Botpress revela una brecha interna y el riesgo para las credenciales de los clientes

Botpress reveló el 6 de noviembre de 2026 que un intruso aprovechó una vulnerabilidad en un proxy de autenticación interno y una credencial de API de un empleado para leer configuraciones de bots en 16 espacios de trabajo de clientes. Las configuraciones pueden contener credenciales de terceros, y se modificaron los ajustes de integraciones en otros dos espacios de trabajo.

Una vulnerabilidad de autenticación precedió al acceso a los espacios de trabajo

El 12 de octubre de 2026, alguien comenzó a sondear el proxy de autenticación que protegía varias herramientas internas. Una vulnerabilidad en la validación del inicio de sesión permitió al atacante entrar con sesiones que parecían pertenecer al personal de Botpress. Del 13 al 21 de octubre de 2026, el atacante tuvo acceso a esas herramientas y a algunos sistemas conectados, y aprovechó ese tiempo para comprender cómo funcionaban los sistemas de Botpress. Ese acceso permitió ver información de cuentas de clientes y datos internos, incluidos datos relacionados con las credenciales de API del personal. La investigación no encontró indicios de que se hubiera comprometido la cuenta de ningún empleado en el proveedor de identidad.

El 21 de octubre, entre las 07:44 y las 08:23 UTC, el atacante utilizó la credencial de API del empleado y los privilegios de administrador asociados para leer configuraciones en 16 espacios de trabajo. El empleado era miembro de esos espacios de trabajo de clientes y tenía privilegios de administrador en ellos. La configuración de un bot incluye ajustes de las integraciones instaladas, que pueden contener claves de API de proveedores de IA, tokens de canales de mensajería, credenciales de CRM y otros secretos similares de terceros. Por otra parte, se aprovecharon vulnerabilidades en los procesos de configuración de algunas integraciones para modificar los ajustes de una integración en cada uno de otros dos espacios de trabajo de clientes.

No es posible determinar qué credenciales eran válidas y quedaron expuestas

Botpress sabe qué bots fueron leídos y se ha puesto en contacto con los propietarios de los 16 espacios de trabajo y de los dos en los que se modificaron los ajustes de las integraciones, a quienes proporcionó listas de los bots y las integraciones afectados. Sus registros no permiten determinar con exactitud qué bots contenían una credencial válida cuando fueron leídos. Por ello, la empresa pide a esos clientes que consideren expuesta toda credencial almacenada en los bots afectados. En el caso de los clientes con quienes no se ha contactado directamente, la investigación no ha encontrado indicios de que sus bots hayan sido leídos o modificados.

Botpress atribuye la intrusión a un intento de obtener uso de IA para revenderlo en mercados negros de IA. El atacante operaba una gran red de cuentas de Botpress para consumir créditos de IA antes del incidente y durante este, y gran parte de la actividad interna tenía por objetivo mantener esas cuentas en funcionamiento sin límites. No se ha recibido ninguna demanda de rescate ni se ha observado indicio alguno de que los datos de clientes se hayan publicado o puesto a la venta.

La investigación tampoco encontró indicios de cambios en el código fuente, los procesos de compilación ni los paquetes publicados, ni de acceso a conversaciones de usuarios finales gestionadas por bots de clientes. Botpress no almacena los números completos de las tarjetas de pago. La información divulgada se actualizará si cambian estos hallazgos.

La contención ha concluido, pero la remediación continúa

Aproximadamente a las 16:25 UTC del 21 de octubre, Botpress corrigió la vulnerabilidad del proxy, renovó su secreto y revocó la credencial del empleado. Bloqueó las cuentas, los espacios de trabajo y las rutas de red asociadas al atacante; reforzó las reglas de entrada; restringió y reinició las herramientas afectadas, y limitó las vías de acceso a ellas. También revirtió los cambios en los ajustes internos, reforzó el almacenamiento de la configuración de las integraciones y comenzó a renovar las credenciales internas que aparecían en los archivos leídos por el atacante.

Tras esa corrección, el atacante siguió intentando acceder por otras vías y mediante nuevas cuentas de la plataforma. Botpress ha cerrado todas las vías que identificó, y rechazó los intentos detectados hasta el 3 de noviembre de 2026. La empresa afirma que ya no es posible acceder a las herramientas internas con una identidad falsificada.

El trabajo pendiente va más allá de esa contención. La renovación de las credenciales internas sigue en curso. Una iniciativa de refuerzo está revisando el acceso a todas las herramientas internas y los permisos relacionados con las credenciales del personal, incluido cuándo deberían tener los empleados privilegios de administrador en los espacios de trabajo de clientes. Botpress también está modificando la API de bots para impedir que se vuelva a acceder a las credenciales almacenadas en los bots mediante el mismo método.

La supervisión de actividades relacionadas continuará, y Botpress colaborará con los clientes afectados hasta que se renueven sus credenciales. Así queda clara la diferencia entre las fases inmediata y aún sin resolver del incidente: se han cerrado las vías de acceso identificadas, pero siguen pendientes la renovación de credenciales y las decisiones sobre el acceso del personal a los espacios de trabajo de clientes.