SecurityWeek<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"Vercel, c’est la plateforme d’h\u00e9bergement web utilis\u00e9e par des milliers de d\u00e9veloppeurs et d’entreprises pour d\u00e9ployer leurs sites et applications (c’est eux qui font Next.js, entre autres). Un de leurs employ\u00e9s s’est inscrit sur\u00a0Context.ai, un assistant IA pour la bureautique, en utilisant son compte professionnel Google. Au moment de l’installation, l’app a demand\u00e9 l’acc\u00e8s \u00e0 ses emails, ses fichiers, son agenda, bref tout le Google Workspace de la bo\u00eete. Il a cliqu\u00e9 “autoriser tout”. Erreur classique. Sauf que\u00a0Context.ai\u00a0s’est fait pirater en f\u00e9vrier. Un de leurs propres employ\u00e9s a chop\u00e9 un malware (Lumma, un voleur de mots de passe) en t\u00e9l\u00e9chargeant des scripts de triche pour Roblox. Le genre de b\u00eatise qui ouvre la porte \u00e0 tout le reste. L’attaquant a r\u00e9cup\u00e9r\u00e9 l’acc\u00e8s que\u00a0Context.ai\u00a0avait sur le Google Workspace de Vercel, avec des permissions tr\u00e8s larges : emails, fichiers internes, infrastructure de d\u00e9ploiement. ShinyHunters, un groupe de pirates connu, a revendiqu\u00e9 le coup sur un forum et mis en vente des cl\u00e9s d’acc\u00e8s, du code source, des donn\u00e9es de bases et des cl\u00e9s API de Vercel. Le PDG de Vercel estime que le nombre de clients touch\u00e9s est “assez limit\u00e9”, sans donner de chiffres. Mais c\u00f4t\u00e9 crypto, plusieurs projets h\u00e9berg\u00e9s sur la plateforme ont quand m\u00eame lanc\u00e9 en urgence un changement de tous leurs mots de passe et cl\u00e9s d’acc\u00e8s, ce qui donne une id\u00e9e de l’ambiance. Ce qui rend cette affaire int\u00e9ressante, c’est le m\u00e9canisme. Personne chez Vercel n’a \u00e9t\u00e9 directement attaqu\u00e9. C’est un outil tiers, un outil IA install\u00e9 par un employ\u00e9, qui a servi de pont. L’employ\u00e9 donne un acc\u00e8s large \u00e0 un service externe, le service se fait pirater trois mois plus tard, et tout le contenu professionnel de l’entreprise se retrouve expos\u00e9. C’est exactement le sc\u00e9nario que les experts en s\u00e9curit\u00e9 d\u00e9crivent depuis un an quand ils parlent des outils IA qui demandent des permissions tentaculaires sur vos comptes pro. Bref, le vrai probl\u00e8me n’est pas Vercel. C’est le “autoriser tout” sur un outil IA qu’un employ\u00e9 a install\u00e9 sans se poser de questions. Source : SecurityWeek<\/p>\n","protected":false},"author":1,"featured_media":2784,"parent":0,"menu_order":0,"comment_status":"closed","ping_status":"closed","template":"","meta":{"give_campaign_id":0,"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"_kadence_starter_templates_imported_post":false,"footnotes":""},"class_list":["post-2783","page","type-page","status-publish","has-post-thumbnail","hentry"],"campaignId":"","_links":{"self":[{"href":"https:\/\/elearningsamba.com\/index.php\/wp-json\/wp\/v2\/pages\/2783","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/elearningsamba.com\/index.php\/wp-json\/wp\/v2\/pages"}],"about":[{"href":"https:\/\/elearningsamba.com\/index.php\/wp-json\/wp\/v2\/types\/page"}],"author":[{"embeddable":true,"href":"https:\/\/elearningsamba.com\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/elearningsamba.com\/index.php\/wp-json\/wp\/v2\/comments?post=2783"}],"version-history":[{"count":0,"href":"https:\/\/elearningsamba.com\/index.php\/wp-json\/wp\/v2\/pages\/2783\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/elearningsamba.com\/index.php\/wp-json\/wp\/v2\/media\/2784"}],"wp:attachment":[{"href":"https:\/\/elearningsamba.com\/index.php\/wp-json\/wp\/v2\/media?parent=2783"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}