Détection de l’incident
Le 30 octobre 2026 à 16 h 39 UTC, les systèmes de surveillance de WorkOS ont relevé un pic de trafic anormal vers un composant interne dédié aux ventes et au marketing. Cette anomalie a déclenché une alerte automatisée, permettant aux équipes de sécurité d’isoler rapidement le flux suspect. L’identification précoce repose sur des seuils de volume et de provenance d’adresses IP, critères qui ont été franchis par des requêtes provenant de Hong Kong et de Chine.
Mécanisme d’accès via l’API interne
L’enquête a attribué l’intrusion à ARTEX, un framework d’intrusion autonome assisté par intelligence artificielle. ARTEX exploite des scripts de test de pénétration capables de scanner, d’identifier et de compromettre des points d’entrée sans intervention humaine. Dans ce cas, le framework a ciblé une API interne utilisée pour synchroniser les outils de sales et de marketing avec les bases de données CRM. L’API, non exposée publiquement, était néanmoins accessible avec des jetons d’authentification insuffisamment restreints, ce qui a permis à l’acteur non autorisé de récupérer les clés d’accès aux instances Salesforce et Snowflake.
Exfiltration des données CRM
Une fois l’accès obtenu, les attaquants ont interrogé les deux plateformes. Salesforce et Snowflake contenaient des informations de contact (noms, adresses e‑mail, numéros de téléphone, adresses postales), des données commerciales (comptes, historiques de transactions) ainsi que des métriques d’usage agrégées et dé‑identifiées. Ces éléments constituent des données personnelles d’entreprise, sensibles du point de vue de la conformité RGPD et de la protection de la vie privée des clients. Aucun indice ne montre que les données d’application des clients de WorkOS ou les services de production aient été touchés, l’incident restant limité aux couches CRM et support.
Limites de l’enquête et perspectives de mitigation
WorkOS indique ne disposer d’aucune preuve d’accès aux services de production, mais l’absence de visibilité complète sur les logs internes rend difficile de certifier l’absence de mouvements latéraux. La dépendance à une API interne non segmentée souligne la nécessité d’appliquer le principe du moindre privilège et d’isoler les jetons d’accès par rôle. En outre, la présence d’un outil d’IA autonome comme ARTEX montre que les tests de pénétration automatisés peuvent évoluer rapidement, rendant les signatures traditionnelles moins efficaces. Les mesures correctives recommandées incluent la rotation immédiate des secrets d’API, l’implémentation de contrôles d’accès basés sur le Zero‑Trust, et le renforcement de la surveillance du trafic inter‑services avec des systèmes de détection d’anomalies basés sur le machine learning.
