Dall’AI chatbot al furto di dati globali: la falla Drift scuote Google Workspace

Redazione RHC : 2 Settembre 2025 07:55

La scorsa settimana è emerso che degli hacker criminali avevano compromesso la piattaforma di automazione delle vendite Salesloft e rubato token OAuth e di aggiornamento dai clienti nel suo agente di intelligenza artificiale Drift, progettato per integrarsi con Salesforce. Come Google ha ora avvertito, l’attacco è stato diffuso e ha interessato i dati di Google Workspace.

SalesDrift è una piattaforma di terze parti per l’integrazione del chatbot Drift AI con un’istanza di Salesforce, consentendo alle organizzazioni di sincronizzare conversazioni, lead e ticket di supporto con il proprio CRM. Drift può anche integrarsi con una varietà di servizi per semplificare il processo, tra cui Salesforce (non correlato a Salesloft) e altre piattaforme (Slack, Google Workspace e altre).

Secondo Salesloft, l’attacco è avvenuto tra l’8 e il 18 agosto 2025. In seguito all’attacco, gli aggressori hanno ottenuto i token OAuth e di aggiornamento del client Drift utilizzati per l’integrazione con Salesforce, per poi utilizzarli per rubare dati da Salesforce. “Le indagini iniziali hanno rivelato che l’obiettivo principale dell’aggressore era il furto di credenziali, prendendo di mira specificamente informazioni sensibili come chiavi di accesso AWS, password e token di accesso associati a Snowflake”, si leggeva nella dichiarazione iniziale di Salesloft. “Abbiamo stabilito che questo incidente non ha avuto ripercussioni sui clienti che non utilizzano la nostra integrazione Drift-Salesforce. Sulla base delle nostre indagini in corso, non vi sono prove di attività dannose in corso correlate a questo incidente”.

Insieme ai colleghi di Salesforce, gli sviluppatori di Salesloft hanno revocato tutti gli accessi attivi e i token di aggiornamento per Drift. Inoltre, Salesforce ha rimosso l’app Drift da AppExchange in attesa delle indagini e delle garanzie di Salesloft sulla sicurezza della piattaforma.

L’attacco è stato condotto dal gruppo di hacker UNC6395, come riportato la scorsa settimana da Google Threat Intelligence (Mandiant) . Secondo i ricercatori, dopo aver ottenuto l’accesso a un’istanza di Salesforce, gli hacker hanno eseguito query SOQL per estrarre token di autenticazione, password e segreti dai ticket di supporto, il che ha permesso loro di proseguire l’attacco e compromettere altre piattaforme.

“GTIG ha scoperto che UNC6395 prende di mira credenziali sensibili, tra cui chiavi di accesso (AKIA) di Amazon Web Services (AWS), password e token di accesso associati a Snowflake”, ha scritto Google. “UNC6395 dimostra una buona consapevolezza della sicurezza operativa eliminando i processi di query, ma i log non sono stati interessati e le organizzazioni dovrebbero esaminare i log pertinenti per individuare indicatori di una violazione dei dati”.

Gli esperti hanno allegato indicatori di compromissione al loro rapporto e hanno osservato che gli aggressori hanno utilizzato Tor e provider di hosting come AWS e DigitalOcean per nascondere la propria infrastruttura. Le stringhe User-Agent associate al furto di dati includevano python-requests/2.32.4, Python/3.11, aiohttp/3.12.15 e, per gli strumenti personalizzati, Salesforce-Multi-Org-Fetcher/1.0 e Salesforce-CLI/1.0.

Google ha consigliato alle aziende che utilizzano Drift integrato con Salesforce di considerare dei compromessi per l’accesso ai propri dati Salesforce. Le aziende interessate sono state invitate ad adottare misure immediate per mitigare l’incidente. Quel che è peggio è che pochi giorni dopo si è scoperto che la fuga di dati era molto più grande di quanto inizialmente pensato. Gli esperti di Google hanno lanciato l’allarme: gli aggressori hanno utilizzato token OAuth rubati per accedere agli account email di Google Workspace e hanno rubato dati da istanze di Salesforce.

Il problema è che i token OAuth per l’integrazione di Drift Email sono stati compromessi e utilizzati da un aggressore il 9 agosto per accedere all’email di un “numero limitato” di account Google Workspace integrati direttamente con Drift.“Sulla base di nuove informazioni, questo problema non si è limitato all’integrazione di Salesforce con Salesloft Drift, ma ha avuto ripercussioni anche su altre integrazioni”, hanno spiegato i ricercatori. “Ora consigliamo a tutti i clienti di Salesloft Drift di considerare tutti i token di autenticazione archiviati o connessi alla piattaforma Drift come potenzialmente compromessi”.

Salesloft ha inoltre aggiornato il suo bollettino sulla sicurezza e ha dichiarato che Salesforce ha disabilitato l’integrazione di Drift con Salesforce, Slack e Pardot in attesa di un’indagine. Mentre Google attribuisce gli attacchi a un gruppo di hacker con identificativo UNC6395, ShinyHunters ha dichiarato a Bleeping Computer di essere dietro l’attacco. Tuttavia, gli hacker hanno successivamente affermato che l’incidente descritto da Google non era correlato a loro, poiché non avevano estratto dati dalle richieste di supporto.

Negli ultimi mesi, violazioni di dati simili che hanno coinvolto Salesforce e ShinyHunters hanno colpito Adidas , la compagnia aerea Qantas , la compagnia assicurativa Allianz Life, diversi marchi LVMH ( Louis Vuitton , Dior e Tiffany & Co), il sito web Cisco.com, nonché la casa di moda Chanel e l’azienda di gioielli danese Pandora.

ShinyHunters afferma inoltre di collaborare con il gruppo Scattered Spider, responsabile dell’accesso iniziale ai sistemi bersaglio. Gli aggressori ora si fanno chiamare Sp1d3rHunters, una combinazione dei nomi di entrambi i gruppi.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli