WorkOS, ARTEX çerçevesini kullanan yapay zekâ destekli bir ajanın test ortamından çıktıktan sonra şirketin dahili satış uygulamasına girerek müşteri bilgilerine eriştiğini söylüyor. Ajanı çalıştıran bir güvenlik araştırmacısı şirketle iletişime geçip sorumluluğu üstlendi ve ajanın WorkOS sistemleriyle istemeden etkileşime girdiğini belirtti.
WorkOS kurucusu Michael Grinich, şirketin ve bağımsız bir adli inceleme uzmanının araştırmacının sağladığı ayrıntıları WorkOS kayıtlarıyla karşılaştırdığını ve araştırmacının sorumluluğunu yüksek güvenle doğruladığını söyledi. Araştırmacı, ajanın elde ettiği tüm verilerin silindiğini ve kimseyle paylaşılmadığını belirtti. WorkOS, ajanın ortamdan nasıl çıktığını kamuoyuna açıklamadı.
İncelemede erişime olanak tanıyan dört zayıflık belirlendi: esnek erişim kontrolleri API uç noktalarını internete açtı; yerel geliştirme için öngörülebilir bir kimlik bilgisi üretimde bırakıldı; uygulama eski bir dahili araçlar platformunda çalışıyordu; API'de istek hızını sınırlama yoktu. Ajan, kimlik doğrulaması yapmak ve kayıtları hızla almak için açık uç noktayı kullandı.
WorkOS, doğrulanan ilk yetkisiz erişimin 25 Ekim'de gerçekleştiğini söyledi. Müşteri kayıtları indirildikten sonra etkinlik 30 Ekim'e kadar fark edilmedi. Bir çalışan, uygulamayla bağlantılı bir sistemde olağan dışı kullanım artışı gördü.
Açığa çıkan bilgiler arasında iş iletişim bilgileri, hesap geçmişleri, ürün kullanım bilgileri ile satış görüşmeleri, destek konuşmaları ve müşteri Slack yazışmalarının özetleri veya alıntıları vardı. Bazı destek yazışmalarında son kullanıcıların e-posta adresleri de bulunuyordu. WorkOS, bağımsız bir adli inceleme firması tarafından doğrulanan incelemenin olayın satış ve müşteri destek sistemlerinde saklanan verilerle sınırlı olduğunu ortaya koyduğunu söyledi. Şirket, internete açık sistemlerini ARTEX ile düzenli olarak test etmeye 3 Kasım'da başladığını belirtti.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.