WorkOS, penyedia layanan autentikasi dan manajemen identitas untuk pengembang aplikasi, mengonfirmasi bahwa pihak luar masuk ke salah satu aplikasi internal tim penjualannya. Perusahaan menemukan akses tidak sah itu pada 30 Oktober 2026 dan mengumumkannya lewat buletin keamanan pada 2 November. Nomor CVE tidak ada dalam laporan ini, karena insiden terjadi pada sistem internal perusahaan, bukan pada celah di produknya.
Apa yang diakses penyerang
Menurut WorkOS, aplikasi tersebut menyimpan data kontak bisnis di sistem CRM: nama, alamat email, nomor telepon, jabatan, dan afiliasi perusahaan. Isinya juga mencakup riwayat akun pelanggan, informasi hubungan penjualan, ringkasan dan kutipan dari percakapan penjualan, diskusi dukungan, serta percakapan Slack pelanggan. Metadata penggunaan produk WorkOS dan kondisi koneksi atau direktori ikut tersimpan di sana.
WorkOS menyatakan belum ada bukti bahwa data aplikasi WorkOS atau layanan produksinya diakses atau terganggu. Perusahaan belum menyebut jumlah catatan maupun organisasi yang terdampak, dan masih memeriksa dampaknya untuk tiap pelanggan. Daftar di atas menggambarkan data yang tersedia di aplikasi itu, bukan daftar pasti data yang benar-benar dibuka penyerang.
Kerangka serangan berbantuan AI
Hasil investigasi WorkOS menunjukkan penyerang memakai kerangka keamanan ofensif berbantuan AI untuk mengotomatiskan pengintaian dan eksploitasi. Buletin resmi tidak menyebut nama alatnya dan tidak mengaitkan serangan dengan kelompok tertentu. Cyber Security News melaporkan bahwa CEO Michael Grinich menyebut alat bernama ARTEX di X, tetapi laporan lain dari GBHackers menegaskan bahwa belum ada bukti yang menghubungkan ARTEX dengan insiden ini. Anggap keterkaitan itu belum terverifikasi. Pola serupa pernah kami tulis dalam liputan kelompok Vapor Panda.
Untuk menangani insiden, WorkOS menonaktifkan akses eksternal ke aplikasi itu, meninjau kontrol akses di seluruh alat internal, dan menyewa firma forensik digital independen. Perusahaan berjanji menghubungi pelanggan terdampak secara langsung setelah temuan diverifikasi.
Langkah yang perlu diambil pelanggan
Risiko terbesar ada pada rekayasa sosial. Penyerang yang membaca kutipan percakapan Slack atau diskusi dukungan bisa menulis pesan yang menyebut rekan kerja atau tiket yang benar-benar ada. WorkOS meminta pelanggan memverifikasi setiap permintaan tak terduga sebelum membagikan informasi sensitif atau mengambil tindakan.
Jika perusahaan Anda memakai WorkOS, beri tahu tim keuangan, dukungan, dan teknik agar tidak menanggapi email atau pesan Slack yang mengaku dari WorkOS tanpa pengecekan lewat kanal yang sudah dikenal. Periksa juga kotak masuk akun penjualan dan dukungan Anda untuk pesan mencurigakan sejak 30 Oktober. Tunggu pemberitahuan langsung dari WorkOS untuk mengetahui apakah organisasi Anda termasuk yang terdampak. Investigasi masih berjalan, sehingga cakupan akhirnya bisa berubah.
Sumber: buletin keamanan WorkOS dan GBHackers. Gambar: GBHackers.