WorkOS zufolge verschaffte sich ein Angreifer unbefugten Zugang zu einer internen Anwendung, die vom Vertriebsteam des Unternehmens genutzt wird. Dabei wurden geschäftliche Kontaktdaten, Kontoverläufe und Zusammenfassungen der Kundenkommunikation offengelegt. Das Unternehmen erklärte, seine Untersuchung habe keinen Zugriff auf WorkOS-App-Daten oder Produktionsdienste ergeben.
Das Unternehmen entdeckte den Angriff am 30. Oktober 2026. Zu den abgerufenen Informationen gehörten Namen, E-Mail-Adressen, Berufsbezeichnungen und Unternehmenszugehörigkeiten, die in CRM-Systemen gespeichert waren, sowie Angaben zur Produktnutzung und zum Zustand der Kundenverbindungen oder Verzeichnisse. Der Angreifer griff außerdem auf Zusammenfassungen und Auszüge aus Verkaufsgesprächen, Supportdiskussionen und Kundengesprächen auf Slack sowie auf Informationen zu Geschäftskonten und Kundenbeziehungen zu.
WorkOS zufolge nutzte der Angreifer ein KI-gestütztes Framework für offensive Sicherheitsmaßnahmen, um Aufklärungs- und Ausnutzungsversuche zu automatisieren. Gründer Michael Grinich identifizierte das Tool als ARTEX AI und verwies auf Webanfragen mit den User-Agent-Strings „artex-enrich/1.0“ und „norma/0.4“.
Nachdem WorkOS die Aktivitäten entdeckt hatte, deaktivierte das Unternehmen den externen Zugriff auf die betroffene Anwendung und überprüfte die Zugriffskontrollen für seine internen Tools. Außerdem beauftragte es ein unabhängiges Unternehmen für Forensik und Incident Response, die Aktivitäten zu untersuchen und ihre Auswirkungen zu bewerten. WorkOS erklärte, betroffene Kunden direkt zu benachrichtigen, und riet Nutzern, auf Phishing- und Social-Engineering-Versuche zu achten, bei denen die offengelegten Informationen verwendet werden könnten.
Grinich sagte, der Vorfall sei eingedämmt worden und das Unternehmen werde nach Abschluss der Untersuchung weitere Einzelheiten bekannt geben. WorkOS zufolge wurde das ARTEX-AI-Framework in diesem Jahr auch bei anderen Angriffen beobachtet.
Quellen: BleepingComputer.