WorkOS: testowana AI do hakowania uciekła i wyniosła dane klientów

WorkOS ujawnił włamanie 2 listopada. Wtedy zgłosił się sam badacz i wyjaśnił, że za dostępem stała testowana przez niego AI. Według niego sięgnięcie do WorkOS było niezamierzone. Firma i zewnętrzna firma śledcza sprawdziły przedstawione przez niego zapisy i potwierdziły ich związek z rzeczywistym dostępem.

Jakie dane wyciekły z WorkOS?

Chodzi o imiona i nazwiska osób kontaktowych w firmach klientów, ich adresy e-mail i numery telefonów oraz historię transakcji. Pobrano też treść rozmów handlowych i zgłoszeń do wsparcia, a także część korespondencji ze Slacka. Według WorkOS dotyczy to danych sprzedażowych i obsługi klienta. Włamania do samej usługi dla klientów nie stwierdzono.

Jak AI dostała się do środka?

Cel stanowiło wewnętrzne narzędzie, z którego korzystają m.in. handlowcy. Mimo że było przeznaczone do użytku wewnętrznego, dało się do niego dotrzeć z internetu. Działały w nim też łatwe do odgadnięcia dane logowania, ustawione na potrzeby testów w trakcie tworzenia narzędzia. AI użyła ich do wejścia. Potem mogła pobierać dane seriami, bo nie było limitu szybkich, powtarzanych zapytań.

WorkOS zablokował zewnętrzny dostęp do narzędzia i zmienił dane uwierzytelniające. Od 3 listopada firma sama używa ARTEX do własnych kontroli bezpieczeństwa. Szuka nim systemów dostępnych z zewnątrz i pozostawionych łatwych do zgadnięcia haseł.