Vercel reforça defesa contra sequestro de sessões
A Vercel começou a disponibilizar gradualmente o Device Bound Session Credentials (DBSC) em sua plataforma como principal defesa contra malwares sequestradores de informações. A novidade foi anunciada pelo diretor de tecnologia da empresa, Malte Ubl, na rede social X. A proposta vincula uma sessão de login ao dispositivo do usuário por meio de uma chave privada guardada no módulo TPM, impedindo que um cookie de sessão roubado seja reutilizado em outro computador.
Segundo Ubl, o DBSC funciona armazenando a chave privada no TPM do dispositivo, o mesmo componente utilizado por sensores de impressão digital e ferramentas biométricas em laptops e smartphones, e empregando essa chave para assinar o cookie. A chave privada nunca poderá ser recuperada novamente, nem pela Vercel, nem pelo usuário e nem por qualquer malware.
O lançamento do DBSC também complementa o recurso App Bound do Chrome, que dificulta a extração de navegadores por malwares sequestradores de credenciais. O DBSC adiciona outra camada de proteção ao impedir que cookies de sessão roubados sejam usados em dispositivos diferentes. Por ora, o recurso opera no Chrome para macOS e Windows, e a implementação ocorre de forma gradual para tratar casos extremos envolvendo aplicações OAuth.
Em paralelo, a Vercel está implementando uma tecnologia de proteção semelhante chamada DPoP para o Vercel CLI. Ambas as iniciativas buscam reforçar a segurança dos desenvolvedores que gerenciam projetos e implantações diretamente pelo domínio vercel.com.
Mais cedo nesta semana, a Vercel liberou o Security Review em versão beta pública para equipes dos planos Pro e Enterprise. O recurso, integrado ao Vercel Agent, escaneia alterações de código em cada push enviado a repositórios do GitHub conectados, uma vez ativado.
O sistema utiliza regras de código e políticas definidas pelas próprias equipes para sinalizar falhas como a ausência de verificações de autorização e a exposição de segredos. Quando as permissões o permitem, o Vercel Agent pode validar e commitar as correções automaticamente. Os scans do Security Review serão gratuitos até 10 de novembro de 2026, enquanto as correções geradas pelo agent serão cobradas separadamente.
Ubl afirmou que a equipe de segurança da Vercel implementou essa novidade internamente há alguns meses e que a ferramenta já comprovou seu valor, motivo pelo qual a plataforma decidiu torná-la amplamente disponível. Em abril, a empresa sofreu uma violação de dados que afetou um subconjunto de clientes. Os invasores acessaram os sistemas da companhia ao comprometer a conta do Google Workspace de um funcionário da Context.ai.
Com esse acesso, os atacantes conseguiram alcançar sistemas internos e visualizar variáveis de ambiente que não haviam sido marcadas como sensíveis. Um ator de ameaça se passando pelo grupo ShinyHunters tentou vender o suposto código-f