WorkOSは11月2日、10月30日に検知したデータ侵害の続報を公開した。侵害されたのは営業と顧客対応が使う社内アプリで、本番のWorkOSサービスや、利用者が預けるアプリケーションデータにアクセスされた証拠はない。現時点の分析では、影響はCRMと顧客サポートのデータに限られる。
読まれた情報は、氏名、メール、電話、役職、所属企業、取引の経緯、営業電話やサポート、顧客Slackの要約と抜粋、製品の利用状況、接続やディレクトリの健全性に関する運用メタデータである。調査では、偵察と悪用の試みを自動化するAI支援の攻撃フレームワークが使われていた。外部からのアプリ接続は止め、社内ツールのアクセス権を見直し、独立したフォレンジック会社に範囲の確定を依頼している。調査は継続中で、影響を受ける組織には直接連絡する。
WorkOSを認証に使っていても、今回の公表範囲は本番の認証基盤ではない。ただし営業やサポートの文面を知る相手は、実在の担当者や過去の会話に触れた依頼を作れる。鍵の入れ替えとは別に、支払い先や権限の変更、秘密の共有を求める連絡は、文面が正確でも既知の経路で確かめ直す。同社は、露出したアプリと盗まれた資格情報をエージェントが連続して試す速度が上がっているとし、複数システムの兆候をまとめて見る監視が必要だと書いている。