Una campagna di furto dati in corso sfrutta strumenti personalizzati per sottrarre informazioni esposte a utenti anonimi tramite Salesforce Experience Cloud e i portali ServiceNow, colpendo aziende di diversi settori a livello globale.
Una sofisticata campagna di furto dati, denominata City-Forum dagli esperti di sicurezza SaaS di Reco, sta prendendo di mira portali Salesforce Experience Cloud e ServiceNow accessibili a utenti anonimi. Gli attacchi, ancora in corso e in crescita, sono stati ricondotti a un unico server collegato all'indirizzo IP 158.220.87.79, ospitato dal provider tedesco Contabo e associato al dominio city-forum.com, attivo almeno da marzo 2025.
Le vittime includono operatori delle telecomunicazioni, banche, fornitori di software enterprise, aziende di sicurezza e privacy dei dati, oltre a portali della pubblica amministrazione. Gli attacchi sfruttano configurazioni errate che permettono a utenti guest di accedere a dati sensibili, senza sfruttare vulnerabilità nei software stessi.
Come agisce la campagna City-Forum
Gli attacchi partono sempre dallo stesso IP e utilizzano quasi sempre il client Go-http-client/1.1 per scaricare dati. Gli indicatori di compromissione sono stati rilevati in quasi tutti gli attacchi contro ambienti Salesforce e ServiceNow. Secondo Reco, l'attività osservata riguarda solo utenti guest, anche se non si esclude che possano essere coinvolti anche account autenticati.
Nel caso di Salesforce, l'attaccante si concentra soprattutto sul vecchio framework Aura, inviando richieste agli endpoint /aura o /s/sfsites/aura per individuare oggetti (come Account, Contatti, Casi) accessibili pubblicamente. Vengono utilizzati i controller HostConfigController.getConfigData e SelectableListDataProviderController.getItems per enumerare e recuperare i dati. In un caso, sono stati registrati oltre 560.000 eventi provenienti dall'IP dell'attaccante, quasi tutti relativi a questa enumerazione guest.
Oltre agli endpoint Aura, City-Forum prende di mira anche siti Salesforce basati sul framework Lightning Web Runtime (LWR), sfruttando l'API UI di Salesforce tramite richieste GraphQL all'endpoint /webruntime/api/services/data/{version}/graphql. Reco sottolinea che non risultano pubblici strumenti di attacco che usino questa tecnica, a differenza di tool noti come AuraInspector, S-RET e CirrusGo.
L'attaccante verifica inoltre la presenza di endpoint /SiteRegister e /CommunitiesSelfReg per capire se è possibile la self-registration, che potrebbe consentire la creazione di account esterni autenticati con privilegi maggiori.
Attacchi anche su ServiceNow e raccomandazioni
La stessa infrastruttura malevola prende di mira i Service Portal di ServiceNow tramite l'endpoint nativo POST /api/now/sp/search?sysparm_cancelable=true, sfruttando la possibilità di effettuare ricerche anonime quando le fonti dati sono configurate in modo troppo permissivo. In un ambiente analizzato, il numero di richieste è passato da decine a centinaia al giorno. Poiché i log di ServiceNow non registrano il corpo delle richieste POST, i difensori possono vedere solo che sono avvenute ricerche automatizzate e la quantità di dati restituiti, senza conoscere i termini di ricerca usati dagli attaccanti.
Pur ricordando che abusi simili su Salesforce erano già stati osservati in passato, come nelle campagne ShinyHunters, Reco non ha trovato collegamenti diretti tra City-Forum e quei gruppi. Un elemento distintivo è la persistenza dell'infrastruttura su un unico IP, a differenza delle campagne precedenti che usavano sistemi e indirizzi diversi.
Gli amministratori Salesforce sono invitati a rivedere regole di condivisione, permessi su oggetti e campi, accesso ai file, visibilità dei membri e impostazioni di self-registration. Per i siti LWR, si raccomanda di disabilitare l'opzione che consente agli utenti guest di accedere alle API pubbliche, se non strettamente necessario. Gli amministratori ServiceNow dovrebbero invece controllare quali fonti di ricerca sono esposte nei Service Portal e applicare controlli di autenticazione rigorosi sui dati sensibili.
Questa ondata di attacchi evidenzia come la sicurezza delle configurazioni sia cruciale per le piattaforme SaaS. Tematiche simili di compromissione delle infrastrutture digitali sono state affrontate anche in altri casi recenti, come nell'analisi di un attacco supply-chain ai plugin WordPress BdThemes che ha permesso la creazione di account amministratore non autorizzati.
