ANÁLISIS
Salesloft Drift, 700 organizaciones: el cúmulo pasa por una integración SaaS
Entre el 8 y el 18 de agosto de 2025 tokens robados al asistente Drift de Salesloft dieron acceso a los datos de Salesforce de más de 700 organizaciones, entre ellas muchos proveedores de seguridad. El análisis: autorizaciones OAuth, secretos en el CRM, cúmulo, responsabilidad del proveedor y preguntas para las renovaciones.
Archivo: reconstrucción escrita en noviembre de 2026
Tema del mes de agosto de 2025 · por cybercoverinsurance
Entre el 8 y el 18 de agosto de 2025 un grupo que Google denomina UNC6395 usó tokens de autorización robados a Drift, un asistente de chat para ventas de Salesloft, para entrar en los entornos Salesforce de los clientes y copiar sus datos. Google estimó más de 700 organizaciones potencialmente afectadas. Entre las empresas que confirmaron haber sido afectadas están Cloudflare, Palo Alto Networks, Zscaler, Proofpoint y otros proveedores de seguridad. El origen fue una cuenta de GitHub de Salesloft comprometida meses antes.
Para quien asume el riesgo cyber el caso es un ejemplo de cúmulo a través de una integración SaaS. Los atacantes no superaron los controles de acceso de las víctimas ni explotaron un fallo de Salesforce: bastó una conexión autorizada entre dos servicios en la nube. Plantea tres preguntas: cuánto valen los datos de un CRM, quién responde cuando se compromete al proveedor de la integración y cómo se cuenta un evento que toca a cientos de asegurados en diez días.
Lo que se sabe
El ataque. Según Google Threat Intelligence, la campaña duró al menos del 8 al 18 de agosto de 2025. Los atacantes robaron tokens OAuth de Drift y los usaron para acceder a los datos de los clientes en Salesforce y exportarlos, con una herramienta automatizada. En los datos buscaban credenciales en texto claro, claves de acceso de AWS y credenciales de VPN y Snowflake, para llegar a otros sistemas de las víctimas. Google aconsejó a los clientes considerar comprometidos los datos, buscar secretos en las instancias de Salesforce y rotar las credenciales. Salesforce precisó que no se trataba de un fallo de su plataforma (CyberScoop).
El alcance. Google indicó más de 700 organizaciones potencialmente afectadas. Salesforce desactivó por precaución todas las integraciones de Salesloft y Salesloft desconectó Drift. Entre las empresas que confirmaron haber sido afectadas: BeyondTrust, Cloudflare, CyberArk, Elastic, Palo Alto Networks, Proofpoint, Qualys, Rubrik, Tenable, Workday y Zscaler. Cloudflare dijo creer que el objetivo era recopilar credenciales e información para ataques posteriores contra los clientes de las víctimas (The Hacker News).
El origen. Según la investigación de Mandiant comunicada por Salesloft, el atacante tuvo acceso a la cuenta de GitHub de Salesloft entre marzo y junio de 2025. Descargó contenido de varios repositorios, creó flujos de trabajo e hizo reconocimiento en los entornos de Salesloft y Drift. Después entró en el entorno AWS de Drift y obtuvo los tokens OAuth de las integraciones de los clientes. A principios de septiembre se restableció la integración de Salesloft con Salesforce, mientras Drift siguió desactivado (Cybersecurity Dive).
Lo que no se sabe. No es público cuántas organizaciones tuvieron datos realmente exportados ni si se usaron las credenciales recopiladas. Mandiant dijo no haber visto más usos en las investigaciones en curso (CyberScoop). No se conocen los costes totales.
El token es una llave que nadie vigila
Una conexión autorizada, no una intrusión. Cada cliente había autorizado a Drift a leer datos de Salesforce. Los atacantes no tuvieron que superar la autenticación multifactor ni los controles de acceso: usaron una autorización ya concedida. Para las víctimas, el acceso parecía tráfico normal de una aplicación.
Un CRM contiene más que contactos comerciales. Los atacantes buscaban credenciales y claves en los datos de Salesforce. Los tickets de soporte pueden contener contraseñas, claves y configuraciones pegadas por clientes y técnicos. Un CRM con datos de soporte es por tanto también un almacén de secretos, y una violación puede abrir otros sistemas.
El proveedor comprometido estaba aguas arriba de un proveedor. Salesloft había sido comprometida en GitHub meses antes, y después en el entorno AWS de Drift. Para los clientes, el riesgo venía del proveedor de una aplicación conectada a otro proveedor. Esta cadena no aparece en la mayoría de las evaluaciones de proveedores.
Cúmulo a través de una integración
Setecientas organizaciones en diez días. El mismo evento tocó a cientos de empresas, muchas de ellas grandes y con pólizas cyber. Es el esquema de MOVEit y Cleo aplicado al SaaS: un componente común, muchas víctimas, datos sustraídos en poco tiempo.
El daño típico es pequeño, la suma no. Para muchas víctimas los datos exportados eran contactos comerciales y tickets de soporte. Los costes típicos son investigación, rotación de credenciales, revisión de datos y, donde hay datos personales, notificaciones. Cada siniestro puede quedar por debajo de la franquicia, pero cientos de investigaciones simultáneas pesan sobre una cartera y sobre la capacidad de los proveedores de respuesta a incidentes.
Los proveedores de seguridad como multiplicadores. Muchas víctimas confirmadas eran empresas de seguridad. Si los atacantes usan los datos recopilados contra sus clientes, como temía Cloudflare, el cúmulo puede propagarse a un segundo nivel. Para quien asume el riesgo, la violación de un proveedor de seguridad es un evento que seguir aunque el proveedor no sea asegurado.
Quién responde
La responsabilidad del proveedor de la integración. Salesloft era el proveedor comprometido. Los clientes pueden reclamar a Salesloft según sus contratos, pero los topes de responsabilidad de los contratos SaaS suelen ser bajos frente a cientos de reclamaciones. Para los aseguradores que pagaron a los clientes, la subrogación frente a Salesloft choca con los mismos límites.
La definición de sistema informático importa. Muchas pólizas cubren los sistemas del asegurado y los gestionados por proveedores por su cuenta. Un entorno Salesforce suele entrar en la segunda categoría. El entorno de Drift, proveedor del proveedor, es más incierto. La diferencia decide qué partidas del daño se cubren como violación propia.
Qué llevar a las renovaciones
Impacto para las aseguradorasAlto
Tokens robados a una aplicación de chat conectada a Salesforce dieron acceso a los datos de más de 700 organizaciones en diez días, sin explotar fallos de Salesforce ni superar los controles de acceso de las víctimas.
En el lado de la cartera, el caso sugiere tratar las integraciones SaaS más extendidas como puntos de cúmulo, al mismo nivel que los grandes proveedores de nube. Un escenario con cientos de investigaciones simultáneas y costes unitarios bajos es útil para verificar la capacidad de respuesta, los límites agregados y las cláusulas de evento único.