کلاؤڈ ایپ ہوسٹنگ دیو ورسل نے اس ہفتے کے آخر میں کہا کہ ہیکرز نے اس کے اندرونی نظام کی خلاف ورزی کی ہے اور صارفین کے ڈیٹا تک رسائی حاصل کی ہے۔ ہیکرز نے دعویٰ کیا ہے کہ انہوں نے Vercel کے سسٹمز سے صارفین کی حساس اسناد چرا لی ہیں اور ڈیٹا کو آن لائن فروخت کر رہے ہیں۔
اتوار کو ایک بیان میں، ورسل نے کہا کہ خلاف ورزی ایک اور سافٹ ویئر بنانے والی کمپنی، Context AI سے ہوئی ہے۔ Vercel کے ملازمین میں سے ایک نے Context AI کی بنائی ہوئی ایک ایپ ڈاؤن لوڈ کی اور اسے اپنے کارپوریٹ اکاؤنٹ سے منسلک کیا، جس کی میزبانی Google کرتا ہے۔ ہیکرز نے اس کنکشن (جسے OAuth کے نام سے جانا جاتا ہے) کا استعمال Vercel کے ملازم کے گوگل اکاؤنٹ پر قبضہ کرنے اور Vercel کے کچھ اندرونی سسٹمز تک رسائی حاصل کرنے کے لیے کیا، بشمول اسناد جو کہ خفیہ کردہ نہیں تھیں۔
ورسل کا کہنا ہے کہ اس کے Next.js اور Turbopack منصوبے خلاف ورزی سے متاثر نہیں ہوئے۔ دونوں اوپن سورس پروجیکٹس ویب اور ایپ ڈویلپرز کے ذریعہ بڑے پیمانے پر استعمال ہوتے ہیں۔
ورسل نے کہا کہ اس نے ان صارفین سے رابطہ کیا ہے جن کے ایپ ڈیٹا اور کیز سے سمجھوتہ کیا گیا تھا۔
X پر ایک پوسٹ میں، Vercel کے چیف ایگزیکٹو Guillermo Rauch نے صارفین کو مشورہ دیا کہ وہ اپنی ایپ کی تعیناتیوں میں کسی بھی کلید اور اسناد کو گھمائیں جو "غیر حساس" کے بطور نشان زد ہوں۔
یہ واضح نہیں ہے کہ Vercel یا Context AI میں خلاف ورزی کے پیچھے کون ہے، یا اگر وہ وہی ہیکر ہیں۔ ڈیٹا بیچنے والے دھمکی آمیز اداکار نے سائبر کرائمین فورم پر اپنی فہرست میں شائنی ہنٹرز ہیکنگ گروپ کی نمائندگی کرنے کا دعویٰ کیا۔ ٹیک کرنچ کی طرف سے دیکھی گئی پوسٹ میں دعویٰ کیا گیا کہ ہیکرز کسٹمر API کیز، سورس کوڈ اور ورسل سے چوری شدہ ڈیٹا بیس ڈیٹا تک رسائی فروخت کر رہے ہیں۔
شائنی ہنٹرز ہیکر گروپ، جو کلاؤڈ بیسڈ اور ڈیٹا بیس کمپنیوں کی خلاف ورزی کے لیے جانا جاتا ہے، نے سائبر سیکیورٹی نیوز سائٹ بلیپنگ کمپیوٹر کو بتایا کہ وہ اس واقعے میں ملوث نہیں ہیں۔
جب کہ ہیک کی تفصیلات اب بھی سامنے آرہی ہیں، یہ سیکیورٹی کی خلاف ورزی حالیہ مہینوں میں "سپلائی چین" ہیکس کے سلسلے میں تازہ ترین ہے جس نے ایسے سافٹ ویئر ڈویلپرز کو نشانہ بنایا ہے جن کا کوڈ پورے ویب پر وسیع پیمانے پر استعمال ہوتا ہے۔ کمپنیوں کے ذریعہ وسیع پیمانے پر استعمال ہونے والے اور ویب انفراسٹرکچر کو سپورٹ کرنے والے سافٹ ویئر سے سمجھوتہ کرکے، ہیکرز ایک ہی وقت میں اہداف کی ایک وسیع رینج سے اسناد چرا سکتے ہیں اور دوسرے کلاؤڈ جنات کے ذریعے ذخیرہ کردہ ڈیٹا کی بڑی مقدار تک مزید رسائی حاصل کر سکتے ہیں۔
ورسل نے حملے کے بارے میں کچھ اور کہا، سوائے اس کے کہ وہ اس واقعے کی تحقیقات کر رہا تھا اور اس نے سیاق و سباق AI سے جواب طلب کیا تھا۔ ورسل نے کہا کہ ہیک "کئی تنظیموں کے سیکڑوں صارفین" کو متاثر کر سکتا ہے، اور نہ صرف اس کا اپنا سسٹم، ٹیک انڈسٹری میں پھیلے ہوئے بہاو کی ممکنہ خلاف ورزیوں کا انتباہ۔
سیاق و سباق AI، جو AI ماڈلز کے لیے تشخیصات اور تجزیات تیار کرتا ہے، نے اپنی ویب سائٹ پر تصدیق کی کہ مارچ میں اس کی Context AI Office Suite صارف ایپ میں خلاف ورزی ہوئی تھی۔ ایپ صارفین کو ایک بے نام تھرڈ پارٹی سروس کے ذریعے متعدد تھرڈ پارٹی ایپلی کیشنز میں کارروائیوں اور ورک فلو کو خودکار کرنے کی اجازت دیتی ہے۔
سیاق و سباق AI نے کہا کہ اس نے خلاف ورزی کے بارے میں ایک صارف کو مطلع کیا، لیکن ورسل کے واقعے کی بنیاد پر، اب اس کا خیال ہے کہ یہ واقعہ ممکنہ طور پر پہلی سوچ سے زیادہ وسیع ہے۔ سیاق و سباق AI نے کہا کہ ہیکرز نے "ممکنہ طور پر ہمارے کچھ صارفین کے لیے OAuth ٹوکنز سے سمجھوتہ کیا ہے۔"
سیاق و سباق AI نے خلاف ورزی کے بارے میں تبصرہ یا سوالات کی درخواست کا جواب نہیں دیا۔ یہ واضح نہیں ہے کہ Context AI نے اس وقت خلاف ورزی کا انکشاف کیوں نہیں کیا، یا اگر کمپنی کو ہیکر کی جانب سے کوئی مطالبہ موصول ہوا، جیسے کہ تاوان۔
ورسل نے بھی اس واقعے کے بارے میں سوالات کا جواب نہیں دیا، جیسے کہ اس کے کتنے صارفین متاثر ہو سکتے ہیں۔
ایک غیر متعلقہ سیاق و سباق AI کا حوالہ ہٹانے کے لیے درست کیا گیا جس کا عملہ OpenAI نے حاصل کیا تھا۔
