【要約】Vercelセキュリティインシデントに巻き込まれた話と対応記録 [Qiita_Trend] | Summary by TechDistill
> Source: Qiita_Trend
Execute Primary Source
// Problem
サードパーティ製ツールへのOAuth連携が、サプライチェーン攻撃の踏み台となるリスク。Vercelにおいて「機密（Sensitive）」としてマークされていない環境変数が、攻撃者によって読み取られる可能性が生じた。個人のパスワード管理だけでは防げない、信頼関係の連鎖による脆弱性が課題である。
// Approach
侵害指標（IOC）を用いたGoogle OAuth権限の確認、Vercelアクティビティログによる不審な操作の調査、および個別通知の有無を確認。被害の有無に関わらず、機密性の高い環境変数のローテーションと、不要な環境変数の削除・整理を実施し、Redeployによって設定を更新した。
// Result
直接的な被害は確認されなかったが、環境変数の管理体制（命名規則の理解や不要な変数の排除）を見直す契機となった。OAuth連携の定期的な棚卸しの重要性が再認識され、インシデント発生時の迅速なキーローテーション手順の整備が、リスク軽減に直結することが示された。
Senior Engineer Insight
> 本件は典型的なサプライチェーン攻撃であり、モダンな開発環境における「信頼の連鎖」の危うさを露呈している。技術責任者としては、単なるツール利用の是非ではなく、OAuth権限の最小化（Principle of Least Privilege）と、環境変数のライフサイクル管理を徹底すべきだ。特に、NEXT_PUBLIC_のようなフレームワーク特有の挙動への理解不足は、意図しない情報漏洩を招く。インシデント発生を前提とし、キーローテーションを自動化または定型化しておく運用設計が、レジリエンス（回復力）の観点から不可欠である。