L'ESSENTIEL EN 30 SECONDES

  • Entre le 12 et le 21 octobre, un attaquant a exploité une faille de validation des connexions d’un proxy d’authentification protégeant des outils internes de Botpress, puis la clé API d’un employé.
  • Le 21 octobre, il a lu les configurations de bots de 16 espaces clients, qui peuvent contenir des clés de fournisseurs d’IA et des jetons de canaux, et modifié une intégration dans deux autres espaces.
  • Botpress demande aux clients touchés de considérer comme exposé chaque identifiant stocké dans les bots concernés et de le renouveler ; l’objectif apparent était de revendre de l’usage d’IA.

Botpress, qui commercialise une plateforme de création de chatbots et d’agents d’IA, a publié le 6 novembre un avis d’incident de sécurité signé par son directeur technique, Michael Masson. Un tiers non autorisé aurait passé plus d’une semaine dans certains outils internes en octobre, avant de lire les configurations de bots de 16 espaces clients. Celles-ci peuvent contenir des secrets de services tiers : clés API de fournisseurs d’IA, jetons de messagerie ou identifiants de CRM.

Le déroulé de l’intrusion

D’après la chronologie de Botpress, des sondages visant un proxy d’authentification placé devant plusieurs outils internes ont commencé le 12 octobre. Une faille de validation des connexions a permis à l’attaquant d’y entrer avec des sessions semblant appartenir à des salariés ; aucun compte d’employé chez le fournisseur d’identité n’aurait été compromis. Du 13 au 21 octobre, l’intrus a exploré les systèmes internes et trouvé des données liées aux clés API du personnel.

Le 21 octobre, entre 7 h 44 et 8 h 23 UTC, il a utilisé la clé API d’un employé pour lire les configurations de bots dans 16 espaces clients dont cet employé était membre avec des droits d’administrateur. Par ailleurs, en profitant de faiblesses dans les parcours de configuration des intégrations, il a modifié les réglages d’une intégration dans chacun de deux autres espaces clients. Botpress affirme avoir corrigé la faille du proxy et révoqué la clé vers 16 h 25 UTC le même jour ; de nouvelles tentatives d’accès ont été bloquées jusqu’au 3 novembre.

Ce qui est demandé aux clients

Botpress a contacté les clients concernés en leur fournissant la liste des bots et intégrations en cause. Faute de pouvoir déterminer quels identifiants étaient encore valides au moment de la lecture, l’entreprise leur demande de considérer tous ceux stockés dans ces bots comme exposés et de les renouveler. Les clients non contactés ne présentent aucun signe de lecture ou de modification de leurs bots, précise-t-elle.

Botpress dit n’avoir relevé aucune modification de son code source, de ses chaînes de compilation ou de ses paquets publiés, aucun accès aux conversations des utilisateurs finaux ni aucune demande de rançon, et ne pas stocker de numéros de carte complets. Elle ne nomme pas l’attaquant. Selon elle, l’objectif était d’obtenir de l’usage d’IA revendable sur des marchés noirs : l’intrus exploitait un vaste réseau de comptes sur la plateforme pour consommer des crédits d’IA.

Des zones d’ombre demeurent : l’avis indique que des informations de comptes clients et des données internes étaient visibles pour l’intrus, sans préciser lesquelles. Botpress modifie son API de bots pour fermer cette voie d’accès aux identifiants stockés et réexamine les droits d’administrateur de ses employés sur les espaces clients.