ملف salesloft-drift-oauthسلسلة توريد الذكاء الاصطناعيعالمي
سرقة رموز OAuth لروبوت الدردشة Drift لمداهمة أكثر من 700 مؤسسة على Salesforce
استخدمت UNC6395 رموز OAuth مسروقة من تكامل الدردشة الذكية Drift لتصدير بيانات Salesforce بالجملة من مئات المؤسسات والبحث عن مفاتيح سحابية وكلمات مرور.
حرجةهجوم على الذكاء الاصطناعيالحالة: تم الاحتواءملف موثّق
افتح في الخريطة التفاعليةالاستشهاد بهذا الملف
- تاريخ الإبلاغ
- 26 أغسطس 2025
- الموقع
- عالمي
- الهدف
- عملاء Salesloft Drift / Salesforce
- الخطورة
- حرجة
- الجهة المنفذة
- UNC6395 (مجموعة مجهولة ذات دوافع مالية)
- نوع الجهة
- إجرامي
- الخسارة المُعلنة
- لم يُعلن عن خسارة
- CVE
- لا يوجد
ماذا حدث
استخدمت UNC6395 رموز OAuth مسروقة من تكامل الدردشة الذكية Drift لتصدير بيانات Salesforce بالجملة من مئات المؤسسات والبحث عن مفاتيح سحابية وكلمات مرور.
الأثر: تصدير بيانات Salesforce لأكثر من 700 مؤسسة، بما فيها حالات دعم تحوي مفاتيح AWS ورموز Snowflake وكلمات مرور؛ وإفصاحات لاحقة من Cloudflare وZscaler وPalo Alto Networks وGoogle وغيرها
من نفّذها
الجهة: UNC6395 (مجموعة مجهولة ذات دوافع مالية)
الإسناد: تتبعتها Google Threat Intelligence Group وMandiant تحت اسم UNC6395؛ وأعلنت مجموعة تدّعي صلة بـ ShinyHunters مسؤوليتها دون تأكيد
الدافع: حصاد بيانات الاعتماد (مفاتيح AWS ورموز Snowflake وكلمات المرور) من بيانات إدارة علاقات العملاء لاختراقات لاحقة وابتزاز
كيف حدثت
أسلوب الهجوم: رموز OAuth ورموز تحديث مسروقة لتكامل Salesloft Drift مع Salesforce استُخدمت لتشغيل استعلامات SOQL وتصدير كائنات Account وCase وOpportunity وUser بالجملة
السبب الجذري: اختراق حساب Salesloft على GitHub وبيئة AWS الخاصة بـ Drift كشف رموز OAuth طويلة الأمد لتطبيق طرف ثالث موثوق على نطاق واسع ويتمتع بصلاحيات واسعة على بيانات Salesforce
التسلسل الزمني
- بحسب Mandiant، المهاجم يصل إلى حساب Salesloft على GitHub (من مارس إلى يونيو) ثم إلى بيئة AWS الخاصة بـ Drift
- بدء التسريب الجماعي لبيانات Salesforce عبر رموز OAuth الخاصة بـ Drift، واستمراره حتى 18 أغسطس على الأقل
- Salesforce وSalesloft تلغيان جميع رموز Drift وتزيلان Drift من AppExchange
- Google Threat Intelligence Group تنشر تنبيهاً بشأن UNC6395؛ ورصد إساءة استخدام رموز Drift Email ضد Google Workspace أيضاً
الاستجابة
إلغاء الرموز وتعطيل تكامل Drift ثم إيقافه نهائياً، والاستعانة بـ Mandiant، وإبلاغ العملاء بتدوير الأسرار المكشوفة؛ وأصدر FBI تنبيه FLASH
الحالة الراهنة: تم الاحتواء
المصادر (تُفتح في تبويب جديد)
- Security Affairs securityaffairs.com
- Google Cloud Threat Intelligence cloud.google.com
- Help Net Security helpnetsecurity.com
الاستشهاد بهذا الملف
سرقة رموز OAuth لروبوت الدردشة Drift لمداهمة أكثر من 700 مؤسسة على Salesforce. AI Threat Watch, ملف salesloft-drift-oauth, 26 أغسطس 2025. https://aithreat.io/ar/cases/salesloft-drift-oauth/
رابط دائم: https://aithreat.io/ar/cases/salesloft-drift-oauth/