ANALISI
Salesloft Drift, 700 organizzazioni: il cumulo passa da un'integrazione SaaS
Tra l'8 e il 18 agosto 2025 token rubati all'assistente Drift di Salesloft hanno dato accesso ai dati Salesforce di oltre 700 organizzazioni, tra cui molti fornitori di sicurezza. L'analisi: autorizzazioni OAuth, segreti nel CRM, cumulo, responsabilità del fornitore e domande per i rinnovi.
Archivio: ricostruzione scritta a novembre 2026
Tema del mese di agosto 2025 · di cybercoverinsurance
Tra l'8 e il 18 agosto 2025 un gruppo che Google chiama UNC6395 ha usato token di autorizzazione rubati a Drift, un assistente di chat per le vendite di Salesloft, per entrare negli ambienti Salesforce dei clienti e copiarne i dati. Google ha stimato oltre 700 organizzazioni potenzialmente coinvolte. Tra le aziende che hanno confermato di essere state colpite ci sono Cloudflare, Palo Alto Networks, Zscaler, Proofpoint e altri fornitori di sicurezza. L'origine era un account GitHub di Salesloft violato mesi prima.
Per chi assume il rischio cyber il caso è un esempio di cumulo attraverso un'integrazione SaaS. Gli attaccanti non hanno superato i controlli d'accesso delle vittime né sfruttato un difetto di Salesforce: è bastato un collegamento autorizzato tra due servizi cloud. Pone tre domande: quanto valgono i dati contenuti in un CRM, chi risponde quando il fornitore dell'integrazione è violato e come si conta un evento che tocca centinaia di assicurati in dieci giorni.
Cosa si sa
L'attacco. Secondo Google Threat Intelligence, la campagna è durata almeno dall'8 al 18 agosto 2025. Gli attaccanti hanno rubato token OAuth di Drift e li hanno usati per accedere ai dati dei clienti in Salesforce ed esportarli, con uno strumento automatizzato. Nei dati cercavano credenziali in chiaro, chiavi di accesso AWS, credenziali VPN e Snowflake, per arrivare ad altri sistemi delle vittime. Google ha consigliato ai clienti di considerare compromessi i dati, cercare segreti nelle istanze Salesforce e ruotare le credenziali. Salesforce ha precisato che non si trattava di un difetto della propria piattaforma (CyberScoop).
La portata. Google ha indicato oltre 700 organizzazioni potenzialmente coinvolte. Salesforce ha disattivato in via precauzionale tutte le integrazioni di Salesloft e Salesloft ha messo Drift offline. Tra le aziende che hanno confermato di essere state colpite: BeyondTrust, Cloudflare, CyberArk, Elastic, Palo Alto Networks, Proofpoint, Qualys, Rubrik, Tenable, Workday e Zscaler. Cloudflare ha detto di ritenere che l'obiettivo fosse raccogliere credenziali e informazioni per attacchi successivi contro i clienti delle vittime (The Hacker News).
L'origine. Secondo l'indagine di Mandiant comunicata da Salesloft, l'attaccante aveva accesso all'account GitHub di Salesloft tra marzo e giugno 2025. Ha scaricato contenuti da più repository, creato flussi di lavoro e fatto ricognizione negli ambienti di Salesloft e Drift. Poi è entrato nell'ambiente AWS di Drift e ha ottenuto i token OAuth delle integrazioni dei clienti. A inizio settembre l'integrazione di Salesloft con Salesforce è stata ripristinata, mentre Drift è rimasto disattivato (Cybersecurity Dive).
Cosa non è noto. Non è pubblico quante organizzazioni abbiano avuto dati effettivamente esportati, né se le credenziali raccolte siano state usate. Mandiant ha detto di non aver visto ulteriori usi nelle indagini in corso (CyberScoop). Non sono noti i costi complessivi.
Il token è una chiave che nessuno guarda
Un collegamento autorizzato, non un'intrusione. Ogni cliente aveva autorizzato Drift a leggere i dati di Salesforce. Gli attaccanti non hanno dovuto superare autenticazione a più fattori né controlli di accesso: hanno usato un'autorizzazione già concessa. Per le vittime, l'accesso appariva come traffico normale di un'applicazione.
Il CRM contiene più di contatti commerciali. Gli attaccanti cercavano credenziali e chiavi nei dati di Salesforce. I ticket di assistenza possono contenere password, chiavi e configurazioni incollate da clienti e tecnici. Un CRM con dati di supporto è quindi anche un archivio di segreti, e una violazione può aprire altri sistemi.
Il fornitore violato era a monte di un fornitore. Salesloft era stata violata su GitHub mesi prima, poi nell'ambiente AWS di Drift. Per i clienti, il rischio veniva dal fornitore di un'applicazione collegata a un altro fornitore. Questa catena non compare nella maggior parte delle valutazioni dei fornitori.
Cumulo attraverso un'integrazione
Settecento organizzazioni in dieci giorni. Lo stesso evento ha toccato centinaia di aziende, molte delle quali grandi e con polizze cyber. È lo schema di MOVEit e Cleo applicato al SaaS: un componente comune, molte vittime, dati sottratti in poco tempo.
Il danno tipico è piccolo, la somma no. Per molte vittime i dati esportati erano contatti commerciali e ticket di assistenza. I costi tipici sono indagine, rotazione delle credenziali, revisione dei dati e, dove ci sono dati personali, notifiche. Ogni sinistro può restare sotto la franchigia, ma centinaia di indagini contemporanee pesano su un portafoglio e sulla capacità dei fornitori di risposta agli incidenti.
I fornitori di sicurezza come moltiplicatori. Molte vittime confermate erano aziende di sicurezza. Se gli attaccanti usano i dati raccolti contro i loro clienti, come temeva Cloudflare, il cumulo può propagarsi a un secondo livello. Per chi assume il rischio, la violazione di un fornitore di sicurezza è un evento da seguire anche quando il fornitore non è assicurato.
Chi risponde
La responsabilità del fornitore dell'integrazione. Salesloft era il fornitore violato. I clienti possono rivalersi su Salesloft secondo i contratti, ma i tetti di responsabilità dei contratti SaaS sono di norma bassi rispetto a centinaia di reclami. Per gli assicuratori che hanno pagato i clienti, la surrogazione verso Salesloft si scontra con gli stessi limiti.
La definizione di sistema informatico conta. Molte polizze coprono i sistemi dell'assicurato e quelli gestiti da fornitori per suo conto. Un ambiente Salesforce rientra di solito nella seconda categoria. L'ambiente di Drift, un fornitore del fornitore, è più incerto. La differenza decide quali voci del danno sono coperte come violazione propria.
Cosa portare ai rinnovi
Impatto per gli assicuratoriAlto
Token rubati a un'applicazione di chat collegata a Salesforce hanno dato accesso ai dati di oltre 700 organizzazioni in dieci giorni, senza sfruttare difetti di Salesforce né superare i controlli d'accesso delle vittime.
Sul fronte del portafoglio, il caso suggerisce di trattare le integrazioni SaaS più diffuse come punti di cumulo, alla pari dei grandi fornitori cloud. Uno scenario con centinaia di indagini contemporanee e costi unitari bassi è utile per verificare la capacità di risposta, i limiti aggregati e le clausole di evento unico.