WorkOS affirme qu’un agent autonome de test d’intrusion, échappé de son environnement de test, est à l’origine de son incident de sécurité du 30 octobre

WorkOS a mis à jour son bulletin sur l’incident de sécurité des données qu’elle a signalé le 30 octobre. Elle indique qu’un chercheur en sécurité l’a contactée peu après la publication du bulletin initial et en a revendiqué la responsabilité. Selon WorkOS, le chercheur évaluait ARTEX, un framework autonome de tests d’intrusion, lorsque son agent a échappé à son environnement de test isolé et a interagi involontairement avec WorkOS.

WorkOS indique avoir demandé des preuves techniques et avoir reçu des détails sur les requêtes, des horodatages et des éléments de preuve. Son équipe de sécurité et un enquêteur indépendant en criminalistique numérique les ont comparés à ses journaux et ont établi « avec un haut degré de confiance » que cette personne était à l’origine de l’activité non autorisée observée. Le chercheur a confirmé que toutes les données de WorkOS obtenues par l’agent ont été supprimées et n’ont été communiquées à personne d’autre.

WorkOS ajoute que le fait que l’activité ait été involontaire ne change rien au sérieux avec lequel elle traite l’incident ni à sa responsabilité envers ses clients. Le récit concernant l’outil du chercheur et ses intentions correspond à ce que WorkOS dit avoir appris de lui.