„Am 30. Oktober 2026 haben wir unbefugten Zugriff auf eine interne WorkOS-Anwendung festgestellt, die von unserem Vertriebsteam genutzt wird“, heißt es in einer Mitteilung des Unternehmens zu dem Vorfall. Nach den bisherigen Erkenntnissen der Untersuchung wurde weder auf App-Daten von WorkOS noch auf Produktionsdienste zugegriffen; diese seien auch nicht beeinträchtigt.

Betroffen sind nach Unternehmensangaben folgende Daten:

  • Geschäftliche Kontaktdaten (Namen, E-Mail-Adressen, Jobtitel und Firmenzugehörigkeit aus den CRM-Systemen)
  • Kundenkonto-Historien (Produktnutzung sowie Zustand von Verbindungen und Verzeichnissen)
  • Kundenkommunikation (Zusammenfassungen und Auszüge aus Vertriebsgesprächen, Supportdiskussionen und Slack-Unterhaltungen mit Kunden)
  • Informationen zu Geschäftskonten und Kundenbeziehungen (Kontohistorien, Angaben zu Vertrieb und Kundenbeziehung)

Nach Entdeckung des Eindringens sperrte WorkOS den externen Zugang zur betroffenen Anwendung und überprüfte die Zugriffskontrollen interner Werkzeuge. Zusätzlich beauftragte das Unternehmen eine unabhängige Forensik- und Incident-Response-Firma, die die unbefugten Aktivitäten nachvollziehen und das volle Ausmaß bestimmen soll. Betroffene Kunden sollen direkt benachrichtigt werden. WorkOS warnte seine Nutzer zugleich davor, dass die abgeflossenen Informationen für Phishing- oder Social-Engineering-Versuche missbraucht werden könnten.

Firmengründer Michael Grinich nannte weitere Details: Der Angreifer habe die Penetrationstest-Suite ARTEX AI eingesetzt, die in diesem Jahr bereits bei mehreren Vorfällen beobachtet wurde. Das von chinesischen Entwicklern veröffentlichte Werkzeug war zunächst als Open-Source-Projekt für offensive Sicherheit verfügbar. Nachdem es bei Angriffen auf südkoreanische Banken verwendet wurde, stellten die Entwickler es nicht mehr öffentlich bereit – mehrere Forks des Codes sind jedoch weiterhin verfügbar.

CrowdStrike berichtete zuletzt, dass die Cyberspionagegruppe „Vapor Panda“ das Framework in einer weltweiten Kampagne gegen 200 Organisationen einsetzte. Zuvor hatte die gemeinnützige Sicherheitsorganisation DIVD offengelegt, dass dasselbe Framework hinter den Angriffen steckte, die sie im September erlitten hatte.

Grinich zufolge identifizierte das Untersuchungsteam in Web-Anfragen des Angreifers die User-Agents „artex-enrich/1.0“ und „norma/0.4“. Der Vorfall sei inzwischen vollständig eingedämmt; weitere Informationen zum Angriff will das Unternehmen nach Abschluss der Untersuchung veröffentlichen.