WorkOS ve Chainstack, saldırganın ARTEX yapay zekâ sızma testi çerçevesiyle iç sistemlere eriştiğini açıkladı
Kimlik doğrulama altyapısı sağlayıcısı WorkOS, 3 Kasım'da duyurduğu ihlalde saldırganın açık kaynak ARTEX çerçevesini kullanarak dahili satış uygulaması üzerinden CRM verilerine ulaştığını bildirdi. Chainstack de aynı gün bir ihlal açıkladı.
Kurumsal SSO ve kimlik doğrulama altyapısı sunan WorkOS, 3 Kasım'da bir güvenlik ihlali yaşadığını duyurdu. Şirketin kurucusu Michael Grinich'in açıklamasına göre saldırgan, açık kaynak ajan tabanlı sızma testi çerçevesi ARTEX'i kullandı. Blockchain altyapı sağlayıcısı Chainstack de aynı gün sistemlerine yetkisiz erişim olduğunu açıkladı; iki olay ARTEX kullanımı nedeniyle birlikte anılıyor.
ARTEX adı geçen hafta da gündemdeydi: Microsoft'un Storm-0940 olarak izlediği Çin bağlantılı grubun aynı çerçeveyle kısa sürede çok sayıda kuruma saldırdığı bildirilmişti.
Neye erişildi?
WorkOS'un açıklamasına göre saldırgan, şirketin satış ve pazarlama ekiplerinin kullandığı dahili bir API üzerinden Salesforce ve Snowflake ortamlarına ulaştı. Bu yolla CRM kayıtlarındaki ad, e-posta ve telefon gibi iletişim bilgilerinin açığa çıktığı bildiriliyor. Şirket, üretim sistemlerine ve müşteri uygulama verilerine erişilmediğini, olayın iç "go-to-market" sistemleriyle sınırlı kaldığını vurguluyor.
WorkOS'un incelemesi, etkinliği Hong Kong ve Çin merkezli IP adreslerine bağladı. Bazı yayınlarda etkilenen veri kapsamı farklı aktarılıyor; Chainstack tarafında hangi verilerin etkilendiğine dair ayrıntılar sınırlı. SiberMagazin etkilenen verileri görmedi.
Neden önemli?
WorkOS, birçok yapay zekâ ve SaaS şirketinin oturum açma altyapısında kullanılan bir sağlayıcı. Üretim sistemleri etkilenmemiş olsa da CRM'den çıkan müşteri iletişim bilgileri, hedefli phishing için hazır bir liste anlamına geliyor. Olay ayrıca, meşru sızma testi için geliştirilen ajan tabanlı araçların gerçek saldırılarda keşif ve yatay hareketi hızlandırdığını bir kez daha gösteriyor. Asıl zayıf halka ise ürünün kendisi değil, satış ekiplerinin kullandığı ve çoğu zaman güvenlik denetiminin dışında kalan iç entegrasyonlar.
Ne yapılmalı?
- WorkOS veya Chainstack müşterisiyseniz şirketlerin bildirimlerini takip edin; bu sağlayıcıların adını kullanan fatura, sözleşme veya "hesap doğrulama" e-postalarına karşı kullanıcıları uyarın.
- Kendi Salesforce, Snowflake ve benzeri SaaS ortamlarınızda bağlı uygulamaları, servis hesaplarını ve uzun ömürlü API token'larını gözden geçirin; kullanılmayanları kendi change süreçlerinizle kaldırın.
- Satış ve pazarlama ekiplerinin kurduğu iç API ve entegrasyonları envantere alın; bunları üretim sistemleriyle aynı erişim denetimi ve loglama kapsamına sokun.
- SaaS oturum ve API loglarında beklenmeyen ülke/ASN kaynaklı erişimleri ve kısa sürede yapılan yoğun veri dışa aktarımlarını izleyin.
- Ajan tabanlı saldırı araçlarının keşif hızını hesaba katarak, olay müdahale planınızda SaaS hesaplarının hızlı kapatılması için hazır bir adım tanımlayın.
