Vercel a révélé un incident de sécurité impliquant un accès non autorisé à ses systèmes internes, impactant un nombre limité de clients.
La plateforme d’hébergement web a publié un bulletin de sécurité le 19 avril, exhortant tous les utilisateurs à vérifier immédiatement leurs variables d’environnement.
Ce qu’il s’est passé chez Vercel
Selon la déclaration officielle de Vercel, des attaquants ont accédé sans autorisation à certains systèmes internes. L’entreprise a fait appel à des experts en réponse aux incidents et a informé les autorités compétentes.
Le développeur Theo Browne a fourni des détails supplémentaires, en précisant que les intégrations Linear et GitHub de Vercel ont été particulièrement ciblées lors de l’attaque.
Cependant, les variables d’environnement marquées comme « sensibles » sur la plateforme sont restées protégées.
Les variables non identifiées comme sensibles doivent être renouvelées par précaution.
La méthode de la faille pourrait avoir visé plusieurs entreprises au-delà de Vercel. L’ampleur exacte des clients concernés reste à déterminer, l’enquête étant toujours en cours.
Pourquoi les projets crypto doivent être vigilants
De nombreux frontends crypto et Web3 sont hébergés sur Vercel, des connecteurs de wallet aux interfaces d’applications décentralisées.
Les projets qui conservent des clés API, des endpoints RPC privés ou des secrets liés aux wallets dans des variables d’environnement non sensibles s’exposent à un risque de fuite potentielle.
La faille ne menace pas directement les blockchains ou les smart contracts, puisque ceux-ci fonctionnent de manière indépendante de l’hébergement frontend.
Cependant, des chaînes de déploiement compromises pourraient en théorie permettre une manipulation des builds pour les comptes affectés.
Aucune preuve de telle manipulation n’a été identifiée à ce jour.
Vercel recommande de vérifier toutes les variables d’environnement et d’activer la fonctionnalité de variable sensible.
Les experts en sécurité conseillent également de régénérer les tokens GitHub associés aux intégrations Vercel et d’auditer les journaux de build récents pour repérer d’éventuels identifiants mis en cache.
Cet incident rappelle les risques que représentent les plateformes de déploiement centralisées dans un écosystème décentralisé.
