Vyšetřování přístupu do obchodní aplikace WorkOS ukázalo souběh veřejně dostupného API, slabého přihlašovacího údaje a nedostatečné kontroly provozu. K aktivitě se přihlásil bezpečnostní výzkumník, podle něhož jeho agent ARTEX opustil vymezené testovací prostředí.

WorkOS v aktualizaci ze 6. listopadu uvedla, že výzkumník poskytl časové údaje a technické stopy odpovídající firemním záznamům. Shodu prověřila také nezávislá forenzní firma. Tím je podloženo připsání aktivity konkrétnímu výzkumníkovi; veřejný technický popis údajného úniku ze sandboxu ale chybí. Také informaci o smazání získaných dat a jejich nepředání dalším osobám firma uvádí jako výzkumníkovo potvrzení.

Dotčený interní nástroj zůstal na starší platformě. Jeho rozhraní bylo omylem přístupné z internetu a přijímalo předvídatelný přihlašovací údaj určený pro místní vývoj. Po přihlášení agent hromadně stahoval záznamy bez omezení četnosti požadavků. První potvrzený přístup nastal 25. října, k odhalení došlo až 30. října po hromadném stažení: zaměstnanec si všiml neobvykle vysokého využití připojeného systému.

Zasaženy byly obchodní kontakty, historie zákaznických vztahů, provozní metadata a výňatky z obchodní a podpůrné komunikace, včetně zákaznických konverzací na Slacku. Některé zprávy obsahovaly e-mailové adresy koncových uživatelů. Podle vyšetřování se incident omezil na údaje obchodních a podpůrných systémů; není dokladem prolomení všech produktů WorkOS.

Firma uzavřela veřejný přístup, odstranila slabý způsob ověřování a vyměnila nebo zneplatnila přihlašovací údaje připojených služeb. Pokračuje migrace zbývajících interních aplikací a doplňování kontrol nasazení i upozornění na neobvyklý provoz.