Redazione RHC : 2 Settembre 2025 07:55
La scorsa settimana è emerso che degli hacker criminali avevano compromesso la piattaforma di automazione delle vendite Salesloft e rubato token OAuth e di aggiornamento dai clienti nel suo agente di intelligenza artificiale Drift, progettato per integrarsi con Salesforce. Come Google ha ora avvertito, l’attacco è stato diffuso e ha interessato i dati di Google Workspace.
SalesDrift è una piattaforma di terze parti per l’integrazione del chatbot Drift AI con un’istanza di Salesforce, consentendo alle organizzazioni di sincronizzare conversazioni, lead e ticket di supporto con il proprio CRM. Drift può anche integrarsi con una varietà di servizi per semplificare il processo, tra cui Salesforce (non correlato a Salesloft) e altre piattaforme (Slack, Google Workspace e altre).
Secondo Salesloft, l’attacco è avvenuto tra l’8 e il 18 agosto 2025. In seguito all’attacco, gli aggressori hanno ottenuto i token OAuth e di aggiornamento del client Drift utilizzati per l’integrazione con Salesforce, per poi utilizzarli per rubare dati da Salesforce. “Le indagini iniziali hanno rivelato che l’obiettivo principale dell’aggressore era il furto di credenziali, prendendo di mira specificamente informazioni sensibili come chiavi di accesso AWS, password e token di accesso associati a Snowflake”, si leggeva nella dichiarazione iniziale di Salesloft. “Abbiamo stabilito che questo incidente non ha avuto ripercussioni sui clienti che non utilizzano la nostra integrazione Drift-Salesforce. Sulla base delle nostre indagini in corso, non vi sono prove di attività dannose in corso correlate a questo incidente”.
 Prova la Demo di Business Log! Adaptive SOC italiano Log management non solo per la grande Azienda, ma una suite di Audit file, controllo USB, asset, sicurezza e un Security Operation Center PERSONALE, che ti riporta tutte le operazioni necessarie al tuo PC per tutelare i tuoi dati e informati in caso di problemi nel tuo ambiente privato o di lavoro.
Scarica ora la Demo di Business Log per 30gg
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Insieme ai colleghi di Salesforce, gli sviluppatori di Salesloft hanno revocato tutti gli accessi attivi e i token di aggiornamento per Drift. Inoltre, Salesforce ha rimosso l’app Drift da AppExchange in attesa delle indagini e delle garanzie di Salesloft sulla sicurezza della piattaforma.
L’attacco è stato condotto dal gruppo di hacker UNC6395, come riportato la scorsa settimana da Google Threat Intelligence (Mandiant) . Secondo i ricercatori, dopo aver ottenuto l’accesso a un’istanza di Salesforce, gli hacker hanno eseguito query SOQL per estrarre token di autenticazione, password e segreti dai ticket di supporto, il che ha permesso loro di proseguire l’attacco e compromettere altre piattaforme.
“GTIG ha scoperto che UNC6395 prende di mira credenziali sensibili, tra cui chiavi di accesso (AKIA) di Amazon Web Services (AWS), password e token di accesso associati a Snowflake”, ha scritto Google. “UNC6395 dimostra una buona consapevolezza della sicurezza operativa eliminando i processi di query, ma i log non sono stati interessati e le organizzazioni dovrebbero esaminare i log pertinenti per individuare indicatori di una violazione dei dati”.
Gli esperti hanno allegato indicatori di compromissione al loro rapporto e hanno osservato che gli aggressori hanno utilizzato Tor e provider di hosting come AWS e DigitalOcean per nascondere la propria infrastruttura. Le stringhe User-Agent associate al furto di dati includevano python-requests/2.32.4, Python/3.11, aiohttp/3.12.15 e, per gli strumenti personalizzati, Salesforce-Multi-Org-Fetcher/1.0 e Salesforce-CLI/1.0.
Google ha consigliato alle aziende che utilizzano Drift integrato con Salesforce di considerare dei compromessi per l’accesso ai propri dati Salesforce. Le aziende interessate sono state invitate ad adottare misure immediate per mitigare l’incidente. Quel che è peggio è che pochi giorni dopo si è scoperto che la fuga di dati era molto più grande di quanto inizialmente pensato. Gli esperti di Google hanno lanciato l’allarme: gli aggressori hanno utilizzato token OAuth rubati per accedere agli account email di Google Workspace e hanno rubato dati da istanze di Salesforce.
Il problema è che i token OAuth per l’integrazione di Drift Email sono stati compromessi e utilizzati da un aggressore il 9 agosto per accedere all’email di un “numero limitato” di account Google Workspace integrati direttamente con Drift.“Sulla base di nuove informazioni, questo problema non si è limitato all’integrazione di Salesforce con Salesloft Drift, ma ha avuto ripercussioni anche su altre integrazioni”, hanno spiegato i ricercatori. “Ora consigliamo a tutti i clienti di Salesloft Drift di considerare tutti i token di autenticazione archiviati o connessi alla piattaforma Drift come potenzialmente compromessi”.
Salesloft ha inoltre aggiornato il suo bollettino sulla sicurezza e ha dichiarato che Salesforce ha disabilitato l’integrazione di Drift con Salesforce, Slack e Pardot in attesa di un’indagine. Mentre Google attribuisce gli attacchi a un gruppo di hacker con identificativo UNC6395, ShinyHunters ha dichiarato a Bleeping Computer di essere dietro l’attacco. Tuttavia, gli hacker hanno successivamente affermato che l’incidente descritto da Google non era correlato a loro, poiché non avevano estratto dati dalle richieste di supporto.
Negli ultimi mesi, violazioni di dati simili che hanno coinvolto Salesforce e ShinyHunters hanno colpito Adidas , la compagnia aerea Qantas , la compagnia assicurativa Allianz Life, diversi marchi LVMH ( Louis Vuitton , Dior e Tiffany & Co), il sito web Cisco.com, nonché la casa di moda Chanel e l’azienda di gioielli danese Pandora.
ShinyHunters afferma inoltre di collaborare con il gruppo Scattered Spider, responsabile dell’accesso iniziale ai sistemi bersaglio. Gli aggressori ora si fanno chiamare Sp1d3rHunters, una combinazione dei nomi di entrambi i gruppi.
RedazioneIl CEO di NVIDIA, Jen-Hsun Huang, oggi supervisiona direttamente 36 collaboratori suddivisi in sette aree chiave: strategia, hardware, software, intelligenza artificiale, pubbliche relazioni, networki...
OpenAI ha presentato Aardvark, un assistente autonomo basato sul modello GPT-5 , progettato per individuare e correggere automaticamente le vulnerabilità nel codice software. Questo strumento di inte...
Analisi RHC sulla rete “BHS Links” e sulle infrastrutture globali di Black Hat SEO automatizzato Un’analisi interna di Red Hot Cyber sul proprio dominio ha portato alla luce una rete globale di ...
Abbiamo recentemente pubblicato un approfondimento sul “furto del secolo” al Louvre, nel quale sottolineavamo come la sicurezza fisica – accessi, controllo ambientale, vigilanza – sia oggi str...
Una nuova e insidiosa campagna di phishing sta colpendo i cittadini lombardi. I truffatori inviano e-mail che sembrano provenire da una presunta agenzia di recupero crediti, chiedendo il pagamento di ...
