٽ، TechCrunch پاران ڏٺو ويو، دعوي ڪئي ته هيڪرز وڪرو ڪري رهيا هئا ڪسٽمر API چابمن تائين رسائي، سورس ڪوڊ، ۽ ڊيٽابيس ڊيٽا چوري Vercel کان.
ShinyHunters هيڪر گروپ، جيڪو ڪلائوڊ بيسڊ ۽ ڊيٽابيس ڪمپنين جي ڀڃڪڙي لاءِ مشهور آهي، سائبر سيڪيورٽي نيوز سائيٽ بليپنگ ڪمپيوٽر کي ٻڌايو ته اهي ان واقعي ۾ ملوث نه آهن.
جڏهن ته هيڪ جا تفصيل اڃا به سامهون اچي رهيا آهن، هي حفاظتي ڀڃڪڙي تازو مهينن ۾ ”سپلائي چين“ هيڪس جي هڪ تار ۾ تازو آهي جنهن سافٽ ويئر ڊولپرز کي نشانو بڻايو آهي جن جو ڪوڊ ويب تي وڏي پيماني تي استعمال ٿيندو آهي. سافٽ ويئر کي سمجھوتو ڪرڻ سان جيڪو وڏي پيماني تي ڪمپنين پاران استعمال ڪيو ويو آهي ۽ ويب انفراسٽرڪچر کي سپورٽ ڪري ٿو، هيڪرز هڪ ئي وقت ۾ هدفن جي وسيع رينج کان سندون چوري ڪري سگهن ٿا ۽ ٻين ڪلائوڊ گينٽ پاران محفوظ ڪيل ڊيٽا جي وڏي مقدار تائين وڌيڪ رسائي حاصل ڪري سگهن ٿا.
ورسل حملي جي باري ۾ ٿورو وڌيڪ چيو، سواء ان جي ته اهو واقعي جي تحقيقات ڪري رهيو هو ۽ جواب طلب ڪيو هو Context AI کان. ورسل چيو ته هيڪ "ڪيترن ئي تنظيمن ۾ سوين صارفين" کي متاثر ڪري سگهي ٿو، ۽ نه رڳو ان جو پنهنجو سسٽم، ٽيڪني صنعت کي ڦهلائڻ واري امڪاني هيٺيون ڀڃڪڙي جي خبرداري.
Context AI، جيڪو AI ماڊلز لاءِ تشخيص ۽ تجزياتي ٺاهي ٿو، ان جي ويب سائيٽ تي تصديق ڪئي وئي ته ان ۾ مارچ ۾ هڪ ڀڃڪڙي هئي جنهن ۾ ان جي Context AI Office Suite صارف ايپ شامل آهي. ايپ صارفين کي غير نام نهاد ٽئين پارٽي جي خدمت جي ذريعي ڪيترن ئي ٽئين پارٽي ايپليڪيشنن ۾ ڪارناما ۽ ورڪ فلوز کي خودڪار ڪرڻ جي اجازت ڏئي ٿي.
Context AI چيو ته اها هڪ گراهڪ جي خلاف ورزي جي اطلاع ڏني، پر Vercel جي واقعي جي بنياد تي، اهو هاڻي يقين رکي ٿو ته اهو واقعو پهرين سوچ کان وڌيڪ وسيع آهي. Context AI چيو ته هيڪرز "ممڪن طور تي سمجھوتو ڪيو OAuth ٽوڪن اسان جي ڪجهه صارفين جي استعمال ڪندڙن لاء."
Context AI تبصري جي درخواست يا ڀڃڪڙي بابت سوالن جو جواب نه ڏنو. اهو واضح ناهي ته ڇو Context AI ان وقت جي خلاف ورزي کي ظاهر نه ڪيو، يا جيڪڏهن ڪمپني کي هيڪر کان ڪي مطالبا مليا، جهڙوڪ تاوان.
Vercel پڻ واقعي بابت سوالن جو جواب نه ڏنو، جيئن ته ان جا ڪيترا گراهڪ متاثر ٿي سگهن ٿا.
هڪ غير لاڳاپيل حوالن AI کي هٽائڻ لاءِ درست ڪيو ويو جنهن جي عملي کي OpenAI پاران حاصل ڪيو ويو.
