Tokens OAuth del chatbot de IA Drift robados para saquear más de 700 tenants de Salesforce

Quién lo provocó

Actor: UNC6395 (grupo desconocido con motivación financiera)

Atribución: Rastreado como UNC6395 por Google Threat Intelligence Group y Mandiant; un grupo que afirma tener vínculos con ShinyHunters también reivindicó la autoría, sin confirmar

Motivo: Recolección de credenciales (claves de AWS, tokens de Snowflake, contraseñas) a partir de datos de CRM para intrusiones posteriores y extorsión

Cómo ocurrió

Vector de ataque: Tokens OAuth y de actualización robados de la integración de Salesloft Drift con Salesforce, usados para ejecutar consultas SOQL y exportar masivamente los objetos Account, Case, Opportunity y User

Causa raíz: El compromiso del GitHub de Salesloft y del entorno AWS de Drift expuso tokens OAuth de larga duración de una aplicación de terceros ampliamente confiable con amplio alcance sobre los datos de Salesforce

Cronología

1. mar 2025Según Mandiant, el actor obtiene acceso a la cuenta de GitHub de Salesloft (de marzo a junio) y después al entorno AWS de Drift
2. 8 ago 2025Comienza la exfiltración masiva de datos de Salesforce mediante tokens OAuth de Drift, que continúa al menos hasta el 18 de agosto
3. 20 ago 2025Salesforce y Salesloft revocan todos los tokens de Drift y retiran Drift de AppExchange
4. 26 ago 2025Google Threat Intelligence Group publica el aviso sobre UNC6395; también se detecta abuso de tokens de Drift Email contra Google Workspace

Respuesta

Tokens revocados, integración de Drift desactivada y posteriormente retirada, Mandiant contratada, clientes instados a rotar los secretos expuestos; el FBI emitió una alerta FLASH

Estado actual: Contenido