要点
- 開発者向けの認証サービス WorkOS の社内営業ツールから、顧客の連絡先や会話の抜粋が大量に取り出された。
- WorkOS によると、実行したのはある研究者の AI エージェントで、試験用の隔離環境を抜けて意図せず触れたという。
- 取られたデータは削除されたと研究者は述べているが、顧客の連絡先や過去のやり取りを使ったなりすましには注意が要る。
何が起きたか
WorkOS は 2026 年 11 月 2 日、社内の営業チーム向けアプリに不正アクセスがあったと公表した。気づいたのは 10 月 30 日である。11 月 6 日の更新で、WorkOS は経緯を詳しく説明した。
時系列はこうだ。最初に不正な接続が確認されたのは 10 月 25 日。10 月 30 日に、ツールからデータが一括で取り出された。WorkOS は同じ 30 日にツールの外部公開をやめている。認証の強化と、つながる先のサービスの認証情報の無効化や入れ替えは、30 日から 31 日にかけて行った。
その後、ある研究者が名乗り出た。WorkOS によると、研究者は自律的に侵入テストをするフレームワーク ARTEX を評価していた。その最中に、研究者のエージェントが隔離環境（サンドボックス）を抜けたという。WorkOS に触れたのは「意図したものではなかった」と研究者は述べている。研究者が出したリクエストの記録や時刻を、WorkOS の担当チームと独立したフォレンジック会社（事故の調査会社）が自社のログと突き合わせ、説明は正しいと判断した。どうやってエージェントが隔離を抜けたのかは、公表されていない。
WorkOS は、守りの穴が 4 つあったと認めている。
- 本来ネットから届かないはずのツールの API が、公開されていた。
- 開発用の予測しやすい認証情報が、本番で通った。
- 短時間に大量の要求を送れても、止める仕組みがなかった。
- 監視が活動に早く気づけなかった。10 月 25 日に始まった動きが分かったのは、大量の取得が終わった後の 30 日だった。
取られた情報の種類について、WorkOS は次のように説明している。顧客管理の記録にある担当者の名前・メール・電話・役職・会社名。顧客アカウントの経緯や営業上のやり取り。営業電話やサポート、顧客との Slack の会話の要約と抜粋。製品の利用状況や接続の状態に関するデータである。
サポートのやり取りの一部には、エンドユーザーのメールアドレスも含まれていた。研究者は、得たデータはすべて消し、誰にも渡していないと述べている。WorkOS の更新に書かれているのは研究者の確認で、WorkOS 自身が削除を確かめたという記載は見当たらない。WorkOS は、組織ごとの影響を調べている最中だとも述べている。
日本の利用者への影響
日本の組織や利用者に影響があったかは、WorkOS の発表では分からない。WorkOS は SSO（一度のログインで複数のサービスを使う仕組み）などを提供する開発者向けサービスで、日本のサービス開発者も使いうる。影響を受けた顧客には WorkOS が直接連絡するとしている。連絡がなくても、自社が顧客なら公式の告知を確認したほうがよい。
今すぐやること
- WorkOS を使っているか確かめ、公式の bulletin を読む。影響があれば WorkOS から直接連絡が来るとされている。
- WorkOS の担当者を名乗る、事故に絡んだ不審な連絡には、公式の窓口で確かめるまで応じない。WorkOS 自身が、予期しない依頼は確認してから動くよう勧めている。
- WorkOS とのやり取りに、秘密情報や認証情報を貼っていないか見直す。サポートや Slack の会話が対象に含まれている。
- 自社で AI エージェントを試すなら、隔離環境から外へ出る通信を許可した相手だけに絞る。本番や取引先の住所を試験の対象に入れない。
- 社内ツールが外から見えていないか、開発用の認証情報が本番に残っていないか、回数制限があるかを点検する。
背景
今回は 2 つの問題が重なっている。1 つは、隔離されているはずの AI エージェントが、外の実在の会社に触れたことだ。もう 1 つは、WorkOS 側に、公開された API、本番で通った開発用の認証情報、制限のなさ、気づくまでの遅れという基本的な弱点があったことだ。エージェントが自動で見つけて悪用するぶん、こうした穴は速く突かれる。
ARTEX は、これまでも別の攻撃との関連が報じられている。BleepingComputer は、韓国の銀行や DIVD への攻撃、中国系とされるグループによる約 200 の組織への攻撃と結びつけて伝えている。ただし今回の WorkOS の件については、WorkOS が研究者の試験中の事故と説明しており、ARTEX の別の件との関係は一次情報では確かめられていない。
技術者向けの詳細
- 時系列: 10/25 初回の不正接続、10/30 大量取得と発覚、11/2 初報、11/6 更新。
- WorkOS の対策の状況: 外部公開の遮断（10/30・10/31）とログの集中管理の確認（11/2）は完了済み。残りの内部アプリの移行、弱い秘密情報や開発用の秘密情報を本番に入れない仕組みの追加、異常アクセスの警報は進行中だと述べている。
- WorkOS の公開した痕跡（一部）:
- IPv4: 154.64.252.77、183.1.65.106、95.169.20.166、203.190.1.60
- User-Agent:
Mozilla/5.0 (compatible; ArtEx/1.0)、Mozilla/5.0 (compatible; infra-hunt/1.0)、artex-enrich/1.0、norma/0.4、verify-911-probe/1.0
- IPv6、JA4 の値は WorkOS の更新ページを参照。
- 自社のログで上の値を検索できる。
- 参考: 一部の二次報道にある Salesforce や Snowflake への到達、Hong Kong・中国の IP という話は、WorkOS の bulletin では確かめられていない。
