Нападател използвал рамка за автоматизирано разузнаване и експлоатация на уязвимости, за да получи достъп до бизнес контакти и обобщения на клиентски комуникации. WorkOS заявява, че производствените услуги и данните в приложенията не са засегнати.
Достъп до вътрешно приложение на WorkOS
Платформата за разработчици WorkOS съобщи за пробив в сигурността, при който нападател получил достъп до бизнес контактни данни и обобщения на комуникации с клиенти.
Компанията предоставя API интерфейси, SDK инструменти и решения за интегриране на корпоративно удостоверяване, единен вход (SSO), управление на потребители и идентичности в приложения. По данни на WorkOS услугите ѝ се използват от над 3000 компании, сред които OpenAI, Anthropic, Cursor, Perplexity, Snowflake, Plaid и Netlify.
Според съобщението за инцидента на 30 октомври 2026 г. е установен неоторизиран достъп до вътрешно приложение, използвано от екипа по продажбите.
Какви данни са засегнати
Нападателят получил достъп до информация от системите за управление на взаимоотношенията с клиенти (CRM), включително:
- бизнес контактни данни – имена, имейл адреси, длъжности и компании;
- история на клиентските акаунти – използване на продуктите и състояние на връзките и директориите;
- обобщения и откъси от разговори по продажби, поддръжка и клиентски дискусии в Slack;
- информация за бизнес отношенията, продажбите и историята на акаунтите.
WorkOS заявява, че според наличните доказателства не са били достъпвани данни от приложенията на клиентите или производствените услуги.
След откриването на пробива компанията блокира външния достъп до засегнатото приложение и прегледа контролите за достъп до вътрешните инструменти. Привлечена е независима фирма за дигитална криминалистика и реагиране при инциденти.
WorkOS обещава да уведоми засегнатите клиенти директно и предупреждава за възможни фишинг и социално-инженерни атаки, използващи изложената информация.
ARTEX AI вероятно е използван за атаката
Според WorkOS нападателят използвал рамка за офанзивна киберсигурност с ИИ, която автоматизира разузнаването и опитите за експлоатация.
Основателят на компанията Майкъл Гринич уточни, че атаката е извършена с помощта на ARTEX AI – инструмент за тестване на проникването, наблюдаван и при други инциденти през годината.
Платформата е разработена от китайски програмисти и първоначално била достъпна като проект с отворен код. След като била използвана при атаки срещу южнокорейски банки, ARTEX AI преминала към частен режим, но копия и разклонения на кода продължават да са достъпни.
CrowdStrike по-рано съобщи, че китайската кибершпионска група Vapor Panda използвала рамката в автоматизирана кампания срещу около 200 организации. Неправителствената организация за киберсигурност DIVD също свърза предишен пробив в собствената си инфраструктура с този инструмент.
При разследването на WorkOS са открити идентификатори на инструменти като artex-enrich/1.0 и norma/0.4 в заявките на нападателя.
Инцидентът е овладян, разследването продължава
Гринич заявява, че пробивът е овладян, а компанията ще публикува допълнителна информация след приключване на разследването.
Случаят показва как автоматизираните инструменти с ИИ могат да ускорят разузнаването и опитите за проникване. Въпреки че WorkOS не съобщава за компрометиране на клиентски приложения или производствени услуги, изложените контактни данни и комуникационна история могат да бъдат използвани за по-убедителни фишинг кампании и атаки срещу бизнес партньори.
