Botpress divulga violação interna e risco para credenciais de clientes

A Botpress divulgou em 6 de novembro de 2026 que um invasor explorou uma falha em um proxy interno de autenticação e usou a credencial de API de um funcionário para ler configurações de bots em 16 espaços de trabalho de clientes. Essas configurações podem conter credenciais de terceiros, e as configurações de integrações foram alteradas em outros dois espaços de trabalho.

Falha de autenticação antecedeu o acesso aos espaços de trabalho

Em 12 de outubro de 2026, alguém começou a sondar o proxy de autenticação que protegia várias ferramentas internas. Uma falha na validação de login permitiu que o invasor entrasse usando sessões que pareciam pertencer a funcionários da Botpress. De 13 a 21 de outubro de 2026, o invasor teve acesso a essas ferramentas e a alguns sistemas conectados, usando esse período para entender como funcionavam os sistemas da Botpress. O acesso permitiu visualizar informações de contas de clientes e dados internos, inclusive dados relacionados às credenciais de API dos funcionários. A investigação não encontrou evidências de que a conta de qualquer funcionário no provedor de identidade tenha sido comprometida.

Em 21 de outubro, entre 07:44 e 08:23 UTC, o invasor usou a credencial de API do funcionário e os privilégios de administrador associados para ler configurações em 16 espaços de trabalho. O funcionário era membro desses espaços de trabalho de clientes e tinha acesso de administrador a eles. A configuração de um bot inclui definições das integrações instaladas, que podem conter chaves de API de provedores de IA, tokens de canais de mensagens, credenciais de CRM e outros segredos semelhantes de terceiros. Separadamente, foram exploradas falhas nos processos de configuração de algumas integrações para alterar as definições de uma integração em cada um de outros dois espaços de trabalho de clientes.

Não é possível determinar se havia credenciais válidas expostas

A Botpress sabe quais bots foram lidos e entrou em contato com os responsáveis pelos 16 espaços de trabalho e pelos outros dois em que as configurações de integrações foram alteradas, fornecendo listas dos bots e das integrações afetados. Os registros da empresa não permitem determinar com exatidão quais bots continham uma credencial válida no momento em que foram lidos. Por isso, a empresa está pedindo a esses clientes que considerem exposta toda credencial armazenada nos bots afetados. Para os clientes que não foram contatados diretamente, a investigação não encontrou evidências de que seus bots tenham sido lidos ou alterados.

A Botpress atribui a invasão a uma tentativa de obter acesso ao uso de IA para revendê-lo em mercados clandestinos de IA. O invasor operava uma grande rede de contas da Botpress para consumir créditos de IA antes e durante o incidente, e boa parte da atividade interna tinha como objetivo manter essas contas funcionando sem limites. Não houve pedido de resgate, e não foi observado nenhum sinal de que dados de clientes tenham sido publicados ou oferecidos à venda.

A investigação também não encontrou evidências de alterações no código-fonte, nos pipelines de compilação ou nos pacotes publicados, nem de acesso a conversas de usuários finais conduzidas por bots de clientes. A Botpress não armazena números completos de cartões de pagamento. A divulgação será atualizada caso essas conclusões mudem.

A contenção foi concluída, mas a correção continua

Por volta das 16:25 UTC de 21 de outubro, a Botpress corrigiu a vulnerabilidade do proxy, trocou seu segredo e revogou a credencial do funcionário. A empresa bloqueou contas, espaços de trabalho e rotas de rede associados ao invasor, reforçou as regras de entrada, restringiu e reiniciou as ferramentas afetadas e limitou as formas de acesso a elas. Também reverteu alterações nas configurações internas, reforçou o armazenamento das configurações de integrações e iniciou a rotação das credenciais internas encontradas nos arquivos lidos pelo invasor.

Depois dessa correção, o invasor continuou tentando obter acesso por outras rotas e por novas contas na plataforma. A Botpress fechou todas as rotas identificadas, e as tentativas observadas até 3 de novembro de 2026 foram rejeitadas. A empresa afirma que já não é possível acessar as ferramentas internas usando uma identidade falsificada.

O trabalho restante vai além dessa contenção. A rotação de credenciais internas ainda está em andamento. Uma iniciativa de reforço da segurança está revisando o acesso a todas as ferramentas internas e as permissões associadas às credenciais dos funcionários, inclusive em que situações os funcionários devem ter acesso de administrador aos espaços de trabalho dos clientes. A Botpress também está alterando a API de bots para impedir que as credenciais armazenadas neles possam ser acessadas novamente pelo mesmo método.

O monitoramento de atividades relacionadas continuará, e a Botpress trabalhará com os clientes afetados até que suas credenciais sejam trocadas. Isso estabelece uma distinção clara entre as fases imediata e ainda não resolvida do incidente: as rotas de acesso identificadas foram fechadas, mas a rotação de credenciais e as decisões sobre o acesso dos funcionários aos espaços de trabalho dos clientes ainda estão pendentes.