Botpress rivela una violazione interna e il rischio per le credenziali dei clienti

Botpress ha reso noto il 6 novembre 2026 che un intruso ha sfruttato una vulnerabilità in un proxy di autenticazione interno e le credenziali API di un dipendente per leggere le configurazioni dei bot in 16 spazi di lavoro dei clienti. Le configurazioni possono contenere credenziali di terze parti e le impostazioni delle integrazioni sono state modificate in altri due spazi di lavoro.

Una vulnerabilità di autenticazione ha preceduto l’accesso agli spazi di lavoro

Il 12 ottobre 2026, qualcuno ha iniziato a sondare il proxy di autenticazione che proteggeva diversi strumenti interni. Una vulnerabilità nella convalida dell’accesso ha permesso all’aggressore di entrare usando sessioni che sembravano appartenere al personale di Botpress. Dal 13 al 21 ottobre 2026, l’aggressore ha avuto accesso a quegli strumenti e ad alcuni sistemi collegati, sfruttando quel periodo per capire come funzionavano i sistemi di Botpress. L’accesso ha consentito di visualizzare informazioni sugli account dei clienti e dati interni, compresi quelli relativi alle credenziali API del personale. L’indagine non ha rilevato prove della compromissione dell’account di alcun dipendente presso il provider di identità.

Il 21 ottobre, tra le 07:44 e le 08:23 UTC, l’aggressore ha usato le credenziali API del dipendente e i relativi privilegi di amministratore per leggere le configurazioni di 16 spazi di lavoro. Il dipendente era membro di quegli spazi di lavoro dei clienti e vi disponeva di privilegi di amministratore. La configurazione di un bot comprende le impostazioni delle integrazioni installate, che possono contenere chiavi API di provider di IA, token dei canali di messaggistica, credenziali CRM e altri segreti simili di terze parti. Separatamente, sono state sfruttate vulnerabilità nelle procedure di configurazione di alcune integrazioni per modificare le impostazioni di un’integrazione in ciascuno di altri due spazi di lavoro dei clienti.

Non è possibile stabilire se le credenziali fossero valide al momento dell’esposizione

Botpress sa quali bot sono stati letti e ha contattato i titolari dei 16 spazi di lavoro e dei due in cui sono state modificate le impostazioni delle integrazioni, fornendo elenchi dei bot e delle integrazioni interessati. I log non consentono di stabilire con precisione quali bot contenessero una credenziale valida al momento della lettura. L’azienda chiede pertanto a quei clienti di considerare esposte tutte le credenziali archiviate nei bot interessati. Per i clienti che non sono stati contattati direttamente, l’indagine non ha rilevato prove che i loro bot siano stati letti o modificati.

Botpress attribuisce l’intrusione a un tentativo di ottenere capacità di utilizzo dell’IA da rivendere sui mercati neri dell’IA. Prima e durante l’incidente, l’aggressore ha gestito un’ampia rete di account Botpress per consumare crediti IA e gran parte dell’attività interna era volta a mantenere quegli account operativi senza limiti. Non è stata ricevuta alcuna richiesta di riscatto e non è stato rilevato alcun segnale che i dati dei clienti siano stati pubblicati o messi in vendita.

L’indagine non ha inoltre rilevato prove di modifiche al codice sorgente, alle pipeline di build o ai pacchetti pubblicati, né prove di accesso alle conversazioni degli utenti finali gestite dai bot dei clienti. Botpress non archivia i numeri completi delle carte di pagamento. La comunicazione sarà aggiornata se questi risultati dovessero cambiare.

Il contenimento è completo, ma gli interventi correttivi continuano

Il 21 ottobre, intorno alle 16:25 UTC, Botpress ha corretto la vulnerabilità del proxy, ruotato il relativo segreto e revocato le credenziali del dipendente. Ha bloccato gli account, gli spazi di lavoro e i percorsi di rete associati all’aggressore, rafforzato le regole di ingresso, limitato e riavviato gli strumenti interessati e limitato le modalità di accesso a tali strumenti. Ha inoltre annullato le modifiche alle impostazioni interne, rafforzato l’archiviazione delle configurazioni delle integrazioni e avviato la rotazione delle credenziali interne individuate nei file letti dall’aggressore.

Dopo la correzione, l’aggressore ha continuato a tentare l’accesso attraverso altri percorsi e nuovi account sulla piattaforma. Botpress ha chiuso tutti i percorsi individuati e i tentativi rilevati fino al 3 novembre 2026 sono stati respinti. L’azienda afferma che non è più possibile raggiungere gli strumenti interni usando un’identità falsificata.

Le attività ancora da completare vanno oltre il contenimento. La rotazione delle credenziali interne è tuttora in corso. Un’iniziativa di rafforzamento della sicurezza sta riesaminando l’accesso a ogni strumento interno e i privilegi associati alle credenziali del personale, compresi i casi in cui i dipendenti dovrebbero disporre di privilegi di amministratore negli spazi di lavoro dei clienti. Botpress sta inoltre modificando l’API dei bot affinché le credenziali archiviate nei bot non possano più essere raggiunte con lo stesso metodo.

Il monitoraggio delle attività correlate continuerà e Botpress collaborerà con i clienti interessati finché le loro credenziali non saranno state ruotate. Si delinea così una netta distinzione tra la fase immediata e quella ancora irrisolta dell’incidente: i percorsi di accesso individuati sono stati chiusi, mentre la rotazione delle credenziali e le decisioni sull’accesso del personale agli spazi di lavoro dei clienti restano da completare.