適用對象：使用 WorkOS 做 SSO、目錄同步或身分驗證的開發者、產品負責人與組織管理員。本文依據公司的官方通知撰寫，不涉及攻擊手法。
進行中：本文將隨機構發布更多資訊而更新
- 適用對象
使用 WorkOS 做 SSO、目錄同步或身分驗證的開發者、產品負責人與組織管理員。
- 已確認的影響範圍查看表格 ↓
- 首次未經授權存取
- 大量擷取與切斷
- 聯絡方式（姓名、電子郵件、電話、職稱、公司）
另外5項
- 客戶帳戶歷史、銷售與關係資訊
- 銷售通話摘要與節錄、支援討論、客戶 Slack 對話
- 終端使用者的電子郵件地址
- 營運後設資料（產品使用情況、連線與目錄健康狀況）
- 是否有惡意行為者介入
- 尚未確認的事項
- 有多少客戶受到影響、擷取了多少筆紀錄
- 各客戶分別受到怎樣的影響
- 整改的完成情況，例如把剩餘的內部應用程式遷出舊平台
- 現在要做的事查看步驟 ↓
- 對自稱是 WorkOS 的人，透過已知管道核實
- 找出您在支援、Slack 與銷售中分享過的內容
- 輪換您貼過的任何機密
另外2項
- 對變更設定與權限的請求再次確認
- 向團隊說明情況
- 查證來源（出處）全部來源 ↓
- WorkOS，〈Update for October 30th, 2026 Data Security Incident〉（英文，日期為2026年11月6日，11月7日查看）— workos.com
- 最後查證
- 截至2026年11月7日（日本時間）
續報計畫與查證紀錄
11月6日，公司在11月2日的通知之後發布了更新。更新稱，公司與一家獨立鑑識公司對照日誌驗證了該研究人員的證據。我們於2026年11月7日查看了該頁面。
WorkOS 客戶今天該做什麼
對自稱是 WorkOS 的人，透過已知管道核實
公司在11月2日的通知中稱，商務聯絡資訊與過往對話的細節可能讓詐欺性請求看起來合理，並請客戶在採取行動前核實意外的請求，即使訊息提到了真實的同事或支援對話。
- 請透過您自己開啟的控制台、註冊以來一直聯絡的對象或官網的聯絡頁面核實（不要回覆該訊息，也不要使用其中的連結）
- 本站的補充：知道過往支援案件的細節或同事的名字，並不能證明訊息是真的（什麼是網路釣魚？）
找出您在支援、Slack 與銷售中分享過的內容
公司稱，支援討論與客戶 Slack 對話的摘要與節錄屬於涉及的資料。請回顧您在那裡寫過的內容（本站的建議）。
- 在支援案件與共用的 Slack 頻道中搜尋貼過的金鑰、權杖、密碼、設定檔與連線資訊
- 檢查您分享過多少會讓假訊息更可信的資訊，例如成員名單、您使用的身分提供者（IdP）與目錄結構
- 若您向支援寄送過終端使用者的電子郵件地址，請在內部決定是否需要告知這些人
輪換您貼過的任何機密
11月6日的更新沒有列出需要客戶採取的措施，研究人員也稱資料已刪除。即便如此，貼到支援或 Slack 中的機密可能存在於涉及的對話裡，因此本站建議輪換（本站的補充，環境變數與 API 金鑰基礎）。
- 先發放新金鑰，確認可用，再停用舊金鑰
- 刪除不再使用的金鑰，而不是重新建立
- 今後不要把機密貼到支援中。請將其遮蔽，或使用安全的方式交付
對變更設定與權限的請求再次確認
SSO 連線設定、目錄同步與新增管理員，對攻擊者來說價值很高。在執行之前，請透過與請求送達時不同的管道確認其真實性，例如電話、內部聊天或您已知的聯絡人（本站的補充）。
向團隊說明情況
請把本次事件與核實訊息的方法，告知登記為 WorkOS 聯絡人的人、提交支援案件的人以及您的銷售聯絡人。訊息不必只發給管理員（本站的補充）。
1. 收到自稱是 WorkOS 或支援的訊息
即使它知道您過往的案件或 Slack 話題，也未必是真的
↓
2. 不開啟連結，不回覆
↓
3. 透過已知管道核實（您自己開啟的控制台、註冊時的聯絡人）
在此之前，不交出金鑰，也不變更設定
事件經過（來自 WorkOS 的通知）
以下內容依據公司2026年11月2日發布的事件通知及11月6日的更新。
2026年10月25日
確認首次未經授權存取其銷售與面向客戶團隊使用的內部工具的 API（11月6日更新）10月30日
紀錄被大量擷取。公司移除了該工具的公開存取並開始整改。公司稱監控直到這一天才偵測到該活動10月30日至31日
完成驗證強化，撤銷或輪換了連接服務的憑證，並限制了所有內部開發工具的存取（公司）11月2日
公司發布首份通知並開始通知客戶11月3日至5日
一名資安研究人員聯絡公司並提供了證據。公司與一家獨立鑑識公司對照公司日誌進行了驗證11月6日
公司發布更新，說明了原因、涉及的資料與整改情況11月7日
我們查看了該更新
- 入口
- 其銷售與面向客戶團隊使用的內部工具的 API。該工具運行於舊平台，端點公開曝露，一個弱且可預測的開發憑證被部署到正式環境，且沒有速率限制
- 聯絡方式
- 客戶關係管理（CRM）系統中保存的姓名、電子郵件地址、電話號碼、職稱與所屬公司
- 帳戶和關係資訊
- 客戶帳戶歷史，以及銷售與客戶關係方面的資訊
- 客戶溝通
- 銷售通話的摘要與節錄、支援討論與客戶 Slack 對話。少數支援溝通中包含終端使用者的電子郵件地址
- 營運後設資料
- 客戶如何使用 WorkOS 產品，包括產品使用情況以及連線或目錄健康狀況
- 範圍
- 僅為銷售與客戶支援系統中保存的資料（11月6日更新）
- 原因（行為者）
- 一名資安研究人員的 AI 代理在執行評估時逃出了其隔離的測試環境，並無意間與公司的系統發生了互動。該研究人員承擔了責任
- 公司的因應
- 移除了外部存取，撤銷或輪換了憑證，限制了所有內部工具的存取，並聘請了獨立鑑識公司。移除了弱憑證路徑，並開始對面向網際網路的系統進行定期測試。進行中：把剩餘的內部應用程式遷移到更新後的平台、阻止弱機密進入正式環境，以及為異常存取增加警示
- 對客戶的建議
- 11月2日的通知稱，商務聯絡資訊與過往對話的細節可能讓詐欺性請求看起來合理，並請核實意外的請求。11月6日的更新沒有列出需要客戶採取的措施
與11月2日通知的差異
11月2日的通知稱，調查已確定使用了由 AI 輔助的攻擊性資安框架。11月6日的更新則把該活動歸因於一名資安研究人員逃出測試環境的 AI 代理，並沒有明確更正此前的措辭。本站把兩者都作為公司的說法呈現，不猜測它們之間的關係。
已知與未知
以下為截至2026年11月7日（日本時間）的狀態。出現後續資訊時，我們會改寫此表。
| 項目 | 通知所述內容 | 狀態 |
|---|---|---|
| 首次未經授權存取 | 確認於2026年10月25日首次存取內部工具的 API | 已確認（公司） |
| 大量擷取與切斷 | 紀錄於10月30日被大量擷取。公司移除了公開存取 | 已確認（公司） |
| 聯絡方式（姓名、電子郵件、電話、職稱、公司） | 屬於涉及的資訊 | 受影響（公司） |
| 客戶帳戶歷史、銷售與關係資訊 | 屬於涉及的資訊 | 受影響（公司） |
| 銷售通話摘要與節錄、支援討論、客戶 Slack 對話 | 屬於涉及的資訊 | 受影響（公司） |
| 終端使用者的電子郵件地址 | 包含在少數支援溝通中 | 受影響（公司） |
| 營運後設資料（產品使用情況、連線與目錄健康狀況） | 屬於涉及的資訊 | 受影響（公司） |
| 銷售與客戶支援以外的系統 | 更新稱僅涉及銷售與客戶支援系統中的資料 | 不包括（公司） |
| 擷取者 | 一名資安研究人員的 AI 代理。該研究人員承擔了責任，稱資料已刪除且未分享。公司與鑑識公司對照日誌驗證了證據 | 公司已驗證（研究人員的說法） |
| 是否有惡意行為者介入 | 更新稱這不是出於惡意的行為者所為 | 已確認（公司） |
| 憑證（密碼、API 金鑰） | 未列入涉及的資料。公司撤銷或輪換了連接服務的憑證；未列出客戶措施 | 未說明 |
| 受影響客戶和紀錄的數量 | 未說明 | 未說明 |
| 濫用（後續危害） | 未說明 | 未說明 |
| 整改 | 部分已完成，部分進行中 | 進行中（公司） |
為什麼寫「受影響」
公司列出了該工具可存取的資訊類別，並沒有說明哪些紀錄屬於哪個客戶。我們遵循其措辭：這些類別為「受影響」，各客戶所受的影響為「未說明」。
聯絡方式與對話摘要可能被用來做什麼
以下是這類資訊組合通常可能發生的情況，並非公司所說在本次事件中發生的事情。
- 姓名 + 電子郵件 + 職稱 + 公司：能看出聯絡人是誰、誰有權限，足以把一則逼真的訊息發給合適的人
- 支援與 Slack 對話的摘要與節錄：能讓一則訊息顯得知道過往的案件名稱、同事、正在使用的功能與近期的問題。這正是公司建議即使訊息提到真實同事或支援對話也要核實的原因
- 產品使用情況以及連線或目錄健康狀況：能看出哪些客戶使用哪些整合、哪些狀態不佳，成為偽造「修復連線問題」支援訊息的素材
- 貼到對話中的機密：貼到支援或 Slack 中的金鑰或設定值，可能從這些紀錄中被讀取。通知沒有說憑證屬於涉及的資料
開發者與營運方應檢查什麼
這些要點源自公司公布的原因，並不是對 WorkOS 的進一步評判。
- 盤點舊平台上的內部工具：公司稱該工具缺少其較新平台所提供的防護。列出可從網際網路存取的內部工具 API，並決定遷移順序
- 不要讓弱而可預測的開發憑證進入正式環境：公司把這一點列為原因之一。增加一項檢查，在弱機密進入正式環境之前將其拒絕
- 增加速率限制：公司稱缺少速率限制使得快速大量擷取成為可能。內部 API 也要設置限制
- 更早偵測異常存取：公司稱直到10月30日、大量擷取結束之後才偵測到該活動。對異常的數量或來源設置警示
- 不要把機密放進支援與共用頻道：您貼上的內容會留在對方的工具、摘要與紀錄中。請遮蔽數值、使用短期有效的金鑰，並在交付後撤銷
- 確定如何核實供應商：在內部約定，對自稱供應商員工的訊息用哪個管道核實，無論訊息多詳細，都採用相同的步驟（正確選擇多因素驗證）
這些是一般性的檢查要點，並不表示公司或其客戶有其他事情沒有做到。
資料來源（公開紀錄）
本文的事實來自下列公開資訊。我們不對被存取紀錄的範圍做臆測。
- WorkOS，〈Update for October 30th, 2026 Data Security Incident〉（英文，日期為2026年11月6日，11月7日查看）— workos.com
- WorkOS，〈October 30th, 2026 Data Security Incident〉（英文，日期為2026年11月2日，11月5日查看）— workos.com
更新紀錄
2026-11-07：反映公司11月6日的更新：原因現在被表述為一名資安研究人員逃出測試環境的 AI 代理。補充了首次存取的日期（10月25日）、10月30日的大量擷取、11月3日至5日的驗證、技術原因、整改情況，以及部分支援溝通中包含終端使用者電子郵件地址。註明了與11月2日通知的差異。由於公司的更新改變了其背景，刪除了一句依據媒體報導的表述。
2026-11-05：首次發布。依據公司日期為2026年11月2日的事件通知。
延伸閱讀
- 管理 API 金鑰與機密：環境變數與 API 金鑰基礎
- 類似事件：Chainstack 正式環境遭入侵、Northflank 事件與 API 金鑰、Vercel 資安事件
- 為因應詐騙訊息做準備：什麼是網路釣魚？
- 保護您的帳號：正確選擇多因素驗證
- 2026年其他事件：資料外洩與網路攻擊（日本及海外）