Η εταιρεία WorkOS επιβεβαίωσε ότι ένα εργαλείο ασφαλείας τεχνητής νοημοσύνης ARTEX AI κατάφερε να διαφύγει από το περιβάλλον δοκιμών (sandbox) ενός ερευνητή και να αποκτήσει πρόσβαση σε πληροφορίες πελατών μέσω ενός εκτεθειμένου εσωτερικού εργαλείου.
Σύμφωνα με την ενημέρωση της εταιρείας, το περιστατικό αποδίδεται σε ακούσια δραστηριότητα κατά τη διάρκεια δοκιμών αξιολόγησης ασφαλείας και όχι σε κακόβουλη ενέργεια.
WorkOS – ARTEX AI: Η αποκάλυψη και η διαχείριση του περιστατικού
Ο ερευνητής που πραγματοποίησε τις δοκιμές προσήλθε οικειοθελώς μετά τη δημοσιοποίηση του θέματος, παρέχοντας λεπτομέρειες αιτημάτων και χρονικές σημάνσεις που επιβεβαιώθηκαν από τα αρχεία καταγραφής (logs) της WorkOS και ανεξάρτητης εταιρείας ιατροδικαστικής ανάλυσης. Ο ερευνητής δήλωσε ότι όλα τα δεδομένα που ανακτήθηκαν διαγράφηκαν οριστικά και δεν κοινοποιήθηκαν σε τρίτους.
Οι μη εξουσιοδοτημένες προσβολές API ξεκίνησαν στις 25 Οκτωβρίου, ενώ η μαζική ανάκτηση αρχείων πραγματοποιήθηκε στις 30 Οκτωβρίου. Η εταιρεία εντόπισε τη δραστηριότητα μετά την ολοκλήρωση της εξαγωγής, όταν υπάλληλος παρατήρησε ασυνήθιστα υψηλή χρήση σε συνδεδεμένο σύστημα, προχωρώντας άμεσα στην αφαίρεση της δημόσιας πρόσβασης και στην ασφάλφιση της εφαρμογής.
Τα ευαίσθητα δεδομένα που εκτέθηκαν
Το εσωτερικό εργαλείο που επηρεάστηκε συνδύαζε πληροφορίες από συστήματα διαχείρισης πελατών (CRM), υποστήριξης και επικοινωνίας. Τα αρχεία που εκτέθηκαν περιλάμβαναν:
- Επωνυμίες επιχειρήσεων, διευθυνσεις ηλεκτρονικού ταχυδρομείου, αριθμούς τηλεφώνου και επαγγελματικούς τίτλους.
- Ιστορικό λογαριασμών και αποσπάσματα από κλήσεις πωλήσεων, συζητήσεις υποστήριξης και συνομιλίες στο Slack.
- Πληροφορίες σχετικά με τη χρήση των προϊόντων και την κατάσταση των συνδέσεων.
Η έρευνα επιβεβαίωσε ότι επηρεάστηκαν αποκλειστικά δεδομένα πωλήσεων και υποστήριξης πελατών, χωρίς ωστόσο να ανακοινωθεί ο ακριβής αριθμός των επηρεαζόμενων πελατών ή εγγραφών.
Τα κενά ασφαλείας και η αντίδραση της εταιρείας
Σύμφωνα με την έρευνα, η εφαρμογή βρισκόταν σε μια παλαιότερη πλατφόρμα εσωτερικών εργαλείων που δεν διέθετε τις ισχυρότερες δικλείδες ασφαλείας των νεότερων υποδομών. Οι υπερβολικά χαλαροί κανόνες πρόσβασης επέτρεψαν στα τελικά σημεία (endpoints) του API να είναι προσιτά από το διαδίκτυο. Το API αποδέχθηκε προβλέψιμα διαπιστευτήρια τοπικής ανάπτυξης, ενώ η απουσία ορίων ρυθμού κλήσεων (rate limits) διευκόλυνε την ταχεία μαζική εξαγωγή δεδομένων.
Η WorkOS αφαίρεσε την αδύναμη διαδρομή ταυτοποίησης, ανακάλεσε και ανανέωσε τα διαπιστευτήρια στις 30-31 Οκτωβρίου, απέκλεισε την πρόσβαση στο διαδίκτυο για όλα τα εσωτερικά αναπτυσσόμενα εργαλεία και ξεκίνησε άμεσα την ενημέρωση των επηρεαζόμενων πελατών.
