LO ESENCIAL EN 30 SEGUNDOS

  • Entre el 12 y el 21 de octubre, un atacante explotó un fallo de validación de inicios de sesión en un proxy de autenticación que protege herramientas internas de Botpress y luego usó la credencial API de un empleado.
  • El 21 de octubre leyó configuraciones de bots en 16 espacios de clientes, que pueden incluir claves de proveedores de IA y tokens de canales, y modificó una integración en otros dos espacios.
  • Botpress pide a los clientes afectados que den por expuesta cada credencial guardada en los bots afectados y la cambien; el objetivo aparente era revender uso de IA.

Botpress, que comercializa una plataforma para crear chatbots y agentes de IA, publicó el 6 de noviembre un aviso de incidente de seguridad firmado por su director de tecnología, Michael Masson. Según la empresa, un tercero no autorizado pasó más de una semana en algunas herramientas internas en octubre y acabó leyendo configuraciones de bots de 16 espacios de clientes, que pueden contener secretos de terceros: claves API de proveedores de IA, tokens de mensajería o credenciales de CRM.

Cómo se desarrolló la intrusión

De acuerdo con la cronología de Botpress, el 12 de octubre comenzaron sondeos contra un proxy de autenticación situado delante de varias herramientas internas. Un fallo en la validación de inicios de sesión permitió al atacante entrar con sesiones que parecían de empleados; la empresa no tiene pruebas de que se comprometiera ninguna cuenta de empleado en su proveedor de identidad. Entre el 13 y el 21 de octubre, el intruso exploró sistemas internos y encontró datos relacionados con credenciales API del personal.

El 21 de octubre, entre las 7:44 y las 8:23 UTC, utilizó la credencial API de un empleado para leer configuraciones de bots en 16 espacios de clientes en los que ese empleado tenía derechos de administrador. Además, aprovechando debilidades en los flujos de configuración de integraciones, cambió los ajustes de una integración en cada uno de otros dos espacios de clientes. Botpress asegura que corrigió el fallo del proxy y revocó la credencial hacia las 16:25 UTC de ese día, y que bloqueó nuevos intentos de acceso hasta el 3 de noviembre.

Qué se pide a los clientes

Botpress ha contactado a los clientes afectados con la lista de bots e integraciones implicados. Como no puede saber qué credenciales seguían siendo válidas cuando fueron leídas, les pide que consideren expuestas todas las guardadas en esos bots y que las roten. En los clientes no contactados no hay indicios de lectura ni cambios, según la compañía.

Botpress no ha detectado cambios en su código fuente, sus canales de compilación ni sus paquetes publicados, ni acceso a conversaciones de usuarios finales, ni petición de rescate, y afirma no almacenar números de tarjeta completos. No identifica al atacante. A su juicio, la intrusión buscaba obtener uso de IA para revenderlo en mercados negros: el atacante operaba una amplia red de cuentas en la plataforma para consumir créditos de IA.

Quedan cuestiones abiertas: el aviso indica que información de cuentas de clientes y datos internos estuvieron a la vista del intruso, sin detallar cuáles. Botpress está modificando su API de bots para cerrar esta vía de acceso a las credenciales y revisa los derechos de administrador de sus empleados en espacios de clientes.