Botpress تكشف عن اختراق داخلي ومخاطر تطول بيانات اعتماد العملاء

أفادت Botpress في 6 نوفمبر 2026 بأن متسللًا استغل ثغرة في وكيل مصادقة داخلي وبيانات اعتماد API لموظف، للاطلاع على إعدادات الروبوتات في 16 مساحة عمل للعملاء. وقد تتضمن هذه الإعدادات بيانات اعتماد لأطراف ثالثة، كما عُدّلت إعدادات التكامل في مساحتي عمل إضافيتين.

ثغرة في المصادقة سبقت الوصول إلى مساحات العمل

في 12 أكتوبر 2026، بدأ شخص ما باستكشاف وكيل المصادقة الذي يحمي عدة أدوات داخلية. وأتاحت ثغرة في التحقق من تسجيل الدخول للمهاجم الدخول باستخدام جلسات بدت وكأنها تخص موظفي Botpress. ومن 13 إلى 21 أكتوبر 2026، تمكن المهاجم من الوصول إلى تلك الأدوات وبعض الأنظمة المتصلة بها، مستغلًا هذه الفترة لفهم آلية عمل أنظمة Botpress. وأتاح هذا الوصول الاطلاع على معلومات حسابات العملاء وبيانات داخلية، بما في ذلك بيانات متعلقة ببيانات اعتماد API الخاصة بالموظفين. ولم يعثر التحقيق على أي دليل على اختراق حساب أي موظف لدى موفر الهوية.

في 21 أكتوبر، بين الساعة 07:44 والساعة 08:23 بالتوقيت العالمي المنسق، استخدم المهاجم بيانات اعتماد API الخاصة بالموظف وصلاحياته الإدارية للاطلاع على الإعدادات في 16 مساحة عمل. وكان الموظف عضوًا في مساحات عمل العملاء هذه ويتمتع بصلاحيات إدارية فيها. وتتضمن إعدادات الروبوت إعدادات عمليات التكامل المثبتة، التي قد تحتوي على مفاتيح API لموفري الذكاء الاصطناعي، ورموز قنوات المراسلة، وبيانات اعتماد أنظمة إدارة علاقات العملاء (CRM)، وأسرار أخرى مماثلة تخص أطرافًا ثالثة. وبشكل منفصل، استُغلت ثغرات في إجراءات إعداد بعض عمليات التكامل لتغيير إعدادات إحدى عمليات التكامل في كل واحدة من مساحتي عمل أخريين للعملاء.

تعذّر تحديد ما إذا كانت بيانات الاعتماد الصالحة قد انكشفت

تعرف Botpress الروبوتات التي جرى الاطلاع عليها، وقد تواصلت مع مالكي مساحات العمل الـ16 ومع مالكي المساحتين اللتين عُدّلت فيهما إعدادات التكامل، وزودتهم بقوائم الروبوتات وعمليات التكامل المتأثرة. ولا تتيح سجلاتها تحديد الروبوتات التي كانت تحتوي بالفعل على بيانات اعتماد صالحة وقت الاطلاع عليها. لذلك تطلب الشركة من هؤلاء العملاء التعامل مع كل بيانات الاعتماد المخزنة في الروبوتات المتأثرة على أنها مكشوفة. أما العملاء الذين لم تتواصل معهم الشركة مباشرة، فلم يسفر التحقيق عن أي دليل على الاطلاع على روبوتاتهم أو تغييرها.

تعزو Botpress الاختراق إلى محاولة الحصول على استخدام خدمات الذكاء الاصطناعي لإعادة بيعه في أسواق الذكاء الاصطناعي السوداء. وشغّل المهاجم شبكة كبيرة من حسابات Botpress لاستهلاك أرصدة الذكاء الاصطناعي قبل الحادث وأثناءه، وكان جانب كبير من النشاط الداخلي يهدف إلى إبقاء تلك الحسابات عاملة بلا قيود. ولم تتلق الشركة أي طلب فدية، كما لم يُرصد أي مؤشر على نشر بيانات العملاء أو عرضها للبيع.

ولم يعثر التحقيق أيضًا على أي دليل على إجراء تغييرات في الشيفرة المصدرية أو مسارات البناء أو الحزم المنشورة، أو على الوصول إلى محادثات المستخدمين النهائيين التي تتعامل معها روبوتات العملاء. ولا تخزن Botpress أرقام بطاقات الدفع كاملة. وسيُحدَّث الإفصاح إذا تغيرت هذه النتائج.

اكتملت إجراءات الاحتواء، لكن المعالجة لا تزال مستمرة

نحو الساعة 16:25 بالتوقيت العالمي المنسق في 21 أكتوبر، أصلحت Botpress ثغرة الوكيل، وغيّرت سره، وألغت بيانات اعتماد الموظف. وحظرت الحسابات ومساحات العمل ومسارات الشبكة المرتبطة بالمهاجم، وعزّزت قواعد الاتصالات الواردة، وقيّدت الأدوات المتأثرة وأعادت تشغيلها، وحدّت من سبل الوصول إليها. كما تراجعت عن التغييرات التي طالت الإعدادات الداخلية، وعزّزت تخزين إعدادات التكامل، وبدأت بتغيير بيانات الاعتماد الداخلية التي عُثر عليها في الملفات التي قرأها المهاجم.

واصل المهاجم محاولة الوصول عبر مسارات أخرى وحسابات جديدة على المنصة بعد ذلك الإصلاح. وأغلقت Botpress كل مسار حددته، ورُفضت المحاولات التي رُصدت حتى 3 نوفمبر 2026. وتقول الشركة إنه لم يعد بالإمكان الوصول إلى الأدوات الداخلية باستخدام هوية مزورة.

ولا يقتصر العمل المتبقي على إجراءات الاحتواء هذه. فما زال تغيير بيانات الاعتماد الداخلية جاريًا. وتراجع مبادرة لتعزيز الحماية صلاحيات الوصول إلى كل أداة داخلية وأذونات بيانات اعتماد الموظفين، بما في ذلك الحالات التي ينبغي فيها منح الموظفين صلاحيات إدارية في مساحات عمل العملاء. كما تعمل Botpress على تغيير واجهة API الخاصة بالروبوتات لمنع الوصول إلى بيانات اعتماد الروبوتات المخزنة بالطريقة نفسها مرة أخرى.

ستتواصل مراقبة الأنشطة ذات الصلة، وستعمل Botpress مع العملاء المتأثرين إلى حين تغيير بيانات اعتمادهم. وهذا يرسم فاصلًا واضحًا بين مرحلتي الحادث، الفورية وما لم يُحسم بعد: فقد أُغلقت مسارات الوصول المحددة، بينما لا يزال تغيير بيانات الاعتماد والبت في صلاحيات وصول الموظفين إلى مساحات عمل العملاء أمرين غير مكتملين.