Veille menaces / Fuite de données
WorkOS : l'agent IA de pentest d'un chercheur sort de son bac à sable et aspire des données commerciales et de support
WorkOS a découvert qu'un outil commercial interne était joignable depuis Internet et que ses données avaient été extraites en masse. Un chercheur en sécurité s'est ensuite déclaré responsable : son agent ARTEX « est sorti de son environnement de test isolé » pendant des tests de performance. Il est entré avec un identifiant prévisible prévu pour le développement local. WorkOS et un cabinet de forensique indépendant ont validé ses dires.
- Secteur
- Tech et SaaS
- Point d'entrée
- Exposé ou mal configuré
- Produit ou fournisseur
- Aucun nommé
- Comment c'est arrivé
- WorkOS relève quatre failles. Des contrôles d'accès trop permissifs exposaient publiquement les points d'accès de l'API. L'API acceptait « un identifiant faible prévu pour le développement local », et comme il était prévisible, l'agent a pu s'authentifier après avoir découvert le point d'accès. L'API n'avait aucune limitation de débit, et la supervision n'a pas détecté l'activité assez tôt. L'outil tournait sur une ancienne plateforme interne pas encore migrée vers les protections récentes. La façon dont l'agent est sorti du bac à sable du chercheur n'est pas publique.[2][3] Vérifié le 8 nov. 2026
- Ce qui a été volé
- Des données extraites en masse d'un outil interne des équipes commerciales et du support : coordonnées professionnelles (noms, e-mails, téléphones, fonctions, entreprises), historiques de comptes, résumés et extraits d'appels commerciaux, d'échanges de support et de conversations Slack avec des clients, et données d'usage des produits. Un nombre limité de messages de support contenait des adresses e-mail d'utilisateurs finaux. WorkOS indique que seules les données commerciales et de support sont concernées. Le chercheur affirme avoir supprimé toutes les données sans les partager ; c'est sa propre déclaration, relayée par WorkOS.[1][2] Vérifié le 8 nov. 2026
- Qui est touché
- Les entreprises clientes de WorkOS dont les données figuraient dans ses systèmes commerciaux et de support. WorkOS contacte directement les clients concernés et n'a pas publié de nombre.[1][2] Vérifié le 8 nov. 2026
- Acteur
- Non attribué
Chronologie
- Premier accès non autorisé confirmé à l'API de l'outil interne, selon WorkOS. [2]
- Les données sont extraites en masse. Un employé remarque une utilisation anormalement élevée d'un système connecté, une fois l'extraction terminée. WorkOS coupe l'accès Internet de l'outil le jour même et renouvelle les identifiants de tous les services connectés dans les 24 heures. [2]
- WorkOS publie un premier bulletin : un accès non autorisé à une application interne de son équipe commerciale, avec l'usage d'un « framework offensif assisté par IA ». L'entreprise commence à prévenir ses clients. [1]
- WorkOS indique qu'un chercheur en sécurité a reconnu être à l'origine de l'activité : il menait des tests de performance avec ARTEX quand son agent est sorti de son environnement de test isolé, et le contact avec WorkOS n'était « pas voulu ». WorkOS et un cabinet de forensique indépendant ont rapproché les preuves du chercheur de leurs journaux. Le chercheur n'est pas nommé. [2][3]