WorkOS meldt dat een aanvaller met ARTEX AI toegang kreeg tot bedrijfscontactgegevens en klantcommunicatie via een interne sales-app.
Ontwikkelaarsplatform WorkOS heeft een datalek gemeld nadat een aanvaller toegang kreeg tot bedrijfscontactgegevens en samenvattingen van klantcommunicatie. Volgens het bedrijf maakte de aanvaller gebruik van een AI-gedreven offensief security framework om verkenning en exploitatie te automatiseren. Uit het onderzoek blijkt dat er geen toegang is geweest tot app-data of productieomgevingen van WorkOS.
WorkOS levert infrastructuur voor ontwikkelaars met API's, SDK's en tools voor integratie van onder meer enterprise authenticatie, single sign-on (SSO), gebruikersbeheer en identiteitsmanagement. Volgens de website van het bedrijf maken minstens 3.000 bedrijven gebruik van de diensten, waaronder OpenAI, Anthropic en Snowflake.
Op 30 oktober 2026 ontdekte WorkOS ongeautoriseerde toegang tot een interne applicatie die door het salesteam wordt gebruikt. De gegevens die werden ingezien omvatten bedrijfscontactgegevens zoals namen, e-mailadressen, functietitels en bedrijfsaffiliaties uit CRM-systemen, klantaccountgeschiedenissen met productgebruik en directorystatus, samenvattingen van klantgesprekken en supportdiscussies, evenals informatie over zakelijke accounts en klantrelaties.
Na het detecteren van de inbreuk heeft WorkOS de externe toegang tot de getroffen applicatie uitgeschakeld en de toegangscontrole op interne tools herzien. Daarnaast is een onafhankelijk forensisch en incident response-team ingeschakeld om de ongeautoriseerde activiteiten te onderzoeken en de impact vast te stellen. Het bedrijf heeft toegezegd getroffen klanten direct te informeren en waarschuwt gebruikers alert te blijven op phishing en social engineering met de gelekte informatie.
Volgens WorkOS maakte de aanvaller gebruik van het ARTEX AI-framework, een AI-gestuurde penetratietest-suite die dit jaar in meerdere incidenten is ingezet. Dit open-source project, oorspronkelijk uitgebracht door Chinese ontwikkelaars, werd na misbruik in aanvallen op Zuid-Koreaanse banken privaat gemaakt, maar diverse forks zijn nog beschikbaar. Ook cyberveiligheidsbedrijf CrowdStrike meldde recent dat de spionagegroep "Vapor Panda" dit framework gebruikte in een wereldwijde campagne tegen 200 organisaties. Eerder onthulde de non-profit cybersecurityorganisatie DIVD dat dezelfde tool werd ingezet bij aanvallen op hun infrastructuur in september 2025.
De onderzoeksteams identificeerden user agents zoals ‘artex-enrich/1.0’ en ‘norma/0.4’ in webverzoeken van de aanvaller. WorkOS meldt dat het incident volledig is ingeperkt en zal na afronding van het onderzoek meer details delen.
