Efekt domina w branży compliance: upadek startupu Delve i kolejne wycieki danych

Fundamenty zaufania w sektorze certyfikacji bezpieczeństwa właśnie legły w gruzach. Kontrowersyjny startup Delve, który jeszcze niedawno aspirował do miana rewolucjonisty w automatyzacji procesów compliance, stał się toksycznym punktem na mapie technologicznego ekosystemu. Seria incydentów u jego klientów oraz szokujące doniesienia sygnalistów rzucają nowe światło na to, jak pozorne procedury mogą ułatwić życie cyberprzestępcom.

Cień Delve nad atakiem na Vercel

W ostatnich dniach branżę obiegła informacja o naruszeniu systemów Vercel – giganta w dziedzinie hostingu i narzędzi dla programistów. Hakerzy uzyskali dostęp do wewnętrznych zasobów firmy po tym, jak jeden z pracowników powiązał służbowe konto Google z aplikacją stworzoną przez Context AI. Jak się okazało, to właśnie Context AI korzystało z usług Delve w celu uzyskania poświadczeń bezpieczeństwa.

Choć certyfikaty same w sobie nie są tarczą nie do przebicia, ich zadaniem jest weryfikacja realnych procedur chroniących dane. W przypadku Delve narastają podejrzenia, że proces ten był czystą fikcją. Context AI natychmiast odcięło się od skompromitowanego dostawcy, przenosząc swój program compliance do konkurencji i zlecając nowe audyty niezależnej firmie. To jednak nie zmazuje plamy na reputacji, którą Delve wypracowało sobie w ostatnich miesiącach.

Fasada bezpieczeństwa i lot na Hawaje

Kłopoty startupu zaczęły się od publikacji anonimowego sygnalisty występującego pod pseudonimem DeepDelver. Zarzucił on firmie nie tylko fałszowanie danych klientów, ale również wykorzystywanie „gumowych pieczątek” – audytorów, którzy zatwierdzali certyfikaty bez rzetelnej weryfikacji stanu faktycznego. Czarną serię uzupełniają oskarżenia o kradzież kodu open source, co doprowadziło do zerwania współpracy z Delve przez prestiżowy akcelerator Y Combinator.

Podczas gdy klienci, tacy jak LiteLLM czy Lovable, w pośpiechu szukają nowych certyfikacji po wykryciu złośliwego oprogramowania lub błędów w konfiguracji, kierownictwo Delve wydaje się niewzruszone. Według najnowszych przecieków, mimo odmawiania klientom zwrotów kosztów, firma zorganizowała luksusowy wyjazd integracyjny na Hawaje dla całego zespołu. Dowody w postaci rachunków i dokumentacji wycieczki, do których dotarły media, stawiają etykę biznesową zarządu w fatalnym świetle.

Iluzja ochrony w dobie AI

Przypadek Lovable pokazuje, że problemy z compliance mają realne skutki dla prywatności. Platforma przyznała się do incydentalnego upublicznienia czatów użytkowników, bagatelizując wcześniej raporty o lukach w zabezpieczeniach. Choć firma twierdzi, że błąd wynikał z nieprawidłowej konfiguracji, a nie bezpośredniego ataku, zbieżność czasowa z odejściem od Delve jest wymowna.

Dla branży technologicznej to bolesna lekcja: automatyzacja compliance nie może oznaczać rezygnacji z krytycznego nadzoru. Kiedy proces certyfikacji staje się towarem kupowanym na skróty, jedynymi beneficjentami pozostają hakerzy, a najwyższą cenę płacą użytkownicy, których dane stają się towarem w darknecie.