第69回：Vercelで情報漏えい。狙われたのは「Googleでログイン」今すぐ見直すべきセキュリティ対策

昨今、Web開発者にとって欠かせないインフラとなっているVercel。先日、そのVercelで内部システムへの不正アクセスが発生し、一部ユーザーの環境変数やAPIキーが流出するというショッキングなニュースが飛び込んできた。

多くのエンジニアや開発者にとって「明日は我が身」と言える事件だが、最も注目すべきなのは「どう侵入されたのか」ということだ。その発端となったのは、日常的に使われている「Googleでログイン」を狙われたことだ。

Vercelの事件で何が起きたのか

今回の事件は、Vercel社の内部システムが不正アクセスを受け、一部顧客の環境変数やAPIキーが持ち出されたというものだ。被害に遭ったのは、環境変数の「Sensitive（機密）」設定がオフで、システム上で復元可能な状態で保存されていたデータだった。

だが、この事件で本当に恐ろしいのは、Vercel自体の脆弱性が直接突かれたわけではない点にある。攻撃は、サードパーティ製サービス「Context.ai」の侵害から始まった。

OAuthトークンの流出

Vercelの従業員が、Context.aiに「Googleでログイン」を使ってサインアップしていた。その際、「すべて許可（Allow All）」という非常に強力な権限をサードパーティアプリに付与していた。

アカウントの乗っ取り

攻撃者はContext.aiを侵害し、この従業員のOAuthトークンを窃取。それを使って従業員のGoogle Workspaceへ不正アクセスした。

社内システムへの到達

乗っ取られたGoogleアカウントを踏み台にして、攻撃者はVercelの内部システムへ侵入した。

まさに「蟻の一穴」から強固なシステムが破られた、連鎖型のサプライチェーン攻撃の典型例と言える。

なぜ「Googleでログイン」が危ないのか

新しいWebサービスを使うとき、わざわざパスワードを考える手間を省ける「Googleでログイン（OAuth認証）」は便利だ。多くの人が、ほとんど無意識に使っているはずだ。

だが、その便利さこそが最大の罠になる。認証画面で「このアプリがあなたのGoogleアカウントへのアクセスを求めています」と表示されたとき、中身をよく読まずに「許可」を押していないだろうか。

単なるログイン連携なら、「メールアドレスとプロフィール情報の参照」程度で済む。しかしサービスによっては、「Gmailの読み取り・送信・削除」や「Googleドライブ内のすべてのファイルの閲覧・編集」など、過剰な権限を求めてくることがある。

今回の事件でも、Vercelの従業員は「すべて許可」を与えていた。セキュリティの甘いサードパーティアプリに強い権限を渡してしまえば、トークンが流出した瞬間、そのGoogleアカウントは攻撃者の足場になる。メールを盗み見られれば、他サービスのパスワードリセットまで突破されかねない。

つまり、「Googleでログイン」における権限付与は、家の合鍵を渡すのと同じくらい慎重であるべき行為ということだ。

今日からできる具体的な対策

この事件を教訓に、今すぐやるべき対策を「個人向け」と「組織向け」に分けて整理する。

◆ 個人向け（開発者・一般ユーザー）

1. 不要な連携を即時解除する

最も確実な対策は、過去に連携したまま放置しているアプリの権限を棚卸しすることだ。以下の手順でGoogleアカウントの設定を確認できる。

この確認を定期的に行うだけでも、リスクは大きく下がる。

2. 権限付与の前に一度考える

今後「Googleでログイン」を使うときは、必ず要求されている権限の一覧を読むべきだ。単なるログインしかしないはずなのに、「Gmailの読み取り」や「ドライブの編集」まで求めてくるサービスは警戒対象になる。

その場合は利用を見送るか、Google連携ではなく、メールアドレスでの直接登録に切り替えたほうが安全だ。

3. Vercelユーザーは環境変数を見直す

VercelでWebサービスを運用しているなら、環境変数の設定を見直す必要がある。APIキーなどの機密情報は必ず「Sensitive」設定をオンにしておきたい。

もし過去にオフのまま運用していた重要なキーがあるなら、念のためローテーションを行うべきだ。新しいキーを再発行し、古いキーを無効化する。この対応は面倒でも後回しにしないほうがいい。

◆ 組織向け（Google Workspace管理者）

法人でGoogle Workspaceを利用している場合、従業員個人のリテラシーに頼る運用には限界がある。管理者はGoogle Workspaceの管理コンソールから「APIの制御」を開き、ドメイン全体でサードパーティアプリへのアクセス権限を制限すべきだ。

信頼できるアプリだけをホワイトリスト化し、従業員が勝手に強い権限を外部アプリへ付与できないようにする。GmailやDriveへのフルアクセスのような危険な権限を、個人判断で配れない設計に変えることが不可欠だ。

まとめ

今回のVercelの事件は、たった一つの連携ミスが、企業のコアシステムを揺るがす大事故に発展しうることを示した。

昨今のサイバー攻撃は、AIの活用によって高速化・高度化が進んでいる。トークン流出から実際の不正利用までのタイムラグは短くなり続けており、「異変に気づいてから対応する」では間に合わない場面が増えている。いま求められているのは、異常検知より前の段階でリスクを潰す姿勢だ。

「Googleでログイン」は、開発体験や日常の利便性を大きく高めてくれる優れた機能だ。だが、その裏でやり取りされているのは、単なるログイン情報ではなく「権限」そのものだ。この重さを軽く見てはいけない。

この記事を読み終えたら、そのままGoogleアカウントのセキュリティ設定画面を開き、連携アプリを確認してほしい。その5分が、自分自身と、自分のサービスを守る防御線になる。