Salesloft: Мартовская утечка репозитория GitHub привела к атакам на кражу данных Salesforce

[admin]

Компания Salesloft утверждает, что злоумышленники впервые взломали ее учетную запись GitHub в марте, что привело к краже токенов Drift OAuth, которые позже были использованы в масштабных атаках по краже данных Salesforce в августе.


Salesloft — это широко используемая платформа для взаимодействия с клиентами, которая помогает компаниям управлять взаимодействием с клиентами и взаимодействием с ними. Её платформа Drift — это инструмент диалогового маркетинга, интегрирующий чат-ботов и автоматизацию в воронки продаж, включая интеграцию с такими платформами, как Salesforce.


Эти двое оказались в центре крупной утечки данных в цепочке поставок, впервые обнаруженной в конце августа , при этом группа анализа угроз Google связала атаки с UNC6395 .

были причастны вымогательская банда ShinyHunters и злоумышленники, называющие себя Scattered Spider. Однако BleepingComputer стало известно, что к атакам на Salesloft Drift, а также к предыдущим атакам по краже данных Salesforce ,

Breach начался с GitHub​

Salesloft впервые сообщил об уязвимости безопасности в приложении Drift 21 августа, а спустя пять дней раскрыл более подробную информацию о вредоносном использовании токенов OAuth.

Это привело к масштабным атакам по краже данных Salesforce на клиентов Salesloft, включая Google , Zscaler , Cloudflare , Workiva , Tenable, JFrog, Bugcrowd, Proofpoint, Palo Alto Networks, и этот список продолжает расти .


При атаках по краже данных Salesloft злоумышленники в первую очередь сосредоточились на краже обращений в службу поддержки из экземпляров Salesforce, которые затем использовались для сбора учетных данных, токенов аутентификации и других секретов, содержащихся в обращениях в службу поддержки.


«Первоначальные результаты показали, что главной целью злоумышленника была кража учетных данных, в частности конфиденциальной информации, такой как ключи доступа AWS, пароли и токены доступа, связанные с Snowflake», — предупредил Salesloft в обновлении от 26 августа.


По данным расследования Mandiant, которая помогает Salesloft отреагировать на утечку, злоумышленники впервые получили доступ к среде GitHub в период с марта по июнь 2025 года .


Хакеры загрузили код из нескольких репозиториев GitHub, добавили гостевые учетные записи пользователей и создали мошеннические рабочие процессы, подготовив почву для последующей атаки.


Компания Mandiant подтвердила, что в тот же период злоумышленники проводили разведывательные мероприятия в районах Сейлслофт и Дрифт.

Активность возросла после того, как злоумышленники взломали среду Drift AWS, что позволило им украсть токены OAuth, используемые для доступа к данным клиентов через технологические интеграции, включая Salesforce и Google Workspace .

В Salesloft утверждают, что провели ротацию учетных данных, усилили защиту и проверили сегментацию Drift, инфраструктура которой была изолирована, а учетные данные также были ротированы.

С помощью Mandiant компания провела поиск угроз и не обнаружила никаких дополнительных признаков компрометации, что означает, что источник угрозы больше не имеет опоры в ее среде.

Компания Mandiant проверила меры сдерживания и сегментации, и теперь ее деятельность переключилась на экспертную проверку качества.

было В опубликованном вчера обновлении объявлено о восстановлении интеграции Salesloft с Salesforce после профилактической приостановки, вызванной инцидентом безопасности Drift.

Пользователи Salesforce теперь снова могут получить доступ ко всему спектру интеграций Salesloft, а компания предоставила пошаговые инструкции для тех, кому необходимо выполнить синхронизацию данных.