La plataforma WorkOS sufrió una filtración de datos donde un atacante accedió a contactos comerciales y resúmenes de comunicaciones con clientes. El ataque fue automatizado mediante el marco de seguridad ofensiva basado en IA llamado ARTEX AI. La empresa confirmó que los servicios de producción y los datos de las aplicaciones no fueron afectados, y ya ha contenido la intrusión.





La plataforma para desarrolladores WorkOS sufrió una brecha de datos después de que un actor de amenazas accediera a registros de contactos comerciales y resúmenes de comunicaciones de clientes.

Según la empresa, el atacante utilizó un marco de seguridad ofensiva de IA para automatizar el reconocimiento y los intentos de explotación.

Basándose en la evidencia de la investigación, no se accedió ni se vieron afectados los datos de las aplicaciones de WorkOS ni los servicios de producción.


WorkOS es una empresa de infraestructura para desarrolladores que proporciona APIs, SDKs y herramientas para integrar servicios como la autenticación empresarial, el inicio de sesión único (SSO), la gestión de usuarios y la gestión de identidad en las aplicaciones.

Según su sitio web, al menos 3,000 empresas [WorkOS Customers] utilizan sus servicios, incluyendo OpenAI, Anthropic, Cursor, Perplexity, Snowflake, Plaid, Webglow y Netlify.

“El 30 de octubre de 2026, identificamos un acceso no autorizado a una aplicación interna de WorkOS utilizada por nuestro equipo de ventas”, afirma la empresa en una alerta de incidente [alerta de incidente].

Los datos accedidos por el atacante incluyen:

* Detalles de contacto comercial (nombres, direcciones de correo electrónico, cargos y afiliaciones a empresas de los sistemas CRM)
* Historiales de cuentas de clientes (uso de productos y estado de la conexión o del directorio)
* Comunicaciones de clientes (resúmenes y extractos de llamadas de ventas, discusiones de soporte y conversaciones de Slack de clientes)
* Información de cuentas comerciales y relaciones (historiales de cuentas, información sobre ventas y relación con el cliente)

Tras detectar la intrusión, WorkOS deshabilitó el acceso externo a la aplicación afectada y revisó sus controles de acceso en las herramientas internas.

La empresa también contrató a una firma independiente de respuesta a incidentes y forense para rastrear la actividad no autorizada y determinar su impacto total.

La empresa prometió notificar directamente a los clientes afectados y advirtió a sus usuarios que permanezcan vigilantes ante intentos de phishing o ingeniería social que aprovechen la información expuesta.

artex ai probablemente impulsó el ataque

El anuncio de WorkOS dice que el ataque utilizó un marco de seguridad ofensiva impulsado por IA para automatizar el reconocimiento y los intentos de explotación.

El fundador de la empresa, Michael Grinich, compartió más detalles [en X], afirmando que el atacante utilizó la suite de pruebas de penetración ARTEX AI que ha sido observada en múltiples incidentes este año.

Lanzada a principios de año por desarrolladores chinos, la plataforma estaba disponible como un proyecto de código abierto para la seguridad ofensiva.

ARTEX AI pasó a ser privada después de ser utilizada en ataques contra bancos surcoreanos, pero varios forks de su código siguen estando disponibles.

Más recientemente, CrowdStrike reveló que el grupo de ciberespionaje “Vapor Panda” utilizó el marco de pentesting en una campaña global dirigida a 200 organizaciones.

Anteriormente, la organización de ciberseguridad sin fines de lucro DIVD también reveló que el mismo marco impulsó los ataques que sufrió el pasado septiembre.

Grinich explicó [en X] que el equipo de investigación identificó agentes de usuario como ‘artex-enrich/1.0’ y ‘norma/0.4’ en las solicitudes web del actor de amenazas.

El fundador aseguró que el incidente de ciberseguridad ha sido completamente contenido y prometió compartir más información sobre el ataque una vez que finalice la investigación.

Fuente:
BleepingComputer