Una campagna di UNC6395 mira all’esfiltrazione dei dati Salesforce tramite token OAuth compromessi

Redazione RHC : 27 Agosto 2025 12:57

E’ stata condotta una campagna sofisticata per esfiltrare dati mirata alle istanze Salesforce delle aziende, la quale ha portato all’esposizione di informazioni sensibili di varie organizzazioni. Ciò è avvenuto attraverso token OAuth compromessi, associati all’applicazione di terze parti Salesloft Drift.

Il threat actor, identificato come UNC6395, ha raccolto credenziali e dati sensibili nel periodo compreso tra l’8 e il 18 agosto 2025. Questo ha dimostrato una notevole conoscenza delle procedure di sicurezza operative, in quanto sono state eseguite query SOQL su diversi oggetti Salesforce.

UNC6395 ha eseguito query SOQL (Salesforce Object Query Language) sistematiche per enumerare ed estrarre dati da oggetti Salesforce critici, tra cui casi, account, utenti e opportunità. La segnalazione arriva da Google Threat Intelligence Group che l’autore della minaccia ha utilizzato token di accesso OAuth compromessi e token di aggiornamento dall’applicazione Salesloft Drift per autenticarsi sulle istanze Salesforce di destinazione.

CALL FOR SPONSOR - Sponsorizza l'ottavo episodio della serie Betti-RHC Sei un'azienda innovativa, che crede nella diffusione di concetti attraverso metodi "non convenzionali"?  Conosci il nostro corso sul cybersecurity awareness a fumetti?  Red Hot Cyber sta ricercando un nuovo sponsor per una nuova puntata del fumetto Betti-RHC mentre il team è impegnato a realizzare 3 nuovi episodi che ci sono stati commissionati.  Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected] Supporta RHC attraverso: L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Salesloft ha affermato che l’aggressore ha preso di mira specificamente le chiavi di accesso AWS (identificatori AKIA), le password, le credenziali Snowflake e altri materiali di autenticazione sensibili archiviati nei campi personalizzati e negli oggetti standard di Salesforce.

UNC6395 sfruttava meccanismi di autenticazione OAuth legittimi per ottenere l’accesso non autorizzato, aggirando i controlli di sicurezza tradizionali e rendendo il rilevamento particolarmente difficile per le organizzazioni interessate.

Salesforce e Salesloft hanno risposto revocando tutti i token OAuth attivi associati all’applicazione Drift il 20 agosto 2025, interrompendo di fatto il vettore di attacco. L’analisi post-esfiltrazione ha rivelato che l’attore ha cercato nei dati estratti modelli corrispondenti ai formati delle credenziali, indicando un obiettivo primario della raccolta delle credenziali piuttosto che del tradizionale furto di dati.

Questo vettore di attacco sfrutta il framework di autorizzazione OAuth 2.0, il quale consente alle applicazioni di terze parti di accedere ai dati Salesforce senza esporre direttamente le credenziali dell’utente. L’attore ha dimostrato una certa sofisticatezza tecnica eseguendo query COUNT per valutare i volumi di dati prima dell’esfiltrazione:

L’applicazione Drift è stata successivamente rimossa da Salesforce AppExchange in attesa di una revisione completa della sicurezza

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli