Trettionio minuter inne i sexton arbetsytor
Botpress, som säljer en plattform för att bygga chatt- och röstagenter, berättade på fredagen att en inkräktare läst botinställningar i 16 kundarbetsytor. Teknikchefen Michael Masson anger tidsfönstret till 07:44–08:23 UTC den 21 oktober — trettionio minuter.
Vägen in var ett fel i hur en autentiseringsproxy framför de interna verktygen validerade inloggningar, vilket lät angriparen komma in med sessioner som såg ut att tillhöra Botpress-anställda. Sonderingen av proxyn började den 12 oktober. Mellan den 13 och den 21 oktober hade angriparen tillgång till interna verktyg och anslutna system, vilket blottade kunduppgifter och interna data, däribland uppgifter om personalens API-nycklar.
En personalnyckel med stående administratörsrätt
Det som gjorde om den tillgången till kunddata var en anställds API-nyckel och den administratörsrätt som följde med den inne i kundernas arbetsytor. Med den läste angriparen botkonfigurationer — som innehåller integrationsinställningar, och de inställningarna kan rymma tredjepartsnycklar som API-nycklar till AI-leverantörer, kanaltoken och CRM-uppgifter.
Botpress säger att felet täpptes till och nyckeln återkallades omkring 16:25 UTC samma dag. Angriparen fortsatte pröva andra vägar och nya konton fram till den 3 november, och företaget uppger att varje försök som observerades under perioden avvisades. Integrationsinställningar ändrades också i två ytterligare arbetsytor, en integration i vardera, genom svagheter i flödena för att sätta upp integrationer.
Vad loggarna inte kan säga
Rådet till berörda kunder är ovanligt rakt: betrakta varje nyckel som ligger lagrad i de utpekade botarna som röjd, och byt ut den. Skälet är en begränsning i företagets egen telemetri. Loggarna visar vilka botar som lästes den 21 oktober men inte vilka av dem som hade en giltig nyckel just då.
Botpress säger att det inte finns några tecken på åtkomst till anställdas identitetskonton, till källkod, byggkedjor eller publicerade paket, eller till slutanvändarnas konversationer, och att företaget inte lagrar fullständiga kortnummer.
Motivet var beräkningskraft
Företagets tolkning av angriparens mål är inte datastöld utan återförsäljning av AI-användning: det uppger att inkräktaren drev många konton på plattformen för att förbruka AI-krediter. Något krav på lösen har inte kommit, och det finns inga tecken på att kunddata publicerats eller bjudits ut till försäljning.
Åtgärdslistan omfattar att byta proxyns hemlighet, blockera angriparens konton och nätvägar, återställa ändringar i interna inställningar och byta interna nycklar som fanns i filer angriparen läste. Två punkter pekar på konstruktionen snarare än på händelsen: Botpress planerar att ändra bot-API:t så att lagrade nycklar inte går att nå den här vägen, och företaget ser över om den egna personalen alls ska ha administratörsrätt i kundernas arbetsytor.
Den andra frågan är den som är värd att följa i hela branschen. Agentplattformar förvarar nycklarna till allt kunderna kopplat in, och en supportmodell som låter personalen stå kvar som administratörer gör varje röjd personalnyckel till alla arbetsytor den når.
