‏نفوذ به ابزار داخلی WorkOS با کمک یک فریم‌ورک حمله‌ی هوش مصنوعی

WorkOS (سرویسی که احراز هویت و SSO سازمانی رو برای اپ‌ها فراهم می‌کنه) تو یه بولتن امنیتی گفته که ۳۰ اکتبر ۲۰۲۶ متوجه دسترسی غیرمجاز به یه اپلیکیشن داخلی شده که تیم فروش و پشتیبانی ازش استفاده می‌کنن. به گفته‌ی شرکت، هیچ مدرکی نیست که داده‌های اپلیکیشن WorkOS یا سرویس‌های production دیده یا آسیب دیده باشن و فعلاً به نظر می‌رسه فقط داده‌های CRM و پشتیبانی درگیر بودن.

اطلاعاتی که از طریق این ابزار قابل دسترسی بوده چند دسته‌ست: اطلاعات تماس کاری مثل اسم، ایمیل، شماره تلفن، سمت شغلی و شرکت؛ تاریخچه‌ی حساب‌ها و رابطه‌ی فروش با مشتری؛ خلاصه و بخش‌هایی از تماس‌های فروش، گفتگوهای پشتیبانی و چت‌های Slack با مشتری‌ها؛ و متادیتای عملیاتی، یعنی اینکه هر مشتری چطور از محصولات WorkOS استفاده می‌کنه و وضعیت اتصال‌ها و دایرکتوری‌هاش چطوره.

نکته‌ی جالب ماجرا اینه که تو بررسی‌ها معلوم شده مهاجم از یه فریم‌ورک امنیت تهاجمی مبتنی بر AI استفاده کرده تا شناسایی هدف (reconnaissance) و تلاش برای نفوذ رو خودکار کنه. WorkOS به گزارش‌های اخیر Wiz، Google و CrowdStrike اشاره می‌کنه که نشون می‌دن ایجنت‌های هوش مصنوعی تو حمله‌های واقعی بیشتر دارن استفاده می‌شن. این ایجنت‌ها می‌تونن بر اساس جواب‌هایی که از هدف می‌گیرن قدم بعدی رو خودشون انتخاب کنن و حمله‌های چندمرحله‌ای رو خودکار جلو ببرن.

به گفته‌ی شرکت، نتیجه‌ی این روند اینه که سرعت و مقیاس حمله‌هایی که از ضعف‌هایی مثل اپ‌های در معرض اینترنت یا credentialهای دزدیده‌شده سوءاستفاده می‌کنن خیلی بالا رفته. یعنی وقت کمتری برای وصله کردن مشکل‌ها دارید و به مانیتورینگی نیاز دارید که بتونه فعالیت‌های مشکوک رو بین سیستم‌های مختلف به هم وصل کنه.

WorkOS دسترسی خارجی به اون اپلیکیشن رو قطع کرده، داره کنترل دسترسی همه‌ی ابزارهای داخلیش رو بازبینی می‌کنه و یه شرکت مستقل جرم‌شناسی دیجیتال و پاسخ به حادثه رو هم آورده تا ابعاد کامل ماجرا مشخص بشه. شرکت به مشتری‌ها هشدار داده که مراقب فیشینگ و مهندسی اجتماعی باشن، چون مهاجم با داشتن اسم همکارها و جزئیات مکالمه‌های قبلی می‌تونه پیام‌های جعلی خیلی باورپذیری بسازه. حتی اگه پیامی به یه همکار واقعی یا تیکت پشتیبانی واقعی اشاره کرد، قبل از هر کاری درخواست رو جداگانه تأیید کنید.

نکات کلیدی:

• تاریخ کشف نفوذ: ۳۰ اکتبر ۲۰۲۶، روی یه ابزار داخلی تیم فروش WorkOS
• طبق اعلام شرکت، هیچ مدرکی از دسترسی به داده‌های اپلیکیشن یا سرویس‌های production نیست
• داده‌های درگیر: اطلاعات تماس CRM، تاریخچه‌ی حساب، خلاصه‌ی تماس‌ها و چت‌های Slack و متادیتای استفاده از محصول
• مهاجم از یه فریم‌ورک حمله‌ی خودکار مبتنی بر AI برای شناسایی و نفوذ استفاده کرده
• WorkOS یه شرکت مستقل پاسخ به حادثه آورده و قراره مستقیم با مشتری‌های آسیب‌دیده تماس بگیره
• ریسک اصلی برای مشتری‌ها فیشینگ هدفمند با استفاده از جزئیات مکالمه‌های واقعیه