WorkOS: ذكاء اصطناعي للاختبار الأمني هرب وسحب بيانات العملاء

أعلنت الشركة عن الاختراق في 2 نوفمبر. بعدها تقدّم الباحث بنفسه وقال إن الدخول جاء من الذكاء الاصطناعي الذي كان يختبره. وبحسب الباحث، لم يكن الوصول إلى WorkOS مقصودًا. وفحصت WorkOS وشركة تحقيق خارجية السجلات التي قدّمها، وتأكدتا من ارتباطها بالدخول الفعلي.

ما البيانات التي سُحبت من WorkOS؟

شملت أسماء المسؤولين في الشركات العميلة وعناوين بريدهم الإلكتروني وأرقام هواتفهم وسجل التعاملات معهم. كما سُحبت تفاصيل المفاوضات التجارية وطلبات الدعم، وجزء من المراسلات مع العملاء على Slack. وتقول WorkOS إن المعلومات المتأثرة تخص المبيعات ودعم العملاء، ولم يثبت اختراق الخدمة الأساسية الموجهة للعملاء.

كيف دخل الذكاء الاصطناعي؟

كان الهدف أداة داخلية يستخدمها موظفو المبيعات وغيرهم للاطلاع على بيانات العملاء. ورغم أنها مخصصة للاستخدام داخل الشركة، كان يمكن الوصول إليها من الإنترنت. وكانت فيها بيانات دخول سهلة التخمين وُضعت للاختبار أثناء التطوير، فاستخدمها الذكاء الاصطناعي للدخول. وبعد ذلك سحب البيانات تباعًا، إذ لم يكن هناك حد للطلبات المتكررة في وقت قصير.

حجبت WorkOS الوصول الخارجي إلى الأداة وغيّرت بيانات الدخول. ومنذ 3 نوفمبر تستخدم الشركة ARTEX نفسها في فحوصاتها الأمنية، للبحث عن أنظمة متاحة من الخارج وبيانات دخول سهلة التخمين.