Treinta y nueve minutos dentro de dieciséis espacios
Botpress, que vende una plataforma para construir agentes de chat y voz, reveló el viernes que un intruso leyó configuraciones de bots en 16 espacios de trabajo de clientes. Su director de tecnología, Michael Masson, sitúa la ventana entre las 07:44 y las 08:23 UTC del 21 de octubre: treinta y nueve minutos.
La vía de entrada fue un fallo en cómo validaba los inicios de sesión un proxy de autenticación situado delante de las herramientas internas, lo que permitió al atacante entrar con sesiones que parecían de personal de Botpress. El sondeo de ese proxy empezó el 12 de octubre. Entre el 13 y el 21 el atacante tuvo acceso a herramientas internas y sistemas conectados, lo que dejó a la vista información de cuentas de clientes y datos internos, incluida información sobre credenciales de API del personal.
Una credencial interna con permisos permanentes
Lo que convirtió ese acceso en datos de clientes fue la credencial de API de un empleado y los permisos de administrador asociados a ella dentro de los espacios de clientes. Con ella el atacante leyó configuraciones de bots, que incluyen los ajustes de integración, y esos ajustes pueden contener credenciales de terceros: claves de API de proveedores de IA, tokens de canales de mensajería y credenciales de CRM.
Botpress dice que cerró el fallo de autenticación y revocó la credencial hacia las 16:25 UTC del mismo día. El atacante siguió intentando otras rutas y cuentas nuevas hasta el 3 de noviembre, y la empresa afirma que todos los intentos observados en ese periodo fueron rechazados. También se alteraron ajustes de integración en otros dos espacios, una integración en cada uno, aprovechando debilidades en los flujos de configuración.
Lo que los registros no pueden decir
El consejo a los clientes afectados es poco habitual por lo directo: dar por expuesta toda credencial guardada en los bots señalados y rotarla. La razón es un límite de su propia telemetría. Los registros muestran qué bots se leyeron el 21 de octubre, pero no cuáles de ellos contenían una credencial válida en ese momento.
Botpress dice que no tiene indicios de acceso a las cuentas de identidad de empleados, al código fuente, a las cadenas de compilación o a los paquetes publicados, ni a las conversaciones de usuarios finales, y que no almacena números completos de tarjeta.
El móvil era el cómputo
La lectura que hace la empresa del objetivo del atacante no es el robo de datos sino la reventa de uso de IA: dice que el intruso operó muchas cuentas en la plataforma para consumir créditos de IA. No ha habido petición de rescate ni señales de que los datos de clientes se publicaran o se pusieran a la venta.
La lista de medidas incluye rotar el secreto del proxy, bloquear cuentas y rutas de red del atacante, revertir los cambios en ajustes internos y rotar credenciales internas que aparecían en archivos que el atacante leyó. Dos puntos apuntan al diseño y no al incidente: Botpress planea cambiar la API de bots para que las credenciales guardadas no puedan alcanzarse por esta vía, y está revisando si su propio personal debe tener acceso de administrador a los espacios de clientes.
Esa segunda pregunta es la que merece seguirse en todo el sector. Las plataformas de agentes guardan las llaves de todo lo que sus clientes han conectado, y un modelo de soporte que deja al personal permanentemente como administrador convierte cualquier credencial de empleado comprometida en todos los espacios a los que llegue.
