WorkOS потвърди неоторизиран достъп до вътрешно приложение за продажби, при който са били разкрити данни за контакт с клиенти и записи на бизнес разговори. Компанията е засекла инцидента на 30 октомври 2026 г. и е публикувала бюлетин за сигурност на 2 ноември. Разследването ѝ е идентифицирало рамка за офанзивна сигурност с изкуствен интелект, използвана за автоматизиране на опити за разузнаване и експлоатация.

Основателят и главен изпълнителен директор Michael Grinich заяви, че атаката е включвала ARTEX – базирана на изкуствен интелект рамка, която автоматизира задачи за офанзивна сигурност. Изявлението му в X добавя подробности към бюлетина за сигурност на компанията, който описва подпомогната от ИИ рамка за автоматизиране на разузнаването и опитите за експлоатация, без да назовава конкретния инструмент.

Засегнатото приложение е осигурявало достъп до имена, имейл адреси, телефонни номера, длъжности и принадлежност към компании, съхранявани в системи за управление на взаимоотношенията с клиенти (CRM). То е съдържало също така история на клиентските акаунти и информация за търговските взаимоотношения.

Комуникацията с клиентите е включвала резюмета и откъси от търговски обаждания, дискусии по техническа поддръжка и разговори с клиенти в Slack. Оперативните метаданни са обхващали използването на продуктите на WorkOS от страна на клиентите, включително употребата на продуктите и състоянието на връзките или директориите.

WorkOS потвърждава пробив в данните

Тези категории описват информацията, достъпна чрез приложението, а не потвърден отчет запис по запис за всичко, до което е осъществен достъп.

WorkOS преглежда засегнатите записи, за да определи въздействието върху отделните организации. В изявлението, предоставено при разкриването на инцидента, се посочва, че няма доказателства данни от приложенията на WorkOS или продукционни услуги да са били достъпени или засегнати. Към момента разследването насочва към информация от CRM системите и клиентската поддръжка.

Инцидентът се случва на фона на нарастваща злоупотреба с автоматизирани инструменти за тестване на сигурността. Google Threat Intelligence Group и Mandiant описват ARTEX като многоагентна платформа, която превръща общите цели на атакуващия в конкретни команди. Нейните агенти могат да тестват права за достъп, да картографират мрежи, да коригират неуспешни команди и да преминават през няколко етапа на атаката с минимална човешка намеса.

По-ранни публикации на Cyber Security News относно агентите на ARTEX обясняват как атакуващите са използвали рамката за разузнаване в Active Directory, атаки срещу идентификационни данни и странично придвижване в мрежата (lateral movement). Това са наблюдения от отделни разследвания, а не потвърдени стъпки в пробива при WorkOS.

Проучване на Wiz също документира как агенти изтеглят файлове на приложения, откриват вътрешни API маршрути и тестват контролите за удостоверяване. Свързани анализи за насочването на ARTEX към Microsoft 365 показват как откраднати идентификационни данни на приложения могат да подпомогнат атаки в клиентски среди. Нито един от двата доклада не установява конкретния автор на заплахата при инцидента с WorkOS.

WorkOS деактивира външния достъп до засегнатото приложение, започна преглед на контролите за достъп във вътрешните си инструменти и нае независима компания за дигитална криминалистика и реакция при инциденти. Компанията ще се свърже директно със засегнатите клиенти след верифициране на констатациите.

Изтеклите детайли от разговори могат да направят фишинг съобщенията много по-убедителни. WorkOS съветва клиентите да проверяват неочаквани запитвания, преди да споделят чувствителна информация или да предприемат действия, дори когато съобщенията се позовават на реални колеги или дискусии с поддръжката.