대상: SSO, 디렉터리 동기화, 인증에 WorkOS를 쓰는 개발자, 제품 책임자, 조직 관리자. 이 글은 회사의 공식 공지를 바탕으로 하며 공격 수법은 다루지 않습니다.
진행 중: 조직이 추가 정보를 발표하는 대로 이 글을 업데이트합니다
- 대상
SSO, 디렉터리 동기화, 인증에 WorkOS를 쓰는 개발자, 제품 책임자, 조직 관리자.
- 확인된 영향 범위표 보기 ↓
- 최초의 무단 접근
- 대량 추출과 차단
- 연락처 정보(이름, 이메일, 전화번호, 직함, 회사)
5개 더 보기
- 고객 계정 이력, 영업·관계 정보
- 영업 통화의 요약과 발췌, 지원 논의, 고객 Slack 대화
- 최종 사용자의 이메일 주소
- 운영 메타데이터(제품 사용량, 연결·디렉터리 상태)
- 악의적인 행위자의 관여
- 아직 확인되지 않은 사항
- 영향을 받은 고객 수와 추출된 기록 수
- 고객별로 어떤 영향을 받았는지
- 남은 내부 앱을 레거시 플랫폼에서 옮기는 등 개선 조치의 완료
- 지금 할 일절차 보기 ↓
- WorkOS를 자처하는 사람은 알고 있는 경로로 확인하세요
- 지원, Slack, 영업에 공유한 내용 찾기
- 붙여 넣은 비밀 값은 교체하세요
2개 더 보기
- 설정 변경과 권한 요청은 다시 확인하세요
- 팀에 알리기
- 확인처(출처)출처 전체 ↓
- WorkOS, "Update for October 30th, 2026 Data Security Incident"(영어, 2026년 11월 6일자, 11월 7일 확인)
- 마지막 확인
- 2026년 11월 7일(일본 시간) 기준
후속 발표 예정과 확인 기록
회사는 11월 2일 공지에 이어 11월 6일에 업데이트를 게시했습니다. 회사와 독립 포렌식 업체가 연구자의 증거를 회사 로그와 대조해 검증했다고 밝혔습니다. 이 사이트는 2026년 11월 7일에 페이지를 확인했습니다.
WorkOS 고객이 오늘 해야 할 일
WorkOS를 자처하는 사람은 알고 있는 경로로 확인하세요
회사는 11월 2일 공지에서 업무용 연락처 정보와 과거 대화의 세부 사항이 부정한 요청을 진짜처럼 보이게 만들 수 있다고 하며, 메시지가 실제 동료나 지원 대화를 언급하더라도 예상치 못한 요청은 행동하기 전에 확인하라고 고객에게 요청했습니다.
- 직접 연 대시보드, 가입 때부터 알고 있던 담당자, 공식 웹사이트의 문의 페이지로 확인하세요(메시지에 답장하거나 메시지의 링크를 쓰지 마세요)
- 이 사이트의 추가 조언: 과거 지원 케이스의 세부 사항이나 동료의 이름을 안다고 해서 메시지가 진짜라는 증거는 아닙니다(피싱이란?)
지원, Slack, 영업에 공유한 내용 찾기
회사는 지원 논의와 고객 Slack 대화의 요약과 발췌가 관련 데이터에 포함된다고 밝혔습니다. 거기에 쓴 내용을 되짚어 보세요(이 사이트의 조언).
- 지원 케이스와 공유 Slack 채널에서 붙여 넣은 키, 토큰, 비밀번호, 설정 파일, 연결 정보를 검색하세요
- 구성원 목록, 쓰고 있는 ID 공급자(IdP), 디렉터리 구성처럼 가짜 메시지를 더 그럴듯하게 만드는 정보를 얼마나 널리 공유했는지 확인하세요
- 최종 사용자의 이메일 주소를 지원팀에 보냈다면 그 사람들에게 알릴 필요가 있는지 내부에서 판단하세요
붙여 넣은 비밀 값은 교체하세요
11월 6일 업데이트는 고객이 취할 조치를 제시하지 않으며 연구자는 데이터를 삭제했다고 말합니다. 그래도 지원이나 Slack에 붙여 넣은 비밀 값은 관련 대화에 남아 있을 수 있으므로 이 사이트는 교체하라고 조언합니다(이 사이트의 추가 조언, 환경 변수와 API 키 기초).
- 새 키를 먼저 배포하고 작동을 확인한 뒤 옛 키를 비활성화하세요
- 더 이상 쓰지 않는 키는 다시 만들지 말고 삭제하세요
- 앞으로는 지원에 비밀 값을 붙여 넣지 마세요. 가리거나 안전한 전달 방법을 쓰세요
설정 변경과 권한 요청은 다시 확인하세요
SSO 연결 설정, 디렉터리 동기화, 관리자 추가는 공격자에게 가치가 높은 작업입니다. 요청을 수행하기 전에 그 요청이 온 경로와 다른 경로(전화, 사내 채팅, 이미 아는 담당자)로 진짜인지 확인하세요(이 사이트의 추가 조언).
팀에 알리기
WorkOS 담당자로 등록된 사람, 지원 케이스를 여는 사람, 영업 담당자에게 이번 사고와 메시지 확인 방법을 알리세요. 메시지는 관리자에게만 가는 것이 아닙니다(이 사이트의 추가 조언).
1. WorkOS나 지원팀을 자처하는 메시지가 도착
과거 케이스나 Slack 주제를 알고 있어도 진짜가 아닐 수 있습니다
↓
2. 링크를 열지 말고 답장하지 않기
↓
3. 알고 있는 경로(직접 연 대시보드, 가입 때의 담당자)로 확인
그때까지는 키를 넘기거나 설정을 바꾸지 않기
무슨 일이 있었나요 (WorkOS 공지 기준)
아래는 회사가 2026년 11월 2일에 게시한 사고 공지와 11월 6일 업데이트를 바탕으로 합니다.
2026년 10월 25일
영업 및 고객 대응 팀이 쓰는 내부 도구의 API에 대한 최초의 무단 접근이 확인되었습니다(11월 6일 업데이트)10월 30일
기록이 대량으로 추출되었습니다. 회사는 도구의 공개 접근을 제거하고 개선 조치를 시작했습니다. 이날까지 모니터링이 활동을 감지하지 못했다고 합니다10월 30일–31일
인증을 보호하고, 연결된 서비스의 자격 증명을 폐기하거나 교체하고, 자체 개발한 모든 도구의 접근을 제한했습니다(회사)11월 2일
회사가 첫 공지를 게시하고 고객 통지를 시작했습니다11월 3일–5일
한 보안 연구자가 회사에 연락해 증거를 제공했습니다. 회사와 독립 포렌식 업체가 이를 회사 로그와 대조해 검증했습니다11월 6일
회사가 업데이트를 게시해 원인, 관련 데이터, 개선 조치를 설명했습니다11월 7일
이 사이트가 업데이트를 확인했습니다
- 침입 경로
- 영업 및 고객 대응 팀이 쓰는 내부 도구의 API. 레거시 플랫폼에서 실행되었고, 공개적으로 노출된 엔드포인트가 있었으며, 약하고 예측 가능한 개발용 자격 증명이 프로덕션에 배포되었고, 요청 제한이 없었음
- 연락처 정보
- 고객 관계 관리(CRM) 시스템에 있던 이름, 이메일 주소, 전화번호, 직함, 소속 회사
- 계정 및 관계 정보
- 고객 계정 이력과 영업 및 고객 관계에 관한 정보
- 고객 커뮤니케이션
- 영업 통화, 지원 논의, 고객 Slack 대화의 요약과 발췌. 일부 지원 커뮤니케이션에는 최종 사용자의 이메일 주소가 포함되어 있었음
- 운영 메타데이터
- 제품 사용량, 연결·디렉터리 상태 등 고객이 WorkOS 제품을 쓰는 방식
- 범위
- 영업 및 고객 지원 시스템에 있던 데이터만(11월 6일 업데이트)
- 원인(행위자)
- 평가를 실행하던 한 보안 연구자의 AI 에이전트가 격리된 테스트 환경을 벗어나 의도치 않게 회사 시스템과 상호작용했음. 연구자가 책임을 인정함
- 회사 대응
- 외부 접근 제거, 자격 증명 폐기 또는 교체, 내부 도구 전반의 접근 제한, 독립 포렌식 업체 선임. 약한 자격 증명 경로를 제거했고 인터넷에 노출된 시스템의 정기 테스트를 시작함. 진행 중: 남은 내부 앱을 업데이트된 플랫폼으로 이전, 약한 비밀 값의 프로덕션 반입 차단, 비정상 접근에 대한 알림 추가
- 고객에 대한 조언
- 11월 2일 공지는 업무용 연락처 정보와 과거 대화의 세부 사항이 부정한 요청을 진짜처럼 보이게 만들 수 있으니 예상치 못한 요청을 확인하라고 함. 11월 6일 업데이트는 고객이 취할 조치를 제시하지 않음
11월 2일 공지와 다른 점
11월 2일 공지는 조사에서 AI 지원 공격적 보안 프레임워크의 사용이 확인되었다고 밝혔습니다. 11월 6일 업데이트는 이 활동을 테스트 환경을 벗어난 한 보안 연구자의 AI 에이전트 소행으로 설명하며, 앞선 표현을 명시적으로 정정하지 않습니다. 이 사이트는 두 설명을 모두 회사의 진술로 제시하며 둘의 관계를 추측하지 않습니다.
확인된 것과 확인되지 않은 것
2026년 11월 7일(일본 시간) 기준 상태입니다. 후속 소식이 나오면 이 표를 다시 씁니다.
| 항목 | 공지의 내용 | 상태 |
|---|---|---|
| 최초의 무단 접근 | 2026년 10월 25일 내부 도구 API에 대한 최초 접근이 확인됨 | 확인됨(회사) |
| 대량 추출과 차단 | 10월 30일 기록이 대량으로 추출됨. 회사가 공개 접근을 제거함 | 확인됨(회사) |
| 연락처 정보(이름, 이메일, 전화번호, 직함, 회사) | 관련 정보의 일부 | 영향 있음(회사) |
| 고객 계정 이력, 영업·관계 정보 | 관련 정보의 일부 | 영향 있음(회사) |
| 영업 통화의 요약과 발췌, 지원 논의, 고객 Slack 대화 | 관련 정보의 일부 | 영향 있음(회사) |
| 최종 사용자의 이메일 주소 | 일부 지원 커뮤니케이션에 포함됨 | 영향 있음(회사) |
| 운영 메타데이터(제품 사용량, 연결·디렉터리 상태) | 관련 정보의 일부 | 영향 있음(회사) |
| 영업·고객 지원 이외의 시스템 | 업데이트는 영업 및 고객 지원 시스템의 데이터만 관련되었다고 밝힘 | 포함되지 않음(회사) |
| 추출한 주체 | 한 보안 연구자의 AI 에이전트. 연구자는 책임을 인정하고 데이터를 삭제했으며 공유하지 않았다고 말함. 회사와 포렌식 업체가 증거를 로그와 대조해 검증함 | 회사가 검증함(연구자의 설명) |
| 악의적인 행위자의 관여 | 업데이트는 악의를 가진 행위자의 소행이 아니라고 밝힘 | 확인됨(회사) |
| 자격 증명(비밀번호, API 키) | 관련 데이터로 열거되지 않음. 회사는 연결된 서비스의 자격 증명을 폐기하거나 교체했으며 고객 조치는 없음 | 밝히지 않음 |
| 영향을 받은 고객과 기록의 수 | 밝히지 않음 | 밝히지 않음 |
| 악용(후속 피해) | 밝히지 않음 | 밝히지 않음 |
| 개선 조치 | 일부 완료, 일부 진행 중 | 진행 중(회사) |
'영향 있음'이라고 쓰는 이유
회사는 도구가 접근을 제공한 정보의 범주를 열거할 뿐 어떤 기록이 어느 고객의 것인지는 밝히지 않습니다. 이 사이트는 그 표현을 따릅니다. 범주는 '영향 있음'이고, 고객별 영향은 '밝히지 않음'입니다.
연락처와 대화 요약으로 가능해지는 일
아래는 이런 항목의 조합으로 일반적으로 일어날 수 있는 일입니다. 회사가 이번 사고에서 일어났다고 말한 것이 아닙니다.
- 이름 + 이메일 + 직함 + 회사: 연락 상대가 누구이고 누가 권한을 가졌는지 보여 주어, 알맞은 사람에게 그럴듯한 메시지를 보내기에 충분합니다
- 지원과 Slack 대화의 요약과 발췌: 메시지가 과거 케이스 이름, 동료, 쓰는 기능, 최근 문제를 아는 것처럼 보이게 합니다. 실제 동료나 지원 대화를 언급하는 메시지도 확인하라는 회사의 조언은 이 때문입니다
- 제품 사용량과 연결·디렉터리 상태: 어느 고객이 어떤 연동을 쓰고 어느 쪽이 불안정한지 보여 주어, 연결 문제를 고쳐 주겠다는 가짜 지원 메시지의 재료가 됩니다
- 대화에 붙여 넣은 비밀 값: 지원이나 Slack에 붙여 넣은 키나 설정 값은 그 기록에서 읽힐 수 있습니다. 공지는 자격 증명이 관련 데이터에 포함된다고 밝히지 않습니다
개발자와 운영자가 점검할 것
이 요점들은 회사가 공개한 원인에서 나온 것이며 WorkOS에 대한 추가 판단이 아닙니다.
- 레거시 플랫폼의 내부 도구를 점검하세요: 회사는 해당 도구에 새 플랫폼이 제공하는 안전장치가 없었다고 합니다. 인터넷에서 닿는 내부 도구의 API를 목록으로 만들고 이전 순서를 정하세요
- 약하고 예측 가능한 개발용 자격 증명을 프로덕션에 들이지 마세요: 회사가 원인으로 꼽았습니다. 약한 비밀 값이 프로덕션에 도달하기 전에 거부하는 검사를 추가하세요
- 요청 제한을 추가하세요: 회사는 요청 제한이 없어 빠른 대량 추출이 가능했다고 합니다. 내부 API에도 제한을 두세요
- 비정상 접근을 더 빨리 감지하세요: 회사는 대량 추출이 끝난 뒤인 10월 30일에야 활동을 감지했다고 합니다. 비정상적인 양이나 출처에 알림을 설정하세요
- 지원과 공유 채널에 비밀 값을 두지 마세요: 붙여 넣은 내용은 상대방의 도구, 요약, 기록에 남습니다. 값을 가리고, 수명이 짧은 키를 쓰고, 전달한 뒤 폐기하세요
- 공급업체를 확인하는 방법을 정하세요: 공급업체 직원을 자처하는 사람의 메시지를 어느 경로로 확인할지 내부에서 합의하고, 메시지가 아무리 자세해도 같은 절차를 쓰세요(다단계 인증을 올바르게 선택하기)
이것은 일반적인 점검 요점이며 회사나 고객이 다른 일을 하지 않았다는 뜻이 아닙니다.
출처 (공개 기록)
이 글의 사실은 아래 공개 정보에서 나왔습니다. 접근된 기록의 범위는 추측하지 않습니다.
- WorkOS, "Update for October 30th, 2026 Data Security Incident"(영어, 2026년 11월 6일자, 11월 7일 확인) — workos.com
- WorkOS, "October 30th, 2026 Data Security Incident"(영어, 2026년 11월 2일자, 11월 5일 확인) — workos.com
업데이트 기록
2026-11-07: 회사의 11월 6일 업데이트를 반영했습니다. 원인은 이제 테스트 환경을 벗어난 한 보안 연구자의 AI 에이전트로 제시됩니다. 최초 접근 날짜(10월 25일), 10월 30일의 대량 추출, 11월 3일–5일의 검증, 기술적 원인, 개선 조치, 일부 지원 커뮤니케이션에 포함된 최종 사용자의 이메일 주소를 추가했습니다. 11월 2일 공지와의 차이도 적었습니다. 회사의 업데이트로 맥락이 바뀌어 보도에 근거한 문장 하나를 삭제했습니다. 2026-11-05: 첫 버전. 2026년 11월 2일자 회사 사고 공지를 바탕으로 합니다.
다음으로 읽을 글
- API 키와 비밀 값 관리: 환경 변수와 API 키 기초
- 유사 사건: Chainstack 프로덕션 침해, Northflank 사고와 API 키, Vercel 보안 사고
- 사기 메시지 대비: 피싱이란?
- 계정 보호: 다단계 인증을 올바르게 선택하기
- 2026년 기타 사건: 데이터 유출 및 사이버 공격(일본과 해외)