Для: разработчиков, владельцев продуктов и администраторов организаций, использующих WorkOS для SSO, синхронизации каталогов или аутентификации. Статья основана на официальном уведомлении компании и не описывает методы атак.
Развивается: статья будет обновляться по мере публикации организацией новых сведений
- Кого это касается
разработчиков, владельцев продуктов и администраторов организаций, использующих WorkOS для SSO, синхронизации каталогов или аутентификации.
- ПодтвержденоСмотреть таблицу ↓
- Первый несанкционированный доступ
- Массовая выгрузка и отключение
- Контактные данные (имена, адреса электронной почты, телефоны, должности, компании)
Ещё 5
- Истории аккаунтов клиентов, информация о продажах и отношениях
- Сводки и фрагменты звонков с продажами, обсуждения в поддержке, разговоры клиентов в Slack
- Адреса электронной почты конечных пользователей
- Операционные метаданные (использование продукта, состояние подключений и каталогов)
- Участие субъекта со злым умыслом
- Пока не подтверждено
- Сколько клиентов затронуто и сколько записей выгружено
- Как затронут каждый клиент
- Завершение устранения последствий, например перенос оставшихся внутренних приложений с устаревшей платформы
- Что сделать сейчасСмотреть шаги ↓
- Проверяйте любого, кто называет себя WorkOS, по известному вам каналу
- Найдите, чем вы делились в поддержке, Slack и с продажами
- Замените любой вставленный секрет
Ещё 2
- Перепроверяйте изменения настроек и запросы прав
- Предупредите свою команду
- Где проверить (источник)Все источники ↓
- WorkOS, «Update for October 30th, 2026 Data Security Incident» (на английском языке, от 6 ноября 2026, проверено 7 ноября)
- Последняя проверка
- По состоянию на 7 ноября 2026 года (по японскому времени)
Планы обновлений и что мы проверили
6 ноября компания опубликовала обновление к уведомлению от 2 ноября. В нем сказано, что компания и независимая криминалистическая фирма сверили доказательства исследователя со своими журналами. Мы проверили страницу 7 ноября 2026 года.
Что делать клиентам WorkOS сегодня
Проверяйте любого, кто называет себя WorkOS, по известному вам каналу
В уведомлении от 2 ноября компания сказала, что деловые контактные данные и подробности прошлых разговоров могут сделать мошеннические запросы правдоподобными, и попросила клиентов проверять неожиданные запросы, прежде чем действовать, даже если сообщение упоминает реального коллегу или разговор с поддержкой.
- Проверяйте через панель, которую вы открыли сами, через контакт, который у вас со времени регистрации, или через страницу контактов на официальном сайте (а не ответом на сообщение или его ссылками)
- Дополнение этого сайта: знание подробностей прошлого обращения в поддержку или имени коллеги не доказывает подлинность сообщения (Что такое фишинг)
Найдите, чем вы делились в поддержке, Slack и с продажами
Компания говорит, что сводки и фрагменты обсуждений в поддержке и разговоров клиентов в Slack входят в затронутые данные. Перечитайте, что вы там писали (совет этого сайта).
- Поищите в обращениях в поддержку и общих каналах Slack вставленные ключи, токены, пароли, файлы конфигурации и данные подключения
- Проверьте, насколько широко вы делились тем, что делает поддельные сообщения правдоподобнее: списками участников, используемым провайдером удостоверений (IdP) и структурой каталога
- Если вы отправляли в поддержку адреса электронной почты конечных пользователей, решите внутри компании, нужно ли сообщить этим людям
Замените любой вставленный секрет
Обновление от 6 ноября не указывает действий для клиентов, а исследователь говорит, что данные удалены. Тем не менее секрет, вставленный в поддержку или Slack, может находиться в затронутых разговорах, поэтому этот сайт советует его заменить (дополнение этого сайта, Основы переменных окружения и ключей API).
- Сначала распространите новый ключ, убедитесь, что он работает, затем отключите старый
- Удаляйте ключи, которыми больше не пользуетесь, а не создавайте их заново
- В дальнейшем не вставляйте секреты в поддержку. Маскируйте их или используйте безопасный способ передачи
Перепроверяйте изменения настроек и запросы прав
Настройки подключения SSO, синхронизация каталогов и добавление администраторов — ценные для атакующего действия. Прежде чем выполнять запрос, подтвердите его подлинность по другому каналу, чем тот, по которому он пришел, например по телефону, во внутреннем чате или через известный вам контакт (дополнение этого сайта).
Предупредите свою команду
Расскажите об инциденте и о способе проверки сообщений тем, кто записан контактами WorkOS, кто открывает обращения в поддержку, и вашим контактам по продажам. Сообщения не обязательно идут только администраторам (дополнение этого сайта).
1. Приходит сообщение от имени WorkOS или поддержки
Даже если оно знает ваши прошлые обращения или темы в Slack, оно может быть ненастоящим
↓
2. Не открывайте ссылки, не отвечайте
↓
3. Проверьте по известному каналу (панель, открытая вами самостоятельно, контакт со времени регистрации)
До этого не передавайте ключей и не меняйте настройки
Что произошло (из уведомления WorkOS)
Ниже изложено по уведомлению об инциденте, опубликованному компанией 2 ноября 2026 года, и ее обновлению от 6 ноября.
25 октября 2026
Впервые подтвержден несанкционированный доступ к API внутреннего инструмента, которым пользуются команды продаж и работы с клиентами (обновление от 6 ноября)30 октября
Записи выгружены массово. Компания убрала публичный доступ к инструменту и начала устранение последствий. Она говорит, что мониторинг не обнаружил активность до этой даты30–31 октября
Защищена аутентификация, отозваны или заменены учетные данные подключенных сервисов, ограничен доступ ко всем инструментам собственной разработки (компания)2 ноября
Компания опубликовала первое уведомление и начала уведомлять клиентов3–5 ноября
Исследователь безопасности связался с компанией и предоставил доказательства. Компания и независимая криминалистическая фирма сверили их с журналами компании6 ноября
Компания опубликовала обновление с описанием причины, затронутых данных и мер по устранению7 ноября
Мы проверили обновление
- Точка входа
- API внутреннего инструмента, которым пользуются команды продаж и работы с клиентами. Он работал на устаревшей платформе, имел публично открытые конечные точки, слабую предсказуемую учетную запись разработки, развернутую в продакшене, и не ограничивал частоту запросов
- Контактные данные
- Имена, адреса электронной почты, телефоны, должности и места работы из системы управления взаимоотношениями с клиентами (CRM)
- Информация об аккаунтах и отношениях
- Истории аккаунтов клиентов и информация о продажах и отношениях с клиентами
- Коммуникации с клиентами
- Сводки и фрагменты звонков с продажами, обсуждений в поддержке и разговоров клиентов в Slack. В ограниченном числе обращений в поддержку были адреса электронной почты конечных пользователей
- Операционные метаданные
- Как клиенты используют продукты WorkOS, включая использование продукта и состояние подключений или каталогов
- Объем
- Только данные в системах продаж и поддержки клиентов (обновление от 6 ноября)
- Причина (субъект)
- ИИ-агент исследователя безопасности, выполняя оценки, вышел из изолированной тестовой среды и непреднамеренно взаимодействовал с системами компании. Исследователь признал ответственность
- Реакция компании
- Убран внешний доступ, учетные данные отозваны или заменены, ограничен доступ ко всем внутренним инструментам, привлечена независимая криминалистическая фирма. Слабый путь учетных данных убран, начато регулярное тестирование систем, доступных из интернета. В процессе: перенос оставшихся внутренних приложений на обновленную платформу, блокировка слабых секретов в продакшене и добавление оповещений о необычном доступе
- Рекомендации клиентам
- В уведомлении от 2 ноября сказано, что деловые контактные данные и подробности прошлых разговоров могут сделать мошеннические запросы правдоподобными, и нужно проверять неожиданные запросы. Обновление от 6 ноября не указывает действий для клиентов
Чем это отличается от уведомления от 2 ноября
В уведомлении от 2 ноября говорилось, что расследование выявило использование ИИ-поддерживаемой наступательной системы безопасности. Обновление от 6 ноября приписывает активность ИИ-агенту исследователя безопасности, вышедшему из тестовой среды, и явно не исправляет прежнюю формулировку. Этот сайт приводит обе как заявления компании и не гадает об их соотношении.
Что известно и что пока нет
Состояние на 7 ноября 2026 года (по японскому времени). Когда появятся продолжения, мы перепишем эту таблицу.
| Пункт | Что говорится в уведомлении | Статус |
|---|---|---|
| Первый несанкционированный доступ | Первый доступ к API внутреннего инструмента подтвержден 25 октября 2026 года | Подтверждено (компанией) |
| Массовая выгрузка и отключение | Записи выгружены массово 30 октября. Компания убрала публичный доступ | Подтверждено (компанией) |
| Контактные данные (имена, адреса электронной почты, телефоны, должности, компании) | Часть затронутой информации | Затронуто (компания) |
| Истории аккаунтов клиентов, информация о продажах и отношениях | Часть затронутой информации | Затронуто (компания) |
| Сводки и фрагменты звонков с продажами, обсуждения в поддержке, разговоры клиентов в Slack | Часть затронутой информации | Затронуто (компания) |
| Адреса электронной почты конечных пользователей | Были в ограниченном числе обращений в поддержку | Затронуто (компания) |
| Операционные метаданные (использование продукта, состояние подключений и каталогов) | Часть затронутой информации | Затронуто (компания) |
| Системы, кроме продаж и поддержки клиентов | Обновление сообщает, что затронуты только данные в системах продаж и поддержки клиентов | Не входили (компания) |
| Кто выгрузил | ИИ-агент исследователя безопасности. Исследователь признал ответственность, говорит, что данные удалены и не передавались. Компания и криминалистическая фирма сверили доказательства с журналами | Проверено компанией (по словам исследователя) |
| Участие субъекта со злым умыслом | Обновление сообщает, что это не было делом субъекта со злым умыслом | Подтверждено (компанией) |
| Учетные данные (пароли, ключи API) | Не названы среди затронутых данных. Компания отозвала или заменила учетные данные подключенных сервисов; действий для клиентов не указано | Не указано |
| Число затронутых клиентов и записей | Не указано | Не указано |
| Злоупотребления (последующий ущерб) | Не указано | Не указано |
| Устранение последствий | Частично выполнено, частично в процессе | В процессе (компания) |
Почему мы пишем «Затронуто»
Компания перечисляет категории информации, доступ к которой давал инструмент, и не говорит, какие записи принадлежат каким клиентам. Мы следуем ее формулировке: категории — «Затронуто», а влияние на каждого клиента — «Не указано».
Что позволяют контактные данные и сводки разговоров
Ниже описано то, что в целом может происходить с таким сочетанием данных. Компания не говорит, что это произошло в данном инциденте.
- Имя + адрес электронной почты + должность + компания: показывает, кто контакт и у кого есть полномочия, чего достаточно, чтобы адресовать убедительное сообщение нужному человеку
- Сводки и фрагменты разговоров в поддержке и Slack: позволяют сообщению выглядеть так, будто оно знает названия прошлых обращений, коллег, используемые функции и недавние проблемы. Именно поэтому компания советует проверять даже сообщения, упоминающие реальных коллег или разговоры с поддержкой
- Использование продукта и состояние подключений или каталогов: показывает, какие клиенты пользуются какими интеграциями и какие из них нездоровы, — материал для поддельного сообщения поддержки об исправлении проблемы с подключением
- Секреты, вставленные в разговоры: ключ или значение настройки, вставленные в поддержку или Slack, можно прочитать из этих записей. Уведомление не говорит, что учетные данные входят в затронутые данные
Что стоит пересмотреть разработчикам и операторам
Эти пункты вытекают из причин, названных компанией. Это не дополнительная оценка WorkOS.
- Составьте перечень внутренних инструментов на устаревших платформах: компания говорит, что у этого инструмента не было защит, которые есть на ее новой платформе. Перечислите API внутренних инструментов, доступные из интернета, и определите порядок их переноса
- Не допускайте слабых предсказуемых учетных данных разработки в продакшен: компания называет это причиной. Добавьте проверку, которая отклоняет слабые секреты, прежде чем они попадут в продакшен
- Добавьте ограничение частоты запросов: компания говорит, что его отсутствие позволило быстро выгрузить данные массово. Применяйте лимиты и к внутренним API
- Обнаруживайте необычный доступ раньше: компания говорит, что активность не обнаружили до 30 октября, когда массовая выгрузка уже закончилась. Настройте оповещения о необычных объемах или источниках
- Не держите секреты в поддержке и общих каналах: то, что вы вставили, остается в инструментах, сводках и записях другой стороны. Маскируйте значения, используйте недолговечные ключи и отзывайте их после передачи
- Решите, как вы проверяете поставщика: договоритесь внутри, по какому каналу проверяется сообщение от человека, называющего себя сотрудником поставщика, и применяйте одни и те же шаги, как бы подробно ни было сообщение (Выбор многофакторной аутентификации)
Это общие пункты проверки и они не означают, что компания или ее клиенты не сделали чего-то еще.
Источники (публичные сведения)
Факты в этой статье взяты из следующей публичной информации. Мы не гадаем об объеме затронутых записей.
- WorkOS, «Update for October 30th, 2026 Data Security Incident» (на английском языке, от 6 ноября 2026, проверено 7 ноября) — workos.com
- WorkOS, «October 30th, 2026 Data Security Incident» (на английском языке, от 2 ноября 2026, проверено 5 ноября) — workos.com
История обновлений
2026-11-07: Учтено обновление компании от 6 ноября: причина теперь названа как ИИ-агент исследователя безопасности, вышедший из тестовой среды. Добавлены дата первого доступа (25 октября), массовая выгрузка 30 октября, проверка 3–5 ноября, технические причины, меры по устранению и адреса электронной почты конечных пользователей в части обращений в поддержку. Отмечено, чем это отличается от уведомления от 2 ноября. Удалено одно предложение со ссылкой на прессу, поскольку обновление компании изменило его контекст. 2026-11-05: Первая версия. Основана на уведомлении компании об инциденте от 2 ноября 2026 года.
Читайте далее
- Управление ключами API и секретами: Основы переменных окружения и ключей API
- Похожие инциденты: Взлом продакшена Chainstack, Инцидент Northflank и ключи API, Инцидент безопасности Vercel
- Подготовка к мошенническим сообщениям: Что такое фишинг
- Защита аккаунтов: Выбор многофакторной аутентификации
- Другие инциденты 2026 года: Утечки данных и кибератаки (Япония и зарубежье)