Redazione RHC : 2 Settembre 2025 07:55
La scorsa settimana è emerso che degli hacker criminali avevano compromesso la piattaforma di automazione delle vendite Salesloft e rubato token OAuth e di aggiornamento dai clienti nel suo agente di intelligenza artificiale Drift, progettato per integrarsi con Salesforce. Come Google ha ora avvertito, l’attacco è stato diffuso e ha interessato i dati di Google Workspace.
SalesDrift è una piattaforma di terze parti per l’integrazione del chatbot Drift AI con un’istanza di Salesforce, consentendo alle organizzazioni di sincronizzare conversazioni, lead e ticket di supporto con il proprio CRM. Drift può anche integrarsi con una varietà di servizi per semplificare il processo, tra cui Salesforce (non correlato a Salesloft) e altre piattaforme (Slack, Google Workspace e altre).
Secondo Salesloft, l’attacco è avvenuto tra l’8 e il 18 agosto 2025. In seguito all’attacco, gli aggressori hanno ottenuto i token OAuth e di aggiornamento del client Drift utilizzati per l’integrazione con Salesforce, per poi utilizzarli per rubare dati da Salesforce. “Le indagini iniziali hanno rivelato che l’obiettivo principale dell’aggressore era il furto di credenziali, prendendo di mira specificamente informazioni sensibili come chiavi di accesso AWS, password e token di accesso associati a Snowflake”, si leggeva nella dichiarazione iniziale di Salesloft. “Abbiamo stabilito che questo incidente non ha avuto ripercussioni sui clienti che non utilizzano la nostra integrazione Drift-Salesforce. Sulla base delle nostre indagini in corso, non vi sono prove di attività dannose in corso correlate a questo incidente”.
 CVE Enrichment Mentre la finestra tra divulgazione pubblica di una vulnerabilità e sfruttamento si riduce sempre di più, Red Hot Cyber ha lanciato un servizio pensato per supportare professionisti IT, analisti della sicurezza, aziende e pentester: un sistema di monitoraggio gratuito che mostra le vulnerabilità critiche pubblicate negli ultimi 3 giorni dal database NVD degli Stati Uniti e l'accesso ai loro exploit su GitHub.
Cosa trovi nel servizio: ✅ Visualizzazione immediata delle CVE con filtri per gravità e vendor. ✅ Pagine dedicate per ogni CVE con arricchimento dati (NIST, EPSS, percentile di rischio, stato di sfruttamento CISA KEV). ✅ Link ad articoli di approfondimento ed exploit correlati su GitHub, per ottenere un quadro completo della minaccia. ✅ Funzione di ricerca: inserisci un codice CVE e accedi subito a insight completi e contestualizzati.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Insieme ai colleghi di Salesforce, gli sviluppatori di Salesloft hanno revocato tutti gli accessi attivi e i token di aggiornamento per Drift. Inoltre, Salesforce ha rimosso l’app Drift da AppExchange in attesa delle indagini e delle garanzie di Salesloft sulla sicurezza della piattaforma.
L’attacco è stato condotto dal gruppo di hacker UNC6395, come riportato la scorsa settimana da Google Threat Intelligence (Mandiant) . Secondo i ricercatori, dopo aver ottenuto l’accesso a un’istanza di Salesforce, gli hacker hanno eseguito query SOQL per estrarre token di autenticazione, password e segreti dai ticket di supporto, il che ha permesso loro di proseguire l’attacco e compromettere altre piattaforme.
“GTIG ha scoperto che UNC6395 prende di mira credenziali sensibili, tra cui chiavi di accesso (AKIA) di Amazon Web Services (AWS), password e token di accesso associati a Snowflake”, ha scritto Google. “UNC6395 dimostra una buona consapevolezza della sicurezza operativa eliminando i processi di query, ma i log non sono stati interessati e le organizzazioni dovrebbero esaminare i log pertinenti per individuare indicatori di una violazione dei dati”.
Gli esperti hanno allegato indicatori di compromissione al loro rapporto e hanno osservato che gli aggressori hanno utilizzato Tor e provider di hosting come AWS e DigitalOcean per nascondere la propria infrastruttura. Le stringhe User-Agent associate al furto di dati includevano python-requests/2.32.4, Python/3.11, aiohttp/3.12.15 e, per gli strumenti personalizzati, Salesforce-Multi-Org-Fetcher/1.0 e Salesforce-CLI/1.0.
Google ha consigliato alle aziende che utilizzano Drift integrato con Salesforce di considerare dei compromessi per l’accesso ai propri dati Salesforce. Le aziende interessate sono state invitate ad adottare misure immediate per mitigare l’incidente. Quel che è peggio è che pochi giorni dopo si è scoperto che la fuga di dati era molto più grande di quanto inizialmente pensato. Gli esperti di Google hanno lanciato l’allarme: gli aggressori hanno utilizzato token OAuth rubati per accedere agli account email di Google Workspace e hanno rubato dati da istanze di Salesforce.
Il problema è che i token OAuth per l’integrazione di Drift Email sono stati compromessi e utilizzati da un aggressore il 9 agosto per accedere all’email di un “numero limitato” di account Google Workspace integrati direttamente con Drift.“Sulla base di nuove informazioni, questo problema non si è limitato all’integrazione di Salesforce con Salesloft Drift, ma ha avuto ripercussioni anche su altre integrazioni”, hanno spiegato i ricercatori. “Ora consigliamo a tutti i clienti di Salesloft Drift di considerare tutti i token di autenticazione archiviati o connessi alla piattaforma Drift come potenzialmente compromessi”.
Salesloft ha inoltre aggiornato il suo bollettino sulla sicurezza e ha dichiarato che Salesforce ha disabilitato l’integrazione di Drift con Salesforce, Slack e Pardot in attesa di un’indagine. Mentre Google attribuisce gli attacchi a un gruppo di hacker con identificativo UNC6395, ShinyHunters ha dichiarato a Bleeping Computer di essere dietro l’attacco. Tuttavia, gli hacker hanno successivamente affermato che l’incidente descritto da Google non era correlato a loro, poiché non avevano estratto dati dalle richieste di supporto.
Negli ultimi mesi, violazioni di dati simili che hanno coinvolto Salesforce e ShinyHunters hanno colpito Adidas , la compagnia aerea Qantas , la compagnia assicurativa Allianz Life, diversi marchi LVMH ( Louis Vuitton , Dior e Tiffany & Co), il sito web Cisco.com, nonché la casa di moda Chanel e l’azienda di gioielli danese Pandora.
ShinyHunters afferma inoltre di collaborare con il gruppo Scattered Spider, responsabile dell’accesso iniziale ai sistemi bersaglio. Gli aggressori ora si fanno chiamare Sp1d3rHunters, una combinazione dei nomi di entrambi i gruppi.
RedazioneIl lavoro da remoto, ha dato libertà ai dipendenti, ma con essa è arrivata anche la sorveglianza digitale. Ne abbiamo parlato qualche tempo fa in un articolo riportando che tali strumenti di monitor...
ROMA – La profonda crisi istituzionale che ha investito l’Autorità Garante per la Protezione dei Dati Personali ha spinto Guido Scorza, componente del Collegio, a un intervento pubblico mirato a ...
Negli ultimi anni, il panorama della sicurezza informatica in Italia ha visto una preoccupante escalation di attacchi, con un aumento significativo dei crimini informatici. Un fenomeno particolarmente...
Quest’autunno, abbiamo avuto un bel po’ di grattacapi con il cloud, non so se ci avete fatto caso. Cioè, AWS, Azure, e dopo Cloudflare. Tutti giù, uno dopo l’altro. Una sfilza di interruzioni ...
Il CERT-AGID ha rilevato recentemente una sofisticata campagna di phishing mirato che sta prendendo di mira gli studenti dell’Università di Padova (UniPd). L’operazione, ancora in corso, sfrutta ...
