کمیته رکن چهارم– WorkOS می‌گوید دسترسی غیرمجاز به ابزار داخلی فروش و پشتیبانی آن، کار یک ایجنت امنیتی مبتنی بر ARTEX بوده که به‌گفته پژوهشگر مسئول، ناخواسته از محیط آزمایش خارج شده است.
به گزارش کمیته رکن چهارم، شرکت در به‌روزرسانی ۶ نوامبر ۲۰۲۶ این نتیجه را اعلام کرد و Cyber Security News در ۷ نوامبر آن را گزارش داد. اولین دسترسی تأییدشده در ۲۵ اکتبر و دریافت انبوه سوابق در ۳۰ اکتبر رخ داده بود.
WorkOS می‌گوید شواهد ارائه‌شده پژوهشگر، از جمله زمان و جزئیات درخواست‌ها، با گزارش‌های سیستم تطبیق داده شده و یک شرکت مستقل بررسی رخداد نیز نتیجه را تأیید کرده است. ادعای حذف داده‌ها و به‌اشتراک‌نگذاشتن آن‌ها، تأییدی است که پژوهشگر به شرکت داده است.
مسیر ورود، API یک ابزار داخلی بود که نباید از اینترنت در دسترس می‌بود. این ابزار اطلاعات ورود ضعیف مخصوص توسعه را می‌پذیرفت و محدودیت کافی برای تعداد درخواست‌ها نداشت. همین کاستی‌ها امکان دریافت انبوه داده را فراهم کرده‌اند.
اطلاعات متأثر شامل مشخصات تماس کاری، سوابق ارتباط با مشتری و بخش‌هایی از مکالمات فروش و پشتیبانی بوده است. در تعداد محدودی از پیام‌های پشتیبانی، ایمیل کاربران نهایی هم وجود داشت. تعداد مشتریان متأثر اعلام نشده است.
شرکت دسترسی اینترنتی ابزار را بسته و اطلاعات دسترسی سرویس‌های متصل را تعویض یا باطل کرده است. توصیه تحریریه: ابزارهای داخلی را از اینترنت عمومی جدا، اسرار آزمایشی را از محیط عملیاتی حذف و برای درخواست‌های غیرعادی هشدار تعریف کنید. روش فنی خروج ایجنت از محیط آزمون هنوز عمومی نشده است.
منبع: WorkOS
