WorkOS conferma un data breach: accesso a un’app di vendita tramite il framework ARTEX

• WorkOS ha rilevato il 30 ottobre 2026 un accesso non autorizzato a un'app interna di vendita
• Esposti dati di contatto, storico account e conversazioni dei clienti, anche su Slack
• Il CEO cita ARTEX, framework AI offensivo; nessuna attribuzione dell'attacco
• I clienti devono verificare le richieste inattese per il rischio di phishing

WorkOS ha confermato un accesso non autorizzato a una sua applicazione interna usata per le vendite. L’azienda ha rilevato l’incidente il 30 ottobre 2026 e ha pubblicato un bollettino di sicurezza il 2 novembre. Dall’indagine emerge l’uso di un framework di offensive security assistito dall’intelligenza artificiale, impiegato per automatizzare ricognizione e tentativi di sfruttamento.

Il ruolo di ARTEX

Il fondatore e CEO Michael Grinich ha indicato su X che l’attacco ha coinvolto ARTEX, un framework basato su AI che automatizza attività di sicurezza offensiva. Il bollettino ufficiale descrive invece un generico framework assistito da AI, senza citarlo per nome.

Secondo Google Threat Intelligence Group e Mandiant, ARTEX è una piattaforma multi-agente. Traduce obiettivi generici dell’attaccante in comandi. I suoi agenti possono verificare i permessi, mappare le reti, correggere i comandi falliti e procedere attraverso più fasi dell’attacco con poco intervento umano.

Quali dati sono coinvolti

L’applicazione dava accesso a informazioni archiviate nei sistemi CRM:

• nomi, indirizzi email, numeri di telefono, ruoli e aziende di appartenenza;
• storico degli account dei clienti e informazioni sui rapporti commerciali;
• riepiloghi ed estratti di chiamate di vendita, discussioni di supporto e conversazioni Slack dei clienti;
• metadati operativi sull’uso dei prodotti WorkOS, tra cui utilizzo e stato di connessioni e directory.

Si tratta delle categorie di dati disponibili nell’applicazione. Non è un elenco confermato, record per record, di quanto sia stato effettivamente consultato.

Impatto e stato delle indagini

WorkOS sta verificando i record coinvolti per valutare l’impatto sulle singole organizzazioni. Nella dichiarazione diffusa con la comunicazione, l’azienda afferma che non ci sono evidenze di accesso o impatto sui dati applicativi di WorkOS o sui servizi di produzione. Al momento l’indagine indica informazioni di CRM e di supporto clienti.

Le fonti su ARTEX citate nel contesto, che descrivono attività come discovery in Active Directory, attacchi alle credenziali e movimento laterale, o il download di file applicativi e il test dei controlli di autenticazione, derivano da indagini distinte. Non sono passaggi confermati nella violazione di WorkOS, e nessuna di esse attribuisce l’attacco a un attore specifico.

Cosa ha fatto WorkOS e cosa fare

L’azienda ha disattivato l’accesso esterno all’applicazione coinvolta e ha avviato una revisione dei controlli di accesso su tutti gli strumenti interni. Ha inoltre incaricato una società indipendente di digital forensics e incident response. Contatterà direttamente i clienti interessati man mano che i risultati saranno verificati.

I dettagli delle conversazioni esposti potrebbero rendere più credibili eventuali messaggi di phishing. WorkOS raccomanda ai clienti di verificare le richieste inattese prima di condividere informazioni sensibili o agire, anche quando i messaggi citano colleghi o discussioni di supporto reali.

Fonte: Cyber Security News · Foto: Cyber Security News