WorkOS dit qu’une attaque assistée par IA a atteint son outil de vente, dont des extraits Slack de clients

WorkOS vend la tuyauterie de connexion derrière beaucoup de logiciels d’entreprise : authentification unique (SSO), synchronisation d’annuaires et pages de connexion que d’autres entreprises intègrent à leurs applications. Le 2 novembre 2026, elle a publié un bulletin de sécurité disant qu’une personne est entrée dans un outil interne utilisé par ses équipes de vente et de relation client. Ce qui était accessible, ce sont des renseignements d’affaires sur les clients de WorkOS, et non les connexions des utilisateurs des applications de ces clients. Si votre entreprise est cliente de WorkOS, voici ce qu’elle a dit et ce qu’il faut faire.

Ce qui s’est passé

WorkOS dit avoir détecté le 30 octobre un accès non autorisé à une application interne utilisée par son équipe de vente. Son enquête « a relevé l’utilisation d’un cadre offensif de sécurité assisté par IA pour automatiser la reconnaissance et les tentatives d’exploitation ». Le bulletin ne nomme pas l’outil. Le fondateur et chef de la direction, Michael Grinich, a dit dans une publication sur X que l’attaque faisait appel à ARTEX, un cadre à code source ouvert qui utilise des agents d’IA pour mener des attaques, rapportent Runtime Wire et Cyber Security News.

WorkOS dit avoir coupé l’accès externe à l’application, retenu une firme indépendante d’informatique judiciaire et de réponse aux incidents, et entrepris de revoir les contrôles d’accès de ses autres outils internes. Elle n’a pas dit comment l’attaquant a atteint l’application.

Ce qui était accessible

Le bulletin énumère quatre types de renseignements auxquels l’application touchée donnait accès :

• Coordonnées d’affaires : noms, adresses courriel, numéros de téléphone, titres de poste et entreprises, tirés des systèmes de gestion de la relation client (CRM) de WorkOS
• Renseignements sur les comptes et les relations : historique des comptes clients et notes de vente et de relation client
• Communications avec les clients : résumés et extraits d’appels de vente, d’échanges de soutien et de conversations Slack avec des clients
• Métadonnées opérationnelles : l’utilisation des produits WorkOS par les clients, dont l’usage et l’état de leurs connexions et annuaires

WorkOS précise qu’il s’agit des catégories auxquelles l’outil donnait accès, et qu’elle examine encore quels dossiers ont été touchés pour chaque organisation. Elle dit n’avoir aucune preuve que les données des applications WorkOS ont été consultées, ni que ses services de production ont été atteints ou touchés. Selon son analyse actuelle, seules les données de CRM et de soutien à la clientèle sont en cause. Elle communiquera directement avec les clients touchés.

Pourquoi c’est important

Les personnes dans ces dossiers sont surtout des ingénieurs, des responsables de la sécurité et des acheteurs d’entreprises qui utilisent WorkOS. Ce qui rend ces données sensibles, ce sont les conversations. Un attaquant qui a lu votre vrai fil de soutien ou le résumé de votre appel de vente peut écrire un message qui ressemble exactement au suivi que vous attendiez. WorkOS le souligne elle-même : « Même quand un message fait référence à un vrai collègue ou à une vraie conversation de soutien, vérifiez les demandes inattendues avant de communiquer des renseignements sensibles ou d’agir. »

Ce n’est pas non plus la seule divulgation récente à décrire des outils d’attaque pilotés par l’IA. Microsoft a dit le 21 octobre qu’un groupe aligné sur la Chine a utilisé ARTEX pour automatiser sa campagne contre l’application de sauvegarde Microsoft 365 de ConnectWise. Le 30 octobre, Chainalysis a dit qu’une personne de l’extérieur a utilisé des « techniques agentiques offensives » pour atteindre ses outils internes et voir des noms et des courriels de clients. Ni WorkOS ni aucun chercheur n’a dit que les mêmes personnes sont derrière ces incidents. Le point commun, c’est que l’automatisation permet aux attaquants de sonder rapidement de nombreux outils internes, et que les systèmes de vente et de soutien ont souvent des contrôles plus faibles que la production.

Si votre entreprise utilise WorkOS

1. Surveillez le message de WorkOS avec les résultats pour votre organisation. Ne vous fiez pas à une imitation : vérifiez qu’il vient bien de WorkOS par un contact que vous avez déjà.
2. Traitez avec prudence les demandes inattendues qui mentionnent d’anciennes conversations avec WorkOS, surtout celles qui demandent des identifiants, un changement de réglage SSO ou d’annuaire, un nouvel administrateur ou un appel urgent. Confirmez par un canal que vous utilisez déjà.
3. Repensez à ce qui a été échangé avec WorkOS dans Slack ou au soutien. Si une clé d’API, un secret client, un mot de passe ou un autre identifiant a déjà été collé dans ces conversations, remplacez-le. WorkOS n’a pas dit qu’il y en avait d’exposés; c’est simplement une bonne pratique maintenant que des extraits de ces échanges étaient accessibles.
4. Vérifiez votre tableau de bord WorkOS et votre fournisseur d’identité pour repérer des administrateurs, des connexions ou des URL de redirection que vous ne reconnaissez pas. WorkOS dit que la production n’a pas été touchée, alors c’est une vérification rapide, pas une urgence.
5. Prévenez les personnes inscrites comme vos contacts chez WorkOS (souvent les responsables de l’ingénierie, de l’informatique et de la sécurité) pour qu’elles s’attendent à de l’hameçonnage de suivi convaincant.

Si vous utilisez simplement une application qui se connecte avec WorkOS

Vous n’avez rien à changer. WorkOS dit que l’outil touché contenait ses propres dossiers d’affaires sur ses clients, et qu’elle n’a trouvé aucune preuve que les données des applications, celles qui vous concernent comme utilisateur final, ont été consultées.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Les alias de courriel de Frame vous permettent aussi de donner à chaque fournisseur sa propre adresse, pour qu’une fuite n’atteigne pas tout. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• Chainalysis dit qu’un intrus a atteint ses outils internes : une autre entreprise qui a divulgué la même semaine un accès à ses systèmes internes mené par des agents.
• L’application de sauvegarde Microsoft 365 de ConnectWise : la campagne qui, selon Microsoft, a utilisé ARTEX pour automatiser ses attaques.

Sources

• WorkOS, « October 30th, 2026 Data Security Incident » (en anglais), 2 novembre 2026
• Runtime Wire, « WorkOS says ARTEX attack accessed internal sales tool » (en anglais), 2 novembre 2026
• Cyber Security News, « Hackers Use ARTEX AI to Breach WorkOS and Access Customer Slack Conversations » (en anglais), 3 novembre 2026
• Microsoft Threat Intelligence, « AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise » (en anglais), 21 octobre 2026