Google potwierdziło, że naruszenie Salesloft Drift jest poważniejsze, niż początkowo informowano. Kampania śledzona przez Mandiant (UNC6395) po raz pierwszy wyszła na jaw 26 sierpnia, gdy atakujący wykradli tokeny OAuth z integracji czatu AI Drift z Salesforce.
🔍 Co się stało?
- Atakujący uzyskali dostęp do instancji Salesforce, wysyłając zapytania o Cases, Accounts, Users i Opportunities.
- Ujawnione wrażliwe dane obejmowały klucze AWS, tokeny Snowflake i hasła znajdujące się w zgłoszeniach do wsparcia.
- Nowe ustalenia pokazują, że przejęto również tokeny OAuth dla Drift Email.
- 9 sierpnia atakujący wykorzystali je do uzyskania dostępu do poczty e-mail niewielkiej liczby kont Google Workspace.
✅ Czego to nie dotyczy:
- Pozostałych kont Workspace w tych domenach
- Infrastruktury Google Workspace i Alphabet
📌 Reakcja Google:
- Unieważniono przejęte tokeny
- Wyłączono integracje Drift Email z Workspace
- Powiadomiono poszkodowanych klientów
- Wezwano wszystkich klientów Drift do:
- unieważnienia i rotacji danych uwierzytelniających
- audytu połączonych systemów pod kątem nieautoryzowanego dostępu
- przeglądu integracji podmiotów trzecich pod kątem ujawnionych sekretów
📢 Reakcja Salesloft:
- Salesforce wyłączył integracje Drift z Salesforce, Slack i Pardot do czasu zakończenia dochodzenia.
- Salesloft zaangażował Mandiant i Coalition do przeprowadzenia dochodzenia.
⚠️ Dlaczego to ważne
To naruszenie pokazuje, jak tokeny OAuth i integracje podmiotów trzecich mogą stać się poważnymi słabymi punktami ekosystemów chmurowych, narażając wrażliwe dane biznesowe i dane infrastruktury chmurowej.
W Alcaeus Services pomagamy organizacjom zabezpieczać integracje podmiotów trzecich, dane uwierzytelniające do chmury i połączenia oparte na OAuth, minimalizując ekspozycję na ataki na łańcuch dostaw, takie jak ten.
