Actualización sobre el incidente de seguridad en Vercel: los paquetes npm no han sido contaminados, las nuevas variables de entorno por defecto son «sensibles»

Según la monitorización de Beating, la cuenta oficial de Vercel anunció la mañana del 21 de abril que, tras una investigación conjunta con GitHub, Microsoft, npm y Socket, ningún paquete publicado en npm por Vercel ha sido alterado, y la cadena de suministro “sigue siendo segura”. Vercel mantiene en npm bibliotecas de código abierto como Next.js, Turbopack, SWR, con un total de miles de millones de descargas mensuales; si un atacante logra envenenar mediante una cuenta de empleado, el impacto sería mucho mayor que en los clientes de Vercel. Esta verificación eliminó la mayor de las riesgos colaterales en el incidente.

El mismo día, la publicación oficial de seguridad actualizó en paralelo tres detalles. El alcance afectado se especificó por primera vez a nivel de campo. El anuncio indica que la filtración afectó a las variables de entorno de clientes que no estaban marcadas como “sensibles”, las cuales se almacenan en texto claro tras ser descifradas en el backend. Vercel aún investiga si se han sustraído más datos. Como consejo para los clientes, añadieron que “eliminar proyectos o cuentas de Vercel no elimina el riesgo”. Primero deben rotar todas las claves no marcadas como sensibles, antes de considerar eliminar, ya que las credenciales obtenidas por los atacantes aún podrían acceder directamente a los sistemas de producción.

El producto modificó los valores predeterminados. Ahora, al crear una nueva variable de entorno, esta se configura automáticamente como “sensitiva” (sensitive: on). En cuentas antiguas, las variables añadidas anteriormente eran de tipo normal por defecto y requerían marcarse manualmente para habilitar la sensibilidad. Esa fue la vía directa por la cual los atacantes pudieron leer variables en texto claro. El panel de control también implementó una interfaz más densa para los registros de actividad y la gestión de variables de entorno a nivel de equipo; entre todas las recomendaciones de seguridad, “activar la autenticación de dos factores” fue priorizada en la parte superior.