ATTACCHI · COMPROMISSIONE DI UN FORNITORE DI SERVIZI O SAAS
Salesloft Drift, agosto 2025: token rubati aprono i dati Salesforce di 700 organizzazioni
Tra l'8 e il 18 agosto 2025 token OAuth rubati all'assistente Drift di Salesloft hanno dato accesso ai dati Salesforce dei clienti. Google stima oltre 700 organizzazioni potenzialmente coinvolte, tra cui molti fornitori di sicurezza.
- Vittima
- Clienti Salesforce che usavano l'integrazione Drift di Salesloft
- Settore
- Trasversale, molti fornitori di sicurezza
- Paese
- Più paesi
- Data
- 8 agosto 2025
- Categoria
- Compromissione di un fornitore di servizi o SaaS
- Causa
- Token OAuth o chiavi API rubati · Accesso tramite fornitore o terza parte
- Attore
- Non identificato. Gruppo che Google chiama UNC6395, non attribuito
- Scenari di danno
- Notifica e responsabilità privacy · Responsabilità verso terzi
Le cause in breve
- Origine. L'attaccante aveva accesso all'account GitHub di Salesloft tra marzo e giugno 2025, poi è entrato nell'ambiente AWS di Drift (Cybersecurity Dive).
- Accesso alle vittime. Con i token OAuth delle integrazioni ha letto ed esportato i dati Salesforce dei clienti, senza superare MFA né sfruttare difetti di Salesforce (CyberScoop).
- Obiettivo. Nei dati cercava credenziali in chiaro, chiavi AWS e credenziali VPN e Snowflake.
- Controllo mancato. Inventario e revisione dei permessi delle applicazioni collegate al CRM.
L'impatto
- Oltre 700 organizzazioni potenzialmente coinvolte, secondo Google.
- Vittime confermate tra cui Cloudflare, Palo Alto Networks, Zscaler, Proofpoint, Tenable e Workday (The Hacker News).
- Salesforce ha disattivato tutte le integrazioni di Salesloft; Drift è stato messo offline.
- Non è noto quante organizzazioni abbiano avuto dati esportati, né i costi complessivi.
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine, rotazione delle credenziali e revisione dei dati esposti sono il costo tipico per ogni cliente coinvolto.
- Ripristino di dati e sistemiNon pertinenteI dati sono stati copiati, non distrutti o cifrati.
- Business interruption propriaNon pertinenteLe vittime non hanno avuto un fermo della propria attività.
- Business interruption dipendente (fornitore)Risponde con limitiLa disattivazione di Drift è un fermo di un'applicazione secondaria, di norma sotto il periodo di attesa.
- EstorsioneNon pertinenteLe fonti non riportano richieste di riscatto.
- Notifica e responsabilità privacyDipende dal wordingRisponde dove i dati esportati contengono dati personali e la polizza include tra i sistemi coperti quelli di un fornitore SaaS e dei suoi fornitori.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRispondeRisponde a richieste di terzi i cui dati erano nel CRM.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Definizione di sistema informatico. L'ambiente Salesforce gestito per conto dell'assicurato rientra di solito; quello di Drift, fornitore del fornitore, è incerto.
- Franchigia. Molti sinistri singoli restano sotto la franchigia, ma centinaia di indagini contemporanee pesano sul portafoglio.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Un collegamento autorizzato tra due servizi cloud ha dato accesso ai dati di oltre 700 organizzazioni in dieci giorni.
Segnale di cumulo per il portafoglio.
Cumulo attraverso un'integrazione SaaS diffusa, con fornitori di sicurezza tra le vittime che possono propagarlo ai propri clienti.