Un'unica infrastruttura ha sottratto dati da portali Salesforce e ServiceNow di aziende di diversi settori per oltre un anno, secondo una ricerca di Reco. L'attacco sfrutta permessi eccessivi concessi agli utenti guest, colpendo banche, telecom e portali pubblici.
Un'infrastruttura unica, identificata da Reco come la campagna City Forum, ha esfiltrato dati da portali Salesforce e ServiceNow di aziende di vari settori per oltre un anno. La ricerca, pubblicata da Reco, rivela che tutte le attività riconducono a un solo server (158.220.87.79), ospitato presso il provider tedesco Contabo. Ogni richiesta proveniente da questo server utilizza il fingerprint del client Go-http, segnalando l'uso di uno strumento compilato ad hoc e non di un browser tradizionale.
Obiettivi e tecniche dell'attacco
Secondo Reco, la campagna ha preso di mira aziende di telecomunicazioni, banche, fornitori di software enterprise, società di sicurezza e privacy, oltre a portali della pubblica amministrazione. Nessuna organizzazione è stata nominata direttamente. Rispetto ad attacchi precedenti su Salesforce, come quelli attribuiti a ShinyHunters, City Forum si distingue per la varietà di superfici colpite. L'attaccante sfrutta sia il vecchio framework Aura di Salesforce, generando grandi volumi di richieste guest per enumerare oggetti e consultare record, sia il più recente Lightning Web Runtime tramite l'UI-API, attraversando in sequenza le versioni API dalla v56.0 alla v66.0. Inoltre, lo stesso server interroga l'endpoint di ricerca nativo di ServiceNow Service Portal, POST /api/now/sp/search, poco documentato pubblicamente.
Vulnerabilità dei profili guest e rilevamento
Il punto debole comune è l'eccessivo accesso concesso agli utenti guest, che non possono essere eliminati ma solo limitati. Se il profilo guest può leggere un record, quel dato diventa di fatto pubblico, anche se il portale richiede login per la visualizzazione. Reco suggerisce ai team di sicurezza di Salesforce di monitorare i log AuraRequest e Sites, cercando il Go-http-client come user agent, l'IP sospetto e richieste verso /webruntime/api/services/data, oltre a picchi di tentativi di self registration. Su ServiceNow, si consiglia di filtrare la tabella syslog_transaction per IP e URL che iniziano con /api/now/sp/search, segnalando righe guest e output anomali.
Azioni di mitigazione e stato attuale
La mitigazione, secondo Reco, deve concentrarsi sulla restrizione dei permessi del profilo guest, non sugli endpoint. Su Salesforce, occorre rivedere le regole di condivisione, ridurre l'accesso a oggetti e campi, disabilitare la self registration se non necessaria e bloccare l'accesso guest alle API pubbliche. Su ServiceNow, è fondamentale mappare le fonti di ricerca esposte e verificare i criteri di lettura della Knowledge Base. L'infrastruttura dell'attacco è ancora attiva e il volume delle attività è in crescita. Reco non attribuisce la campagna a un gruppo specifico. Ulteriori dettagli tecnici e indicazioni sono disponibili nella pubblicazione di Reco sulla campagna City Forum.
Implicazioni per la sicurezza e risorse per i responsabili IT
Per i responsabili della sicurezza che devono decidere come allocare il budget tra la protezione delle applicazioni e altre priorità, Reco mette a disposizione una guida alla pianificazione degli investimenti in sicurezza AI, utile per valutare fornitori e costruire un business case per il board.
