Actualización sobre el incidente de seguridad en Vercel: paquetes npm no comprometidos, las nuevas variables de entorno por defecto son 'sensibles'

Según la monitorización de Beating, la cuenta oficial de Vercel anunció en la mañana del 21 de abril que, tras una investigación conjunta con GitHub, Microsoft, npm y Socket, se confirmó que ningún paquete publicado por Vercel en npm había sido manipulado, y que la cadena de suministro “permanece segura”. Vercel mantiene bibliotecas de código abierto como Next.js, Turbopack y SWR en npm, que en conjunto tienen miles de millones de descargas cada mes. Si un atacante llegara a envenenar estos paquetes usando una cuenta de empleado, el impacto sería mucho mayor que en los propios clientes de Vercel. Esta verificación ha eliminado el mayor riesgo asociado al incidente. El mismo día, el anuncio oficial de seguridad fue actualizado con tres detalles. Se aclaró por primera vez el alcance afectado hasta el nivel de campo. El anuncio indicó que la información filtrada consistía en variables de entorno de clientes que no estaban marcadas como “sensibles”, las cuales se almacenaron en texto plano después de ser descifradas en el backend. Vercel aún investiga si se exfiltraron más datos. Entre las recomendaciones para los clientes, se añadió que “eliminar el proyecto o la cuenta de Vercel en sí no elimina el riesgo”. Todas las claves sensibles no marcadas deben ser rotadas antes de considerar la eliminación, ya que las credenciales obtenidas por el atacante aún pueden conectarse directamente al sistema de producción. En el lado del producto, se ha cambiado el valor predeterminado. Ahora, las nuevas variables de entorno se configuran por defecto como “sensibles” (sensible: on). Anteriormente, para cuentas más antiguas, las variables añadidas por primera vez tenían un valor predeterminado de tipo regular y debían ser revisadas manualmente para habilitar la sensibilidad. Este fue el punto de entrada directo para que el atacante pudiera leer variables en texto plano. El Panel de control también ha lanzado una interfaz de registro de actividad más detallada y gestión de variables de entorno a nivel de equipo; entre todas las recomendaciones de seguridad, se ha priorizado “habilitar la autenticación de dos factores”.