OAuth Abuse와 자격 증명 유출을 통한 Vercel 내부 시스템 침투 사례

AI-assisted intruders pwned Vercel via OAuth abuse and a pilfered employee account

Carly Page2026년 4월 21일2분intermediate

AI 요약

Context

직원 계정의 자격 증명 유출과 OAuth 권한 오남용을 통한 내부 인프라 접근 허용 상황. Environment Variable의 민감도 구분 설정으로 인한 보안 수준의 불균형이 공격자의 내부 횡적 이동(Lateral Movement)을 가속화함.

Technical Solution

Lumma stealer Malware 감염을 통한 직원 기기 내 Corporate Credentials 탈취
탈취한 계정을 활용한 Vercel Google Workspace Account 하이재킹 및 OAuth Abuse 수행
시스템 내부 진입 후 Non-sensitive로 설정된 Environment Variable을 우선적으로 탐색하여 추가 권한 획득
AI 기반의 자동화 도구를 활용한 인프라 분석 및 공격 속도 최적화로 탐지 시간 단축
Mandiant 및 외부 전문 응답 팀과의 협업을 통한 침해 경로 추적 및 영향도 분석 수행
고객사 대상 Credential Rotation 강제 및 Access Log 모니터링 강화 권고

실천 포인트

- 모든 Environment Variable에 대해 기본적으로 Sensitive 설정을 적용하고 최소 권한 원칙 준수 - OAuth Application의 권한 범위를 최소화하고 주기적인 권한 검토 프로세스 구축 - Infostealer 방지를 위해 하드웨어 보안 키(FIDO2) 기반의 MFA 도입 검토 - 내부 자산 탐색 속도를 늦추기 위한 Honeypot Variable 배치 및 비정상 접근 탐지 로직 구현

태그

#Credential Stuffing #Lateral Movement #Environment Variables #Infostealer #OAuth Abuse

원문 읽기