2026年4月21日 10:40
Vercelデータ流出、AIツール経由でGoogle乗っ取り
3行まとめ
- •Vercelで環境変数が流出した可能性
- •原因はサポート終了のサードパーティAIツール
- •Google Workspaceアカウントが乗っ取られ侵入
詳細
概要
Vercelは2026年4月、同社システムへの不正アクセスにより一部ユーザーの環境変数が流出した可能性があることを公表した。攻撃の起点となったのは、同社従業員が業務で使用していたサードパーティ製のAIツールであり、そのツールはすでにサポートが終了した状態（EOL）で運用されていた。
攻撃の手口
攻撃者はサポート終了済みのAIツールを介してVercel従業員のGoogle Workspaceアカウントを乗っ取り、内部システムへのアクセスを確立した。その後、環境変数（APIキーやシークレットなどの機密設定情報）が格納されている領域にアクセスし、一部のユーザーデータを窃取した。EOLツールは脆弱性修正が行われないため、こうした攻撃の足がかりとして狙われやすい。
影響と教訓
環境変数にはデータベース接続情報や外部サービスのAPIキーが含まれることが多く、流出した場合の被害は広範に及ぶ。今回の事例は、従業員が使用するサードパーティツール、特にAIツールのライフサイクル管理とアクセス権限の定期的な棚卸しが、企業のセキュリティ体制において重要であることを改めて示した。Vercelはユーザーに対して環境変数のローテーション（再生成）を推奨している。
なぜ重要か
業務用AIツールのサポート終了管理が不十分な場合、認証情報の流出につながる攻撃経路になる。AIツール導入企業はライフサイクル管理の見直しが求められる。
元記事を読む — ITmedia AI+