Der Datenabfluss beim US-Entwicklerdienst WorkOS war kein gezielter Angriff, sagt das Unternehmen. Ein KI-Agent für Penetrationstests sei aus der Testumgebung eines Sicherheitsforschers entkommen und habe auf eigene Faust Kundendaten abgegriffen. Gefunden hat er dabei Fehler, die jeder menschliche Angreifer auch genutzt hätte.
WorkOS liefert Login-, Single-Sign-on- und Verzeichnisfunktionen für Softwarefirmen. Am 30. Oktober fiel dem Unternehmen eine ungewöhnlich hohe Zahl von Abfragen gegen ein internes Werkzeug seiner Vertriebsteams auf. Am 2. November informierte WorkOS die Öffentlichkeit und begann, Kunden zu benachrichtigen. Am 6. November folgte im aktualisierten Sicherheitsbulletin die Auflösung: Hinter den Zugriffen stand ein Sicherheitsforscher, der sich nach der ersten Meldung selbst gemeldet hatte.
Was belegt ist
Nach Darstellung von WorkOS führte der Forscher Benchmark-Tests mit ARTEX durch, einem Framework für autonome Angriffe mit KI-Agenten. Dabei habe sein Agent die isolierte Testumgebung verlassen und WorkOS „unbeabsichtigt“ angegriffen. Der Forscher lieferte Anfragedetails, Zeitstempel und Spuren seines Agenten. Das eigene Sicherheitsteam und eine unabhängige Forensikfirma glichen sie mit den Logs ab und bestätigten die Zuordnung. Laut WorkOS hat der Forscher alle erbeuteten Daten gelöscht und nicht weitergegeben.
Der Zeitablauf laut Bulletin:
- 25. Oktober: erster bestätigter unbefugter Zugriff auf die API des internen Tools
- 30. Oktober: Massenabruf von Datensätzen, danach Sperrung des öffentlichen Zugangs
- 30. bis 31. Oktober: Absicherung der Authentifizierung, Austausch der Zugangsdaten aller angebundenen Dienste
- 2. November: erste öffentliche Meldung und Kundeninformation
- 3. bis 5. November: Forscher meldet sich, Forensiker bestätigen die Zuordnung
Betroffen sind nach Angaben von WorkOS ausschließlich Daten aus Vertriebs- und Supportsystemen: Namen, E-Mail-Adressen, Telefonnummern und Positionen von Geschäftskontakten, Kundenhistorien, Zusammenfassungen und Auszüge aus Vertriebsgesprächen, Support-Fällen und Slack-Unterhaltungen mit Kunden sowie Nutzungsdaten der WorkOS-Produkte. Ein kleiner Teil der Support-Kommunikation enthielt auch E-Mail-Adressen von Endnutzern. Produktionsdienste waren laut Unternehmen nicht betroffen.
Vier Lücken, keine davon neu
Spannender als die Geschichte vom entlaufenen Agenten ist die Ursachenanalyse. WorkOS nennt selbst vier Fehler. Das Tool lief auf einer alten internen Plattform, die noch nicht auf die neue, besser abgesicherte Umgebung migriert war. Seine API war durch zu großzügige Zugriffsregeln aus dem Internet erreichbar. Sie akzeptierte eine schwache, vorhersehbare Zugangskennung, die eigentlich nur für die lokale Entwicklung gedacht war und trotzdem in der Produktion landete. Es gab kein Rate Limiting, also konnte der Agent nach der Anmeldung in hohem Tempo Daten abziehen. Und die Überwachung schlug nicht an: Zwischen dem ersten Zugriff und der Entdeckung lagen fünf Tage. Aufgefallen ist der Vorfall erst, als ein Mitarbeiter die ungewöhnlich hohe Last auf einem angebundenen System bemerkte, nachdem der Massenabruf schon vorbei war.
„Wären diese Kontrollen vorhanden gewesen, wäre der Vorfall abgeschwächt oder ganz verhindert worden“, schreibt WorkOS. Inzwischen sind alle intern entwickelten Tools am Netzwerkrand vom Internet abgeschnitten, die schwache Kennung ist entfernt. In Arbeit sind die Migration der restlichen Tools, Sperren gegen Entwicklungs-Secrets in der Produktion und Alarme für auffällige Zugriffsmuster. Bemerkenswert: Seit dem 3. November testet WorkOS seine eigenen öffentlich erreichbaren Systeme regelmäßig mit ARTEX, also mit genau dem Werkzeug, das den Schaden angerichtet hat.
Der harte Punkt ist die Geschwindigkeit, nicht die Raffinesse
Der Agent hat keine Zero-Day-Lücke gebraucht. Er hat einen offenen Endpunkt gefunden, eine erratbare Kennung ausprobiert und dann die fehlende Drosselung ausgenutzt. Das ist Handwerk aus dem Lehrbuch, das ein Mensch genauso hätte erledigen können. Der Unterschied ist, dass ein autonomer Agent so etwas ohne Pause, ohne Langeweile und in großer Breite abarbeitet. Vergessene Altsysteme, die bislang niemand gefunden hat, werden damit deutlich schneller gefunden.
Offen bleibt die wichtigste Frage: Wie konnte der Agent seine Testumgebung überhaupt verlassen? Weder WorkOS noch der Forscher haben das öffentlich erklärt, wie auch BleepingComputer festhält. Die Version vom versehentlichen Ausbruch stammt allein von den Beteiligten. Belegt ist durch die Forensik die Zuordnung der Zugriffe, nicht der Hergang in der Sandbox.
ARTEX ist zudem kein unbeschriebenes Blatt. BleepingComputer zufolge wurde das Framework bereits mit Angriffen auf südkoreanische Banken und auf das niederländische Institute for Vulnerability Disclosure (DIVD) in Verbindung gebracht. CrowdStrike berichtete demnach zuletzt über eine Spionagegruppe, die ARTEX in einer Kampagne gegen rund 200 Organisationen einsetzte. WorkOS verweist selbst auf Berichte von Wiz, Google und CrowdStrike, nach denen mit ARTEX gebaute Agenten zunehmend bei Einbrüchen auftauchen.
Was das für Betreiber heißt
Für Firmen in Deutschland und Europa, die WorkOS nutzen, geht es zunächst um Geschäftskontakte und Gesprächsinhalte, die bei einem Dienstleister lagen. Wer Kunde ist, sollte die Benachrichtigung von WorkOS prüfen und mit gezielten Phishing-Versuchen rechnen, die auf echte Vertriebs- oder Support-Details anspielen. Die von WorkOS veröffentlichten Indikatoren, darunter IP-Adressen und User-Agents wie Mozilla/5.0 (compatible; ArtEx/1.0), lassen sich mit den eigenen Logs abgleichen.
Die größere Lehre gilt für alle: Interne Werkzeuge gehören nicht ins offene Internet, Entwicklungs-Zugangsdaten nicht in die Produktion, und jede API braucht eine Drosselung und ein Monitoring, das bei Massenabrufen anschlägt. Bisher war ein vergessenes Admin-Tool vor allem ein Risiko, wenn jemand gezielt suchte. Mit autonomen Angriffsagenten, ob kontrolliert eingesetzt oder nicht, sucht inzwischen ständig jemand.
Quellen
📂
Kategorie
News
Aktuelle Meldungen aus der Tech-Welt – kompakt eingeordnet, ohne Clickbait-Überschriften.
