Para: desenvolvedores, responsáveis por produtos e administradores de organizações que usam a WorkOS para SSO, sincronização de diretórios ou autenticação. Este artigo se baseia no comunicado oficial da empresa e não aborda métodos de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar novas informações
- Quem é afetado
desenvolvedores, responsáveis por produtos e administradores de organizações que usam a WorkOS para SSO, sincronização de diretórios ou autenticação.
- Confirmado até agoraVer a tabela ↓
- Primeiro acesso não autorizado
- Obtenção em massa e corte
- Dados de contato (nomes, e-mails, telefones, cargos, empresas)
Mais 5
- Históricos de contas de clientes, informações de vendas e de relacionamento
- Resumos e trechos de chamadas de vendas, conversas de suporte, conversas do Slack com clientes
- Endereços de e-mail de usuários finais
- Metadados operacionais (uso do produto, estado de conexões e diretórios)
- Envolvimento de um ator malicioso
- Ainda não confirmado
- Quantos clientes são afetados e quantos registros foram obtidos
- Como cada cliente é afetado
- Conclusão da correção, como mover os demais aplicativos internos para fora da plataforma antiga
- O que fazer agoraVer os passos ↓
- Verifique por um canal conhecido quem disser ser da WorkOS
- Descubra o que você compartilhou no suporte, no Slack e com as vendas
- Troque qualquer segredo que você colou
Mais 2
- Confirme de novo mudanças de configurações e pedidos de permissão
- Informe sua equipe
- Onde verificar (fonte)Todas as fontes ↓
- WorkOS, "Update for October 30th, 2026 Data Security Incident" (em inglês, datado de 6 de novembro de 2026, verificado em 7 de novembro)
- Última verificação
- Em 7 de novembro de 2026 (horário do Japão)
Próximos avisos e o que verificamos
Em 6 de novembro a empresa publicou uma atualização após o aviso de 2 de novembro. Diz que a empresa e uma firma forense independente validaram as evidências do pesquisador com os logs. Verificamos a página em 7 de novembro de 2026.
O que os clientes da WorkOS devem fazer hoje
Verifique por um canal conhecido quem disser ser da WorkOS
No aviso de 2 de novembro, a empresa disse que dados de contato comercial e detalhes de conversas passadas podem fazer pedidos fraudulentos parecerem legítimos, e pediu aos clientes que verifiquem pedidos inesperados antes de agir, mesmo quando uma mensagem fizer referência a um colega real ou a uma conversa de suporte.
- Confira por um painel que você mesmo abriu, pelo contato que você tem desde a contratação ou pela página de contato do site oficial (não respondendo à mensagem nem usando seus links)
- Acréscimo deste site: conhecer detalhes de um caso de suporte anterior ou o nome de um colega não prova que uma mensagem seja genuína (O que é phishing)
Descubra o que você compartilhou no suporte, no Slack e com as vendas
A empresa diz que resumos e trechos de conversas de suporte e do Slack com clientes estão entre os dados envolvidos. Revise o que você escreveu ali (conselho deste site).
- Procure nos casos de suporte e nos canais compartilhados do Slack chaves, tokens, senhas, arquivos de configuração e dados de conexão colados
- Verifique até que ponto você compartilhou coisas que tornam as mensagens falsas mais críveis, como listas de membros, o provedor de identidade (IdP) que você usa e a estrutura do seu diretório
- Se você enviou ao suporte endereços de e-mail de usuários finais, decida internamente se essas pessoas precisam ser avisadas
Troque qualquer segredo que você colou
A atualização de 6 de novembro não lista ações para os clientes, e o pesquisador diz que os dados foram apagados. Mesmo assim, um segredo colado no suporte ou no Slack pode estar nas conversas envolvidas, por isso este site aconselha trocá-lo (acréscimo deste site, Noções básicas de variáveis de ambiente e chaves de API).
- Distribua primeiro a nova chave, confira se funciona e só então desative a antiga
- Exclua as chaves que você não usa mais em vez de recriá-las
- Daqui em diante, não cole segredos no suporte. Mascare-os ou use uma forma segura de entregá-los
Confirme de novo mudanças de configurações e pedidos de permissão
As configurações de conexão de SSO, a sincronização de diretórios e a inclusão de administradores são ações de alto valor para um atacante. Antes de executar um pedido, confirme que ele é genuíno por um canal diferente daquele por onde chegou, como uma ligação, o chat interno ou um contato que você já conheça (acréscimo deste site).
Informe sua equipe
Conte este incidente e como verificar mensagens às pessoas cadastradas como contatos da WorkOS, a quem abre casos de suporte e aos seus contatos de vendas. As mensagens não precisam ir apenas aos administradores (acréscimo deste site).
1. Chega uma mensagem dizendo ser da WorkOS ou do suporte
Mesmo que ela conheça seus casos passados ou os assuntos do Slack, pode não ser genuína
↓
2. Não abra links, não responda
↓
3. Verifique por um canal conhecido (um painel que você mesmo abriu, seu contato da contratação)
Até lá, não entregue chaves nem faça mudanças de configuração
O que aconteceu (segundo o aviso da WorkOS)
O que segue se baseia no aviso do incidente que a empresa publicou em 2 de novembro de 2026 e em sua atualização de 6 de novembro.
25 de outubro de 2026
Primeiro acesso não autorizado confirmado à API de uma ferramenta interna usada por suas equipes de vendas e de atendimento ao cliente (atualização de 6 de novembro)30 de outubro
Registros obtidos em massa. A empresa removeu o acesso público à ferramenta e iniciou a correção. Diz que o monitoramento não detectou a atividade até esta data30–31 de outubro
Autenticação protegida, credenciais dos serviços conectados revogadas ou trocadas e acesso restrito para todas as ferramentas desenvolvidas internamente (empresa)2 de novembro
A empresa publicou o primeiro aviso e começou a notificar os clientes3–5 de novembro
Um pesquisador de segurança entrou em contato com a empresa e forneceu evidências. A empresa e uma firma forense independente as validaram com os logs da empresa6 de novembro
A empresa publicou sua atualização, com a causa, os dados envolvidos e a correção7 de novembro
Verificamos a atualização
- Ponto de entrada
- A API de uma ferramenta interna usada por suas equipes de vendas e de atendimento ao cliente. Funcionava em uma plataforma antiga, tinha endpoints expostos publicamente, uma credencial de desenvolvimento fraca e previsível implantada em produção e não tinha limite de taxa
- Dados de contato
- Nomes, e-mails, telefones, cargos e empresas guardados no sistema de gestão de relacionamento com clientes (CRM)
- Informações de conta e de relacionamento
- Históricos de contas de clientes e informações sobre vendas e relacionamento com clientes
- Comunicações com clientes
- Resumos e trechos de chamadas de vendas, conversas de suporte e conversas do Slack com clientes. Um número limitado de comunicações de suporte incluía endereços de e-mail de usuários finais
- Metadados operacionais
- Como os clientes usam os produtos da WorkOS, incluindo uso do produto e estado das conexões ou dos diretórios
- Escopo
- Apenas dados guardados nos sistemas de vendas e de suporte ao cliente (atualização de 6 de novembro)
- Causa (o ator)
- O agente de IA de um pesquisador de segurança, que executava avaliações, saiu de seu ambiente de testes isolado e interagiu sem intenção com os sistemas da empresa. O pesquisador assumiu a responsabilidade
- Resposta da empresa
- Acesso externo removido, credenciais revogadas ou trocadas, acesso restrito em todas as ferramentas internas, firma forense independente contratada. O caminho da credencial fraca foi eliminado e começaram testes regulares dos sistemas expostos à internet. Em andamento: mover os demais aplicativos internos para a plataforma atualizada, impedir segredos fracos em produção e adicionar alertas de acesso incomum
- Conselho aos clientes
- O aviso de 2 de novembro dizia que dados de contato comercial e detalhes de conversas anteriores podem fazer pedidos fraudulentos parecerem legítimos, e que é preciso verificar pedidos inesperados. A atualização de 6 de novembro não lista ações para os clientes
Em que difere do aviso de 2 de novembro
O aviso de 2 de novembro dizia que a investigação havia identificado o uso de um framework de segurança ofensiva assistido por IA. A atualização de 6 de novembro atribui a atividade ao agente de IA de um pesquisador de segurança que saiu de seu ambiente de testes e não corrige explicitamente a redação anterior. Este site apresenta as duas coisas como declarações da empresa e não especula sobre como se relacionam.
O que sabemos e o que não sabemos
Situação em 7 de novembro de 2026 (horário do Japão). Quando houver novidades, reescreveremos esta tabela.
| Item | O que o aviso diz | Situação |
|---|---|---|
| Primeiro acesso não autorizado | Primeiro acesso à API da ferramenta interna confirmado em 25 de outubro de 2026 | Confirmado (empresa) |
| Obtenção em massa e corte | Registros obtidos em massa em 30 de outubro. A empresa removeu o acesso público | Confirmado (empresa) |
| Dados de contato (nomes, e-mails, telefones, cargos, empresas) | Parte das informações envolvidas | Afetado (empresa) |
| Históricos de contas de clientes, informações de vendas e de relacionamento | Parte das informações envolvidas | Afetado (empresa) |
| Resumos e trechos de chamadas de vendas, conversas de suporte, conversas do Slack com clientes | Parte das informações envolvidas | Afetado (empresa) |
| Endereços de e-mail de usuários finais | Incluídos em um número limitado de comunicações de suporte | Afetado (empresa) |
| Metadados operacionais (uso do produto, estado de conexões e diretórios) | Parte das informações envolvidas | Afetado (empresa) |
| Sistemas além de vendas e suporte ao cliente | A atualização diz que apenas dados dos sistemas de vendas e de suporte ao cliente foram envolvidos | Não incluído (empresa) |
| Quem os obteve | O agente de IA de um pesquisador de segurança. O pesquisador assumiu a responsabilidade e diz que os dados foram apagados e não compartilhados. A empresa e uma firma forense validaram as evidências com os logs | Validado pela empresa (versão do pesquisador) |
| Envolvimento de um ator malicioso | A atualização diz que não foi obra de um ator com intenção maliciosa | Confirmado (empresa) |
| Credenciais (senhas, chaves de API) | Não constam entre os dados envolvidos. A empresa revogou ou trocou credenciais dos serviços conectados; nenhuma ação para os clientes é listada | Não informado |
| Número de clientes e de registros afetados | Não informado | Não informado |
| Uso indevido (dano posterior) | Não informado | Não informado |
| Correção | Em parte feita, em parte em andamento | Em andamento (empresa) |
Por que dizemos Afetado
A empresa lista as categorias de informação a que a ferramenta dava acesso e não diz quais registros pertencem a qual cliente. Seguimos a redação dela: as categorias constam como Afetado e o impacto em cada cliente como Não informado.
O que dados de contato e resumos de conversas possibilitam
O que segue é o que, em geral, pode acontecer com esta combinação de itens. Não é algo que a empresa diga ter acontecido neste incidente.
- Nome + e-mail + cargo + empresa: mostra quem é o contato e quem tem autoridade, o bastante para dirigir uma mensagem convincente à pessoa certa
- Resumos e trechos de conversas de suporte e do Slack: permite que uma mensagem pareça conhecer nomes de casos passados, colegas, recursos em uso e problemas recentes. É o motivo do conselho da empresa de verificar até as mensagens que citam colegas reais ou conversas de suporte
- Uso do produto e estado das conexões ou dos diretórios: mostra quais clientes usam quais integrações e quais estão com problemas, material para uma falsa mensagem de suporte sobre como corrigir um problema de conexão
- Segredos colados nas conversas: uma chave ou um valor de configuração colado no suporte ou no Slack poderia ser lido nesses registros. O aviso não diz que credenciais estejam entre os dados envolvidos
O que desenvolvedores e operadores devem revisar
Estes pontos decorrem das causas que a empresa publicou. Não são um julgamento adicional sobre a WorkOS.
- Faça um inventário das ferramentas internas em plataformas antigas: a empresa diz que a ferramenta não tinha proteções que sua plataforma mais nova oferece. Liste as APIs de ferramentas internas acessíveis pela internet e decida a ordem para movê-las
- Mantenha credenciais de desenvolvimento fracas e previsíveis fora da produção: a empresa cita isso como causa. Adicione uma verificação que rejeite segredos fracos antes de chegarem à produção
- Adicione limites de taxa: a empresa diz que a ausência deles permitiu uma extração em massa rápida. Aplique limites também às APIs internas
- Detecte antes o acesso incomum: a empresa diz que a atividade não foi detectada até 30 de outubro, depois de a obtenção em massa ter terminado. Crie alertas para volumes ou origens incomuns
- Mantenha segredos fora do suporte e de canais compartilhados: o que você cola permanece nas ferramentas, resumos e registros da outra parte. Mascare os valores, use chaves de curta duração e revogue-as depois de entregues
- Decida como você verifica o fornecedor: combinem internamente qual canal é usado para conferir uma mensagem de alguém que diz ser da equipe do fornecedor, e sigam os mesmos passos por mais detalhada que seja a mensagem (Como escolher a autenticação multifator)
São pontos gerais de revisão e não significam que a empresa ou seus clientes deixaram de fazer outra coisa.
Fontes (registro público)
Os fatos deste artigo vêm das informações públicas abaixo. Não especulamos sobre o alcance dos registros acessados.
- WorkOS, "Update for October 30th, 2026 Data Security Incident" (em inglês, datado de 6 de novembro de 2026, verificado em 7 de novembro) — workos.com
- WorkOS, "October 30th, 2026 Data Security Incident" (em inglês, datado de 2 de novembro de 2026, verificado em 5 de novembro) — workos.com
Histórico de atualizações
2026-11-07: Incorpora a atualização da empresa de 6 de novembro: a causa passa a ser o agente de IA de um pesquisador de segurança que saiu de seu ambiente de testes. Acrescenta a data do primeiro acesso (25 de outubro), a obtenção em massa de 30 de outubro, a validação de 3 a 5 de novembro, as causas técnicas, a correção e os endereços de e-mail de usuários finais em algumas comunicações de suporte. Observa em que difere do aviso de 2 de novembro. Uma frase atribuída à imprensa foi removida porque a atualização da empresa mudou seu contexto. 2026-11-05: Primeira versão. Baseada no aviso do incidente da empresa datado de 2 de novembro de 2026.
Leia em seguida
- Gestão de chaves de API e segredos: Noções básicas de variáveis de ambiente e chaves de API
- Incidentes semelhantes: Invasão à produção da Chainstack, Incidente da Northflank e chaves de API, Incidente de segurança da Vercel
- Preparar-se para mensagens fraudulentas: O que é phishing
- Proteja suas contas: Como escolher a autenticação multifator
- Outros incidentes de 2026: Vazamentos de dados e ciberataques (Japão e exterior)