{"id":609,"date":"2026-04-20T21:02:48","date_gmt":"2026-04-20T21:02:48","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/20\/la-brecha-de-seguridad-de-vercel-comenzo-con-malware-disfrazado-de-trampas-de-roblox\/"},"modified":"2026-04-20T21:02:48","modified_gmt":"2026-04-20T21:02:48","slug":"la-brecha-de-seguridad-de-vercel-comenzo-con-malware-disfrazado-de-trampas-de-roblox","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/20\/la-brecha-de-seguridad-de-vercel-comenzo-con-malware-disfrazado-de-trampas-de-roblox\/","title":{"rendered":"La brecha de seguridad de Vercel comenz\u00f3 con malware disfrazado de trampas de Roblox"},"content":{"rendered":"<div>\n<p>Los clientes de Vercel corren el riesgo de verse comprometidos despu\u00e9s de que un atacante salt\u00f3 a trav\u00e9s de m\u00faltiples sistemas internos para robar credenciales y otros datos confidenciales, dijo la compa\u00f1\u00eda en un <a href=\"https:\/\/vercel.com\/kb\/bulletin\/vercel-april-2026-security-incident\">bolet\u00edn de seguridad<\/a> Domingo. <\/p>\n<p>El ataque, que no se origin\u00f3 en Vercel, muestra los peligros de las aplicaciones en la nube interconectadas y las integraciones SaaS con permisos demasiado privilegiados. <\/p>\n<p>Un atacante atraves\u00f3 sistemas y conexiones de terceros que los empleados dejaron expuestos antes de atacar a la empresa con sede en San Francisco que cre\u00f3 y mantiene Next.js y otras bibliotecas populares de c\u00f3digo abierto. <\/p>\n<p>Los investigadores de Hudson Rock dijeron que las semillas del ataque se plantaron en febrero cuando la computadora de un empleado de Context.ai fue <a href=\"https:\/\/www.infostealers.com\/article\/breaking-vercel-breach-linked-to-infostealer-infection-at-context-ai\/\">infectado con el malware Lumma Stealer<\/a> despu\u00e9s de buscar exploits en juegos Roblox, un vector com\u00fan para implementaciones de robo de informaci\u00f3n.<\/p>\n<p>Cada una de las empresas atribuye al menos parte de la culpa del ataque al otro proveedor.<\/p>\n<p>Context.ai dijo el domingo que la violaci\u00f3n permiti\u00f3 al atacante acceder a su entorno AWS y tokens OAuth para algunos usuarios, incluido un <a href=\"https:\/\/context.ai\/security-update\">token para el espacio de trabajo de Google de un empleado de Vercel<\/a> cuenta. Vercel no es cliente de Context, pero el empleado de Vercel estaba usando Context AI Office Suite y le otorg\u00f3 acceso completo, dijo la compa\u00f1\u00eda de agentes de inteligencia artificial. <\/p>\n<p>\u00abEl atacante utiliz\u00f3 ese acceso para apoderarse de la cuenta Vercel Google Workspace del empleado, lo que le permiti\u00f3 obtener acceso a algunos entornos y variables de entorno de Vercel que no estaban marcados como confidenciales\u00bb, dijo Vercel en su bolet\u00edn. <\/p>\n<p>La compa\u00f1\u00eda dijo que un n\u00famero limitado de sus clientes se ven afectados y se les recomend\u00f3 de inmediato que rotaran las credenciales. La compa\u00f1\u00eda, que se neg\u00f3 a responder preguntas, no especific\u00f3 a qu\u00e9 sistemas internos se accedi\u00f3 ni explic\u00f3 completamente c\u00f3mo el atacante obtuvo acceso a las credenciales de los clientes de Vercel. <\/p>\n<p>El director ejecutivo de Vercel, Guillermo Rauch, dijo que los datos de los clientes almacenados por la empresa est\u00e1n completamente encriptados, pero el atacante obtuvo m\u00e1s acceso mediante enumeraci\u00f3n o contando e inventariando variables espec\u00edficas. <\/p>\n<p>\u00abCreemos que el grupo atacante es muy sofisticado y, sospecho firmemente, significativamente acelerado por la IA\u00bb, dijo en un <a href=\"https:\/\/x.com\/rauchg\/status\/2045995362499076169\">publicar en X<\/a>. \u00abSe movieron con una velocidad sorprendente y un conocimiento profundo de Vercel\u00bb.<\/p>\n<p>Un grupo de amenazas que se identifica como ShinyHunters asumi\u00f3 la responsabilidad del ataque en una publicaci\u00f3n en Telegram y est\u00e1 intentando vender los datos robados, que, seg\u00fan afirman, incluyen claves de acceso, c\u00f3digo fuente y bases de datos.<\/p>\n<p>El atacante \u00abes probablemente un impostor que intenta utilizar un nombre establecido para inflar su notoriedad\u00bb, escribi\u00f3 Austin Larsen, analista principal de amenazas de Google Threat Intelligence, en un <a href=\"https:\/\/www.linkedin.com\/posts\/austin-larsen_vercel-share-7451694308845408256-aHOX\/?utm_source=share&amp;utm_medium=member_desktop&amp;rcm=ACoAAAC2xvMBLPggh7Z3PC8i4V4yQ0JB56a2MlM\">publicaci\u00f3n en LinkedIn<\/a>. \u00abIndependientemente del actor de amenaza involucrado, el riesgo de exposici\u00f3n es real\u00bb.<\/p>\n<p>Vercel tambi\u00e9n advirti\u00f3 que el ataque a la aplicaci\u00f3n Google Workspace OAuth de Context \u00abfue objeto de un compromiso m\u00e1s amplio, que potencialmente afect\u00f3 a sus cientos de usuarios en muchas organizaciones\u00bb. Public\u00f3 indicadores de compromiso y alent\u00f3 a los clientes a revisar registros de actividad, revisar y rotar variables que contienen secretos.<\/p>\n<p>Context y Vercel dijeron que sus investigaciones separadas y coordinadas sobre el ataque con la ayuda de CrowdStrike y Mandiant siguen en marcha.<\/p>\n<footer class=\"single-article__footer\">\n<div class=\"author-card\">\n<div class=\"author-card__avatar\">\n<figure class=\"author-card__image-wrap\">\n\t\t\t\t\t<img decoding=\"async\" class=\"author-card__image\" src=\"https:\/\/cyberscoop.com\/wp-content\/uploads\/sites\/3\/2025\/02\/MattKapko.jpg?w=150&amp;h=150&amp;crop=1\" alt=\"Matt Kapko\"\/><br \/>\n\t\t\t\t<\/figure>\n<\/p><\/div>\n<p><h4 class=\"author-card__name\">Escrito por Matt Kapko<\/h4>\n<p>\t\t\tMatt Kapko es reportero de CyberScoop. Su \u00e1mbito incluye delitos cibern\u00e9ticos, ransomware, defectos de software y (mala) gesti\u00f3n de vulnerabilidades. El californiano de toda la vida comenz\u00f3 su carrera period\u00edstica en 2001 con paradas anteriores en Cybersecurity Dive, CIO, SDxCentral y RCR Wireless News. Matt tiene una licenciatura en periodismo e historia de la Universidad Estatal de Humboldt.\t\t<\/p>\n<\/p><\/div>\n<\/footer><\/div>\n","protected":false},"excerpt":{"rendered":"<p>Los clientes de Vercel corren el riesgo de verse comprometidos despu\u00e9s de que un atacante salt\u00f3 a trav\u00e9s de m\u00faltiples sistemas internos para robar credenciales y otros datos confidenciales, dijo la compa\u00f1\u00eda en un bolet\u00edn de seguridad Domingo. El ataque, que no se origin\u00f3 en Vercel, muestra los peligros de las aplicaciones en la nube [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":610,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[2],"tags":[1545,1943,31,1944,60,1946,104,1945,1920],"class_list":["post-609","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-latest","tag-brecha","tag-comenzo","tag-con","tag-disfrazado","tag-malware","tag-roblox","tag-seguridad","tag-trampas","tag-vercel"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/609","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=609"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/609\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/610"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=609"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=609"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=609"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}