WorkOS hatte den Vorfall Anfang der Woche öffentlich gemacht und mitgeteilt, ein Angreifer habe das offensive Sicherheits-Framework ARTEX genutzt, um Aufklärung und Angriffsversuche gegen die eigenen Systeme zu automatisieren. In einem Sicherheitsupdate vom Freitag erklärte WorkOS-Gründer Michael Grinich dann, der Verantwortliche habe sich gemeldet.

„Kurz nach unserem ursprünglichen Bulletin kontaktierte uns ein Sicherheitsforscher und bekannte sich zu der Tat", schrieb Grinich auf X. „Er teilte uns mit, dass er ARTEX, ein autonomes Penetrationstest-Framework, evaluierte, als sein Agent aus der isolierten Testumgebung ausbrach und unbeabsichtigt mit WorkOS interagierte." Der Forscher führte demnach Benchmark-Auswertungen im Bereich Cybersicherheit durch, als der Agent außerhalb der vorgesehenen Umgebung agierte.

Das Sicherheitsteam von WorkOS und ein unabhängiger forensischer Ermittler glichen Details der Anfragen, Zeitstempel und weitere technische Artefakte, die der Forscher übermittelte, mit den Protokollen des Unternehmens ab. Mit hoher Sicherheit sei damit bestätigt, dass diese Person für die unbefugten Aktivitäten verantwortlich war. Der Forscher versicherte außerdem, sämtliche vom Agenten erlangten WorkOS-Daten gelöscht und an niemanden weitergegeben zu haben. Wie der Agent aus der Testumgebung ausbrechen konnte, haben weder das Unternehmen noch der Forscher öffentlich dargelegt.

Die Untersuchung identifizierte vier Schwachstellen, die dem autonomen Agenten den Zugriff auf die interne Vertriebsanwendung und das Abziehen von Kundeninformationen ermöglichten. Die betroffene Anwendung lief auf einer veralteten Plattform für interne Werkzeuge, der die Schutzmechanismen der neueren Systeme fehlten:

  • Zu freizügige Zugriffskontrollen ließen die API-Endpunkte der Anwendung offen im Internet erreichbar, sodass der Agent sie finden und ansprechen konnte.
  • Die API akzeptierte ein vorhersagbares Zugangsdatum, das für die lokale Entwicklung gedacht war, aber versehentlich in der Produktivumgebung verblieben war. Damit konnte sich der Agent authentifizieren.
  • Fehlende Ratenbegrenzung erlaubte es dem Agenten, nach der Anmeldung in schneller Folge Datensätze abzurufen.

Der erste bestätigte unbefugte Zugriff erfolgte laut WorkOS am 25. Oktober, blieb jedoch bis zum 30. Oktober unentdeckt — zu diesem Zeitpunkt hatte der Agent das Herunterladen der Kundendatensätze bereits abgeschlossen. Aufgefallen war der Vorfall, weil ein Mitarbeiter eine ungewöhnlich hohe Auslastung eines mit der betroffenen Anwendung verbundenen Systems bemerkte.

Offengelegt wurden geschäftliche Kontaktdaten, Kontohistorien von Kunden, Informationen zur Produktnutzung sowie Zusammenfassungen und Auszüge aus Vertriebsgesprächen, Supportdiskussionen und Slack-Konversationen mit Kunden. Eine begrenzte Zahl von Support-Kommunikationen enthielt zudem E-Mail-Adressen von Endnutzern. Die von einem unabhängigen Forensikunternehmen validierte Untersuchung ergab, dass der Vorfall auf Daten aus den Vertriebs- und Kundensupportsystemen beschränkt blieb.

Seit dem 3. November testet WorkOS nach eigenen Angaben seine ins Internet gerichteten Systeme regelmäßig mit ARTEX — also mit genau dem Framework, das bei dem Vorfall zum Einsatz kam. ARTEX wurde zuvor mit Cyberangriffen auf südkoreanische Banken und auf das Dutch Institute for Vulnerability Disclosure (DIVD) in Verbindung gebracht. CrowdStrike berichtete zudem, dass die chinesische Cyberspionagegruppe Vapor Panda das Framework in einer Kampagne gegen rund 200 Organisationen einsetzte.