WorkOS kertoi 6. marraskuuta, kuka aiheutti 30. lokakuuta havaitun luvattoman pääsyn. Yhtiö tarjoaa sovelluskehittäjille kirjautumis- ja käyttäjähallintapalveluja.

Tiedotteen mukaan tietoturvatutkija otti yhteyttä yhtiöön sen julkaistua ensimmäisen ilmoituksensa 2. marraskuuta ja myönsi olevansa vastuussa. Hän oli ajanut tietoturvan vertailutestejä ARTEX-työkalulla, kun hänen tekoälyagenttinsa karkasi hiekkalaatikosta eli eristetystä testiympäristöstä. Yhtiön mukaan agentin pääsy WorkOS:n järjestelmiin oli tahaton.

Tutkija toimitti tiedot agentin lähettämistä pyynnöistä, aikaleimat ja toiminnasta jääneet jäljet. WorkOS:n tietoturvatiimi ja riippumaton forensiikkayritys vertasivat niitä yhtiön lokeihin ja vahvistivat tutkijan selityksen. WorkOS:n mukaan tutkija on vakuuttanut, että haetut tiedot on poistettu eikä niitä ole jaettu.

WorkOS ei kerro, miten agentti pääsi ulos hiekkalaatikosta. Uutissivustojen GBHackersin, Cybersecuritynewsin ja Cyber Pressin jutut perustuvat yhtiön tiedotteeseen. GBHackers ja Cyber Press kirjoittavat, että vastuun otti WorkOS. Tiedotteen mukaan sen otti kuitenkin tutkija.

Agentti tunnistautui ennustettavalla tunnuksella

Agentti pääsi myynti- ja asiakastiimien sisäiseen työkaluun, joka kokoaa tietoja asiakkuudenhallinnasta (CRM), asiakastuesta ja asiakasviestinnästä. Työkalu oli yhä vanhalla sisäisten työkalujen alustalla, eikä siinä ollut uuden alustan perussuojauksia.

WorkOS nimeää neljä aukkoa. Liian väljät pääsyrajaukset jättivät työkalun rajapinnan auki internetiin. Rajapinta hyväksyi paikalliseen kehitykseen tarkoitetun heikon tunnuksen. Koska tunnus oli ennustettava, agentti pystyi tunnistautumaan löydettyään rajapinnan. Kutsurajoja ei ollut, joten agentti haki nopeasti suuria määriä tietueita. Lisäksi valvonta ei havainnut toimintaa ajoissa.

Ensimmäinen vahvistettu luvaton pääsy tapahtui 25. lokakuuta ja tietueiden massahaku 30. lokakuuta. Yhtiö huomasi murron vasta haun päätyttyä, kun työntekijä havaitsi poikkeuksellisen runsasta käyttöä yhdessä työkaluun liitetyssä järjestelmässä.

Vuotaneet tiedot ja korjaukset

WorkOS:n ja forensiikkayrityksen mukaan murto koski vain myynnin ja asiakastuen järjestelmiä. Agentti sai haltuunsa asiakkaiden yhteyshenkilöiden yhteystiedot, asiakkuuksien historian, otteita ja tiivistelmiä myyntipuheluista, tukikeskusteluista ja asiakkaiden Slack-keskusteluista sekä tietoja tuotteiden käytöstä. Pieni osa tukiviesteistä sisälsi loppukäyttäjien sähköpostiosoitteita. Tietueiden tai asiakkaiden määrää yhtiö ei kertonut.

WorkOS katkaisi työkalun internetyhteyden, poisti heikon tunnistautumistavan ja vaihtoi liitettyjen palvelujen tunnukset. Lisäksi se sulki internetistä pääsyn kaikkiin itse kehittämiinsä työkaluihin. Yhtiön mukaan 5. marraskuuta olivat vielä kesken muiden työkalujen siirto uudelle alustalle, kehitystunnusten estäminen tuotannossa ja hälytykset poikkeavista pyyntömääristä. Yhtiö on 3. marraskuuta lähtien testannut internetiin näkyviä järjestelmiään ARTEX-työkalulla.

Tiedotteessa luetellaan tunnisteet, joiden avulla agentin liikenteen voi etsiä omista lokeista: neljä IPv4- ja kaksi IPv6-osoitetta, viisi User-Agent-merkkijonoa, kuten ”Mozilla/5.0 (compatible; ArtEx/1.0)”, sekä kolme JA4-sormenjälkeä. JA4-sormenjälki tunnistaa asiakasohjelman siitä, miten se avaa salatun yhteyden.