Vercel 2026년 4월 보안 사고 완전 정리: API 키·토큰이 유출된 공급망 공격, 스타트업이 지금 30분 안에 해야 할 일

2026년 4월, Vercel에서 실제로 무슨 일이 벌어졌을까요?

2026년 4월 19일, 많은 스타트업 팀이 쓰는 배포 플랫폼 Vercel이 보안 사고를 공식 확인했어요. 공격자는 Vercel 직원의 Google Workspace 계정을 탈취했고, 그 경로는 Vercel이 내부에서 쓰던 Context.ai의 취약점이었어요. 결과적으로 유출된 범위는 꽤 넓었습니다.

• 사내 시스템의 API 키
• 여러 NPM·GitHub 액세스 토큰
• 약 580명분의 직원 기록(이메일, 사내 식별자 등)
• 일부 프로젝트 소스 코드 스냅샷 및 로그

Vercel은 침해 직후 키를 대규모 로테이션했고, 외부에는 "고객 빌드 환경 자체에 대한 직접 접근은 확인되지 않았다"고 발표했어요. 하지만 문제는 고객사 빌드 과정에서 쓰이던 토큰이 함께 유출됐을 가능성이에요. 이건 우리가 2026년에 봤던 Firebase API 키 13시간 €54,000 사고, npm 공급망 해킹과 같은 결에 있는 사건이에요.

왜 스타트업이 지금 당장 대응해야 할까요?

Vercel은 한국 초기 스타트업에서도 거의 기본값에 가까워요. Next.js 앱, Vite 프런트엔드, 서버리스 API, 프리뷰 URL… 이 중 하나라도 Vercel에 올려 두고 있다면 간접 영향권이에요. 구체적으로 이런 구조가 위험합니다.

• Vercel Project 에 PROD 환경변수로 Supabase service_role, Stripe secret, OpenAI API, Slack webhook 등을 그대로 넣어둠
• Vercel과 연결된 GitHub 배포 키로 자동 배포 파이프라인 운영
• 배포 시점에 외부 서비스(Sentry, PostHog, Datadog)의 API 키를 번들에 포함
• "배포만 되면 됐지" 하고 키 로테이션 없이 1년 이상 방치

이번 사고는 "내 코드를 훔친 게 아니라 내가 쓰는 플랫폼의 직원 계정을 훔쳤다"는 전형적인 공급망(Supply Chain) 공격이에요. 초기 스타트업일수록 이런 외주형 리스크를 자체 대응할 시간이 없기 때문에, 오히려 선제 대응 루틴을 뚫어 놓는 게 훨씬 싸게 먹혀요.

지금 30분 안에 해야 할 긴급 대응 체크리스트는 무엇일까요?

저희 포텐랩이 고객사에 보내는 체크리스트를 그대로 공유해 드릴게요. 지금부터 30~60분 안에 모두 체크가 가능한 수준입니다.

1) Vercel 측 인증·토큰 전수 로테이션

• Vercel Dashboard → Account Settings → Tokens에서 모든 개인·팀 토큰 Revoke 후 재발급
• Vercel → GitHub 연동의 Install 재발급(Authorized GitHub Apps에서 권한 재설정)
• 모든 프로젝트의 Deploy Hook URL 회전(알려진 URL은 공격 트리거로 악용 가능)

2) 빌드 환경변수 전수 점검

• Production·Preview·Development 3개 환경의 모든 키를 훑고 회전
• 가장 위험한 순서: Supabase service_role > Stripe secret > 결제 Webhook secret > 관리자 JWT secret
• 프런트엔드 번들에 NEXT_PUBLIC_*로 노출되면 안 되는 키가 있는지 재확인

3) 로그·이상 징후 검사

• Vercel Activity Log에서 2026-04-10 ~ 04-20 구간의 Deployment Created, Env Var Changed, Token Created 필터 점검
• Supabase 대시보드 → Logs → Auth/Database에서 service_role 키가 찍힌 비정상 IP 확인
• Stripe → Developers → Logs에서 비정상 지역 결제/환불 API 호출 검색

4) 공급망 차단 규칙 배치

• Stripe·Supabase·OpenAI에 IP allowlist 또는 호출 쿼터를 설정해 최악의 폭주를 차단
• GitHub Branch Protection + Required Reviewers + secret scanning + push protection 활성화
• 배포 자동화용 토큰은 짧은 TTL(7~30일)로 회전하는 정책을 명시

재발 방지: 2026년형 스타트업 보안 운영 원칙

이번 사건이 시사하는 건 "클라우드 플랫폼도 완벽하지 않다"는 단순한 사실이에요. 그럼 어떻게 설계해야 할까요?

• 핵심 비밀 키는 서버에서만 — 결제·DB 관리자·메일 전송 키는 절대 프런트엔드 번들·클라이언트 SDK에 들어가지 않도록 BFF(Backend for Frontend) 패턴 유지
• 키 회전 주기 고정 — 분기 1회 또는 인시던트 발생 시 즉시, 캘린더 이벤트로 강제
• 쿼터·Budget Alert 기본값화 — Supabase 월 한도, Stripe 비정상 거래 알림, OpenAI usage limit을 "처음 프로젝트 만들 때" 세팅
• Preview 배포 전용 키 사용 — Preview 환경은 실 결제·실 이메일 서비스와 분리
• 멀티 플랫폼 배포 준비 — 장기적으로는 Cloudflare Pages·Railway 등 백업 배포 경로를 인지하고 문서화

포텐랩은 MVP 단계의 스타트업에도 "배포 = 비밀 회전 + Budget Alert + 로그 리뷰" 3종 세트를 기본으로 심어 드려요. 보안은 론칭하고 나서 붙이는 게 가장 비싸거든요.

정리: 오늘 해야 할 단 하나의 행동은?

"오늘 30분만 쓸 수 있다면 뭘 해야 하나요?"라는 질문을 많이 받아요. 답은 명확합니다. Vercel 토큰·GitHub Install·Supabase service_role 세 개만 지금 회전하세요. 나머지는 이번 주 안에 순차적으로 해도 늦지 않아요.

배포 파이프라인 점검·보안 긴급 대응·재발 방지 설계가 부담스러우시다면 포텐랩에 문의해 주세요. 스타트업 맞춤 보안 리뷰를 평균 3영업일 안에 회신드려요. 클라우드 공급망이 뚫리는 시대의 방어선은 결국 "우리 쪽 키 관리"예요. 플랫폼은 뚫릴 수 있고, 뚫렸을 때 피해를 얼마나 좁힐 수 있는지가 실력이에요.