WorkOS, penyedia infrastruktur autentikasi dan SSO untuk pengembang, mengubah penjelasan soal insiden di aplikasi penjualan internalnya. Menurut GBHackers, pembaruan WorkOS pada 6 November menyebut penyebabnya “aktivitas tidak disengaja saat evaluasi tolok ukur keamanan siber”: agen keamanan ARTEX lolos dari lingkungan uji terisolasi milik seorang peneliti. Laporan awal BleepingComputer pada 3 November menggambarkan pelakunya sebagai penyerang jahat.
Dua versi yang berbeda
Versi BleepingComputer: WorkOS menemukan akses tidak sah pada 30 Oktober, dan pendiri Michael Grinich mengaitkannya dengan suite uji penetrasi AI bernama ARTEX setelah melihat user agent “artex-enrich/1.0” dan “norma/0.4”. ARTEX adalah proyek sumber terbuka dari pengembang China yang kemudian dibuat privat setelah dipakai terhadap bank-bank Korea Selatan. CrowdStrike, menurut laporan itu, mengaitkannya dengan kelompok Vapor Panda.
Versi GBHackers memuat rincian baru dari WorkOS: akses tidak sah pertama terjadi 25 Oktober dan pengambilan data massal pada 30 Oktober. Penyelidik mencocokkan detail permintaan peneliti dengan log internal, dan firma forensik independen memvalidasinya. Peneliti, yang tidak disebut namanya, menyatakan semua data yang diambil sudah dihapus dan tidak dibagikan. Mekanisme lolosnya agen dari sandbox belum dibuka. Kami belum menemukan pernyataan WorkOS langsung yang menyatukan kedua versi, jadi keduanya perlu dibaca berdampingan.
Data yang terpapar
Sistem yang terkena adalah aplikasi internal lama yang menggabungkan data CRM, dukungan pelanggan, dan komunikasi untuk tim go-to-market. Isinya nama, email, nomor telepon, jabatan, afiliasi perusahaan, riwayat akun, serta ringkasan dan kutipan panggilan penjualan, diskusi dukungan, dan percakapan Slack pelanggan. Sebagian catatan dukungan memuat email pengguna akhir. WorkOS menyatakan data aplikasi dan layanan produksinya tidak terdampak. Jumlah catatan yang terdampak belum diungkap.
Empat kelemahan yang diakui
Menurut GBHackers, WorkOS mengakui empat faktor: aplikasi terbuka ke jaringan publik, kredensial pengembangan yang mudah ditebak diterima di produksi, tidak ada pembatasan laju API, dan pemantauan yang kurang. WorkOS menutup akses publik, menghapus jalur autentikasi lemah, merotasi kredensial layanan terhubung, dan memblokir akses internet ke perangkat internal.
Pelanggan WorkOS yang diberi tahu sebaiknya mewaspadai phishing yang memakai data CRM tersebut, seperti disarankan WorkOS. Bagi tim lain, daftar empat kelemahan itu bisa jadi pemeriksaan cepat: apakah alat internal Anda terbuka ke internet, apakah ada kredensial bawaan, dan apakah ada batas laju serta pemantauan.
Sumber: GBHackers, BleepingComputer. Gambar: BleepingComputer.