Il 26 agosto i ricercatori di Google hanno lanciato l’allarme su una campagna di furto di dati «diffusa» contro i clienti di Salesforce, la piattaforma di gestione clienti più usata al mondo. Salesforce in sé non è stata violata. Gli attaccanti sono entrati da un’applicazione di terze parti collegata, Drift, il chatbot di Salesloft per marketing e vendite.
Almeno dall’8 al 18 agosto un gruppo che Google chiama UNC6395 ha usato token OAuth rubati, cioè le autorizzazioni che le aziende avevano concesso a Drift per leggere i propri dati Salesforce. Con quei token ha interrogato le istanze delle vittime ed esportato in blocco account, contatti, utenti, opportunità e ticket di assistenza.
Cercavano altre chiavi
I dati dei clienti, però, non erano il vero bottino. Nei file esportati gli attaccanti cercavano credenziali: chiavi di accesso ad AWS, token Snowflake, password e altri segreti che qualcuno aveva incollato, per esempio, in un ticket di supporto. Dopo ogni estrazione gli attaccanti cancellavano le query per coprire le tracce. I log, però, restavano.
Il 20 agosto Salesloft e Salesforce hanno revocato tutti i token di Drift e tolto l’app dal marketplace. Il 28 agosto Google ha allargato il perimetro: il problema non riguarda solo l’integrazione con Salesforce, e anche alcuni account di posta collegati a Drift sono stati violati. Tutti i token memorizzati in Drift o collegati alla piattaforma vanno quindi considerati compromessi. Le organizzazioni coinvolte sono centinaia. Come gli attaccanti abbiano ottenuto i token in origine, non è ancora stato spiegato.
Un token OAuth funziona come una chiave sempre valida: non chiede password, non passa dall’autenticazione a più fattori. Ogni applicazione che colleghi ai tuoi sistemi cloud ti porta in casa anche la sua sicurezza, nel bene e nel male.
Se usavi Drift, scollega l’integrazione e rigenera tutte le credenziali collegate. Poi cerca nei dati di Salesforce chiavi, password e token, ruotali e smetti di scriverli nei ticket. Nei log, le query massive e le esportazioni anomale fatte dalle app collegate sono il segnale da cercare.
Infine apri l’elenco delle app di terze parti autorizzate. Ne troverai quasi certamente qualcuna che nessuno usa più: toglila, e per le altre limita permessi e indirizzi IP da cui possono collegarsi.
