La plataforma para desarrolladores WorkOS ha sufrido una brecha de datos tras el acceso no autorizado de un atacante a registros de contactos comerciales y resúmenes de comunicaciones con clientes. De acuerdo con la compañía, el responsable utilizó un marco de seguridad ofensiva impulsado por inteligencia artificial para automatizar las tareas de reconocimiento y los intentos de explotación.
Las evidencias recabadas durante la investigación indican que no se accedió ni se vieron afectados datos de aplicaciones ni servicios en producción de WorkOS. La empresa ofrece API, SDK y herramientas para integrar servicios como autenticación empresarial, inicio de sesión único (SSO), gestión de usuarios y gestión de identidades en aplicaciones. Según su sitio web, al menos 3.000 compañías utilizan sus servicios, entre ellas OpenAI, Anthropic, Cursor, Perplexity, Snowflake, Plaid, Webglow y Netlify.
«El 30 de octubre de 2026 identificamos un acceso no autorizado a una aplicación interna de WorkOS utilizada por nuestro equipo de ventas», señala la empresa en una alerta de incidente.
Los datos a los que accedió el atacante incluyen:
- Datos de contacto comerciales: nombres, direcciones de correo electrónico, cargos y empresas de afiliación procedentes de los sistemas CRM.
- Historiales de cuentas de clientes: uso del producto y estado de las conexiones o del directorio.
- Comunicaciones con clientes: resúmenes y extractos de llamadas de ventas, conversaciones de soporte y conversaciones de clientes en Slack.
- Información sobre cuentas y relaciones comerciales: historiales de cuentas e información sobre ventas y relación con el cliente.
Tras detectar la intrusión, WorkOS desactivó el acceso externo a la aplicación afectada y revisó los controles de acceso de sus herramientas internas. La compañía también contrató a una firma independiente de análisis forense y respuesta a incidentes para rastrear la actividad no autorizada y determinar su impacto completo. Asimismo, prometió notificar directamente a los clientes afectados y advirtió a sus usuarios de que permanezcan alerta ante posibles intentos de phishing o ingeniería social que aprovechen la información expuesta.
ARTEX AI, probable motor del ataque
El comunicado de WorkOS indica que el ataque empleó un marco de seguridad ofensiva con IA para automatizar el reconocimiento y los intentos de explotación. El fundador de la compañía, Michael Grinich, aportó más detalles y señaló que el atacante utilizó la suite de pruebas de penetración ARTEX AI, observada ya en múltiples incidentes este año.
Publicada a principios de este año por desarrolladores chinos, la plataforma estaba disponible como proyecto de código abierto para seguridad ofensiva. ARTEX AI pasó a ser privada después de utilizarse en ataques contra bancos de Corea del Sur, pero todavía existen varias bifurcaciones de su código accesibles. Más recientemente, CrowdStrike reveló que el grupo de ciberespionaje «Vapor Panda» empleó este marco de pruebas de penetración en una campaña global dirigida a 200 organizaciones. Antes, la organización sin ánimo de lucro de ciberseguridad DIVD también informó de que el mismo marco impulsó los ataques que sufrió el pasado septiembre.
Grinich explicó que el equipo investigador identificó agentes de usuario como «artex-enrich/1.0» y «norma/0.4» en las solicitudes web del atacante. El fundador aseguró que el incidente de seguridad ya está completamente contenido y prometió compartir más información sobre el ataque una vez concluya la investigación.
Deja una respuesta