ANALYSES
Salesloft Drift, 700 organisations : le cumul passe par une intégration SaaS
Entre le 8 et le 18 août 2025, des jetons volés à l'assistant Drift de Salesloft ont donné accès aux données Salesforce de plus de 700 organisations, dont de nombreux fournisseurs de sécurité. L'analyse : autorisations OAuth, secrets dans le CRM, cumul, responsabilité du fournisseur et questions pour les renouvellements.
Archives : reconstitution rédigée en novembre 2026
Thème du mois d'août 2025 · par cybercoverinsurance
Entre le 8 et le 18 août 2025, un groupe que Google nomme UNC6395 a utilisé des jetons d'autorisation volés à Drift, un assistant de discussion commerciale de Salesloft, pour entrer dans les environnements Salesforce des clients et copier leurs données. Google a estimé à plus de 700 le nombre d'organisations potentiellement concernées. Parmi les entreprises qui ont confirmé avoir été touchées figurent Cloudflare, Palo Alto Networks, Zscaler, Proofpoint et d'autres fournisseurs de sécurité. L'origine était un compte GitHub de Salesloft compromis des mois plus tôt.
Pour qui porte le risque cyber, le cas est un exemple de cumul par une intégration SaaS. Les attaquants n'ont ni contourné les contrôles d'accès des victimes ni exploité une faille de Salesforce : une connexion autorisée entre deux services cloud a suffi. Il pose trois questions : que valent les données d'un CRM, qui répond lorsque le fournisseur de l'intégration est compromis, et comment compter un événement qui touche des centaines d'assurés en dix jours.
Ce que l'on sait
L'attaque. Selon Google Threat Intelligence, la campagne s'est déroulée au moins du 8 au 18 août 2025. Les attaquants ont volé des jetons OAuth de Drift et les ont utilisés pour accéder aux données des clients dans Salesforce et les exporter, avec un outil automatisé. Dans les données, ils cherchaient des identifiants en clair, des clés d'accès AWS et des identifiants VPN et Snowflake, pour atteindre d'autres systèmes des victimes. Google a conseillé aux clients de considérer les données comme compromises, de chercher des secrets dans les instances Salesforce et de renouveler les identifiants. Salesforce a précisé qu'il ne s'agissait pas d'une faille de sa plateforme (CyberScoop).
L'ampleur. Google a fait état de plus de 700 organisations potentiellement concernées. Salesforce a désactivé par précaution toutes les intégrations de Salesloft, et Salesloft a mis Drift hors ligne. Parmi les entreprises qui ont confirmé avoir été touchées : BeyondTrust, Cloudflare, CyberArk, Elastic, Palo Alto Networks, Proofpoint, Qualys, Rubrik, Tenable, Workday et Zscaler. Cloudflare a déclaré penser que l'objectif était de collecter des identifiants et des informations pour des attaques ultérieures contre les clients des victimes (The Hacker News).
L'origine. Selon l'enquête de Mandiant communiquée par Salesloft, l'attaquant a eu accès au compte GitHub de Salesloft entre mars et juin 2025. Il a téléchargé le contenu de plusieurs dépôts, créé des flux de travail et mené des reconnaissances dans les environnements de Salesloft et de Drift. Il est ensuite entré dans l'environnement AWS de Drift et a obtenu les jetons OAuth des intégrations des clients. Début septembre, l'intégration de Salesloft avec Salesforce a été rétablie, tandis que Drift restait désactivé (Cybersecurity Dive).
Ce que l'on ne sait pas. Le nombre d'organisations dont les données ont réellement été exportées, et l'usage éventuel des identifiants collectés, ne sont pas publics. Mandiant a indiqué n'avoir constaté aucun autre usage dans les enquêtes en cours (CyberScoop). Les coûts totaux ne sont pas connus.
Le jeton est une clé que personne ne surveille
Une connexion autorisée, pas une intrusion. Chaque client avait autorisé Drift à lire des données Salesforce. Les attaquants n'ont eu à contourner ni l'authentification multifacteur ni les contrôles d'accès : ils ont utilisé une autorisation déjà accordée. Pour les victimes, l'accès ressemblait au trafic normal d'une application.
Un CRM contient plus que des contacts commerciaux. Les attaquants cherchaient des identifiants et des clés dans les données Salesforce. Les tickets de support peuvent contenir des mots de passe, des clés et des configurations collés par des clients et des techniciens. Un CRM avec des données de support est donc aussi un coffre de secrets, et une violation peut ouvrir d'autres systèmes.
Le fournisseur compromis était en amont d'un fournisseur. Salesloft avait été compromis sur GitHub des mois plus tôt, puis dans l'environnement AWS de Drift. Pour les clients, le risque venait du fournisseur d'une application connectée à un autre fournisseur. Cette chaîne n'apparaît pas dans la plupart des évaluations de fournisseurs.
Le cumul par une intégration
Sept cents organisations en dix jours. Le même événement a touché des centaines d'entreprises, souvent grandes et assurées en cyber. C'est le schéma de MOVEit et de Cleo appliqué au SaaS : un composant commun, de nombreuses victimes, des données prises en peu de temps.
Le dommage type est petit, la somme ne l'est pas. Pour beaucoup de victimes, les données exportées étaient des contacts commerciaux et des tickets de support. Les coûts types sont l'investigation, le renouvellement des identifiants, la revue des données et, en présence de données personnelles, les notifications. Chaque sinistre peut rester sous la franchise, mais des centaines d'investigations simultanées pèsent sur un portefeuille et sur la capacité des prestataires de réponse aux incidents.
Les fournisseurs de sécurité comme multiplicateurs. Beaucoup de victimes confirmées étaient des entreprises de sécurité. Si les attaquants utilisent les données collectées contre leurs clients, comme le craignait Cloudflare, le cumul peut se propager à un second niveau. Pour qui porte le risque, la violation d'un fournisseur de sécurité est un événement à suivre même lorsque ce fournisseur n'est pas assuré.
Qui répond
La responsabilité du fournisseur de l'intégration. Salesloft était le fournisseur compromis. Les clients peuvent se retourner contre Salesloft selon leurs contrats, mais les plafonds de responsabilité des contrats SaaS sont en général bas face à des centaines de réclamations. Pour les assureurs qui ont indemnisé des clients, le recours subrogatoire contre Salesloft se heurte aux mêmes limites.
La définition du système informatique compte. De nombreuses polices couvrent les systèmes de l'assuré et ceux exploités par des prestataires pour son compte. Un environnement Salesforce relève en général de la seconde catégorie. L'environnement de Drift, fournisseur du fournisseur, est plus incertain. La différence décide quels postes du dommage sont couverts comme violation propre.
Ce qu'il faut apporter aux renouvellements
Impact pour les assureursÉlevé
Des jetons volés à une application de discussion connectée à Salesforce ont donné accès aux données de plus de 700 organisations en dix jours, sans exploiter de faille de Salesforce ni contourner les contrôles d'accès des victimes.
Côté portefeuille, le cas invite à traiter les intégrations SaaS les plus répandues comme des points de cumul, au même titre que les grands fournisseurs cloud. Un scénario avec des centaines d'investigations simultanées à faible coût unitaire est utile pour vérifier la capacité de réponse, les plafonds agrégés et les clauses d'événement unique.