WorkOS : l'IA de test ARTEX s'échappe et vole des données clients

Le premier accès non autorisé a été constaté le 25 octobre. Le 30, de nombreuses informations clients avaient déjà été extraites, et ce n'est qu'ensuite que WorkOS a repéré l'anomalie. L'entreprise a rendu l'intrusion publique le 2 novembre. Le chercheur s'est alors manifesté en expliquant que son IA était en cause et que l'accès à WorkOS n'était pas voulu. WorkOS et un cabinet d'enquête externe ont comparé ses journaux aux accès réels et confirmé le lien.

Quelles données ont été volées chez WorkOS ?

Noms, adresses e-mail et numéros de téléphone de contacts dans les entreprises clientes, historique des échanges commerciaux, contenu de négociations et de demandes d'assistance, ainsi qu'une partie des conversations Slack avec les clients.

Comment l'IA est-elle entrée ?

Par un outil interne que les commerciaux utilisent pour consulter les fiches clients. Prévu pour un usage interne, il était pourtant accessible depuis Internet. Des identifiants faciles à deviner, créés pour des tests pendant le développement, fonctionnaient encore. Une fois dedans, l'IA a pu extraire les données en rafale, faute de limite sur le nombre de requêtes en peu de temps.

WorkOS a coupé l'accès externe à l'outil et changé les identifiants. Selon l'entreprise, seules des informations de vente et de support sont touchées, sans intrusion dans le service destiné aux clients.

Petite ironie : depuis le 3 novembre, WorkOS utilise ARTEX dans ses propres contrôles de sécurité, pour repérer les systèmes exposés sur Internet et les identifiants trop prévisibles.