Botpress legt internen Sicherheitsvorfall und Risiko für Kunden-Zugangsdaten offen

Botpress gab am 6. November 2026 bekannt, dass ein Eindringling eine Schwachstelle in einem internen Authentifizierungs-Proxy und die API-Zugangsdaten eines Mitarbeiters nutzte, um Bot-Konfigurationen in 16 Kundenarbeitsbereichen auszulesen. Die Konfigurationen können Zugangsdaten von Drittanbietern enthalten; außerdem wurden in zwei weiteren Arbeitsbereichen Integrationseinstellungen geändert.

Schwachstelle bei der Authentifizierung ging dem Zugriff auf Arbeitsbereiche voraus

Am 12. Oktober 2026 begann jemand, den Authentifizierungs-Proxy zu sondieren, der mehrere interne Tools schützte. Eine Schwachstelle bei der Anmeldeprüfung ermöglichte es dem Angreifer, sich mit Sitzungen anzumelden, die den Anschein erweckten, zu Botpress-Mitarbeitern zu gehören. Vom 13. bis zum 21. Oktober 2026 hatte der Angreifer Zugriff auf diese Tools und einige damit verbundene Systeme und nutzte diese Zeit, um herauszufinden, wie die Systeme von Botpress funktionierten. Durch den Zugriff waren Kundenkontoinformationen und interne Daten einsehbar, darunter auch Daten zu API-Zugangsdaten von Mitarbeitern. Die Untersuchung ergab keine Hinweise darauf, dass das Konto eines Mitarbeiters bei einem Identitätsanbieter kompromittiert wurde.

Am 21. Oktober zwischen 07:44 und 08:23 UTC nutzte der Angreifer die API-Zugangsdaten des Mitarbeiters und dessen Administratorrechte, um Konfigurationen in 16 Arbeitsbereichen auszulesen. Der Mitarbeiter war Mitglied dieser Kundenarbeitsbereiche und hatte dort Administratorrechte. Die Konfiguration eines Bots umfasst Einstellungen für installierte Integrationen. Diese können API-Schlüssel von KI-Anbietern, Token für Messaging-Kanäle, CRM-Zugangsdaten und ähnliche vertrauliche Daten von Drittanbietern enthalten. Unabhängig davon wurden Schwachstellen in den Einrichtungsabläufen einiger Integrationen ausgenutzt, um die Einstellungen einer Integration in jedem von zwei weiteren Kundenarbeitsbereichen zu ändern.

Ob gültige Zugangsdaten offengelegt wurden, lässt sich nicht feststellen

Botpress weiß, welche Bots ausgelesen wurden, und hat die Eigentümer der 16 Arbeitsbereiche sowie der beiden Arbeitsbereiche kontaktiert, in denen Integrationseinstellungen geändert wurden. Dabei stellte das Unternehmen Listen der betroffenen Bots und Integrationen bereit. Anhand der Protokolle lässt sich nicht genau feststellen, welche Bots zum Zeitpunkt des Auslesens gültige Zugangsdaten enthielten. Daher fordert das Unternehmen diese Kunden auf, sämtliche in betroffenen Bots gespeicherten Zugangsdaten als offengelegt zu behandeln. Bei Kunden, die nicht direkt kontaktiert wurden, ergab die Untersuchung keine Hinweise darauf, dass ihre Bots ausgelesen oder verändert wurden.

Botpress führt den Einbruch auf den Versuch zurück, KI-Nutzung für den Weiterverkauf auf KI-Schwarzmärkten zu erlangen. Der Angreifer betrieb ein großes Netzwerk von Botpress-Konten, um vor und während des Vorfalls KI-Guthaben zu verbrauchen. Ein Großteil der internen Aktivitäten sollte dafür sorgen, dass diese Konten ohne Beschränkungen weiterlaufen konnten. Es ging keine Lösegeldforderung ein, und es gab keine Anzeichen dafür, dass Kundendaten veröffentlicht oder zum Verkauf angeboten wurden.

Die Untersuchung ergab außerdem keine Hinweise auf Änderungen am Quellcode, an Build-Pipelines oder an veröffentlichten Paketen. Ebenso gab es keine Hinweise auf einen Zugriff auf Gespräche mit Endnutzern, die über Kunden-Bots geführt wurden. Botpress speichert keine vollständigen Zahlungskartennummern. Sollten sich diese Erkenntnisse ändern, wird die Offenlegung aktualisiert.

Eindämmung abgeschlossen, Behebung dauert an

Am 21. Oktober um etwa 16:25 UTC behob Botpress die Schwachstelle im Proxy, wechselte das zugehörige Geheimnis aus und widerrief die Zugangsdaten des Mitarbeiters. Das Unternehmen sperrte mit dem Angreifer verbundene Konten und Arbeitsbereiche und blockierte die zugehörigen Netzwerkpfade, verschärfte die Eingangsregeln, schränkte betroffene Tools ein und startete sie neu und begrenzte die Zugriffsmöglichkeiten auf diese Tools. Außerdem machte es Änderungen an internen Einstellungen rückgängig, sicherte die Speicherung von Integrationskonfigurationen besser ab und begann, interne Zugangsdaten auszuwechseln, die in vom Angreifer gelesenen Dateien gefunden wurden.

Auch nach dieser Behebung versuchte der Angreifer weiterhin, über andere Wege und neu angelegte Plattformkonten Zugriff zu erhalten. Botpress hat alle identifizierten Zugriffswege geschlossen; Versuche, die bis zum 3. November 2026 beobachtet wurden, schlugen fehl. Nach Angaben des Unternehmens ist ein Zugriff auf die internen Tools mit einer gefälschten Identität nun nicht mehr möglich.

Die noch ausstehenden Arbeiten gehen über diese Eindämmung hinaus. Der Austausch interner Zugangsdaten dauert an. Im Rahmen einer Sicherheitsinitiative werden die Zugriffsrechte für jedes interne Tool und die Berechtigungen für Mitarbeiter-Zugangsdaten überprüft, darunter auch die Frage, wann Mitarbeiter Administratorrechte für Kundenarbeitsbereiche haben sollten. Botpress ändert außerdem die Bot-API, damit gespeicherte Bot-Zugangsdaten nicht erneut auf demselben Weg abgerufen werden können.

Die Überwachung auf damit verbundene Aktivitäten wird fortgesetzt. Botpress wird mit den betroffenen Kunden zusammenarbeiten, bis deren Zugangsdaten ausgewechselt sind. Damit sind die unmittelbare und die noch offene Phase des Vorfalls klar voneinander abgegrenzt: Die identifizierten Zugriffswege sind geschlossen, während der Austausch von Zugangsdaten und Entscheidungen über Mitarbeiterzugriffe auf Kundenarbeitsbereiche noch ausstehen.