당신이 잊고 허락해둔 200만 달러의 권한
The $2 Million Permission You Forgot You Granted
TL;DR AI
1분핵심 요약
공격자들은 Lumma Stealer에 감염된 Context.ai 직원의 탈취된 OAuth 토큰을 이용해 신뢰된 연동 경로로 Vercel 내부 환경에 침투했다.
이번 침해로 Vercel의 내부 환경 변수 등이 노출된 것으로 알려졌고, 공격자들은 200만 달러의 몸값을 요구했다.
사례는 과도한 제3자 로그인 권한 하나가 MFA를 우회하고 연결된 클라우드 서비스 전반으로 신뢰를 확장할 수 있음을 보여준다.
사건에는 Vercel, Context.ai, Google Workspace, Drifts Salesforce 연동, UNC6395, Next.js가 연관돼 있다.