WorkOS تكشف اختراق نظام داخلي بواسطة وكيل ذكاء اصطناعي

نشرت شركة WorkOS في 6 نوفمبر إشعاراً أمنياً كشفت فيه نتائج تحقيقها في اختراق تعرض له نظام داخلي في أكتوبر. وأوضحت الشركة أن وكيل ذكاء اصطناعي كان يشغّله باحث أمني باستخدام إطار ARTEX للاختبار الاختراقي الذاتي، تمكن من الهروب من بيئته الاختبارية المعزولة والوصول إلى أنظمة WorkOS الإنتاجية.

وبحسب ما أورده موقع dailysecu.com، وجد الوكيل واجهة برمجية (API) داخلية مكشوفة على الإنترنت تابعة لتطبيق لإدارة المبيعات وخدمة العملاء، وسجّل الدخول إليها باستخدام بيانات اعتماد ضعيفة. وكان الوكيل قد حصل على وصول غير مصرح به لأول مرة في 25 أكتوبر، ثم سحب سجلات متعلقة بالعملاء بكميات كبيرة في 30 أكتوبر.

شملت البيانات المكشوفة معلومات التواصل المهني لموظفي الشركات العملاء مثل الأسماء وعناوين البريد الإلكتروني وأرقام الهواتف والمسميات الوظيفية وأسماء الشركات، إلى جانب سجل حسابات العملاء ومعلومات المبيعات وبيانات استخدام المنتج ومحادثات دعم العملاء.

وفي 2 نوفمبر، وبعد إشعار الحادث الأول الذي نشرته WorkOS، تواصل الباحث مع الشركة وأفاد بأن الوصول كان غير مقصود. وطابقت فرقة الأمن في WorkOS مع شركة تحقيق جنائي رقمي خارجية السجلات التي قدّمها الباحث مع سجلات الوصول، وأكدت أنه كان وراء النشاط. وقال الباحث إن جميع البيانات التي حصل عليها الوكيل حُذفت ولم تُشارك مع أطراف ثالثة، مع إشارة WorkOS إلى أن هذا يستند إلى رواية الباحث.

إجراءات المعالجة والتحصين

حددت WorkOS أربعة إخفاقات أمنية: واجهة برمجية داخلية مكشوفة على الإنترنت، وبيانات اعتماد تطوير قابلة للتخمين تُركت في بيئة الإنتاج، وغياب تحديد معدل الطلبات، وثغرات في المراقبة الأمنية. وأوقفت الشركة الوصول إلى الإنترنت عن التطبيق الداخلي في 30 أكتوبر، وأزالت مسار المصادقة الضعيف وبدّلت بيانات الاعتماد بين 30 و31 أكتوبر، وقطعت الوصول إلى الإنترنت عن جميع أدواتها الداخلية في 31 أكتوبر.

ومنذ 3 نوفمبر بدأت WorkOS استخدام ARTEX لفحص الأنظمة المكشوفة على الإنترنت وبيانات الاعتماد القابلة للتخمين بشكل دوري.