Des jetons OAuth du chatbot IA Drift volés pour piller plus de 700 tenants Salesforce

Qui l’a déclenché

Acteur: UNC6395 (groupe inconnu à motivation financière)

Attribution: Suivi sous le nom UNC6395 par Google Threat Intelligence Group et Mandiant ; un groupe se réclamant de ShinyHunters a aussi revendiqué l'attaque, sans confirmation

Mobile: Collecte d'identifiants (clés AWS, jetons Snowflake, mots de passe) dans les données CRM en vue d'intrusions ultérieures et d'extorsion

Comment c’est arrivé

Vecteur d’attaque: Jetons OAuth et de rafraîchissement volés de l'intégration Salesforce de Salesloft Drift, utilisés pour exécuter des requêtes SOQL et exporter en masse les objets Account, Case, Opportunity et User

Cause racine: La compromission du GitHub de Salesloft et de l'environnement AWS de Drift a exposé des jetons OAuth à longue durée de vie d'une application tierce largement approuvée avec un périmètre étendu sur les données Salesforce

Chronologie

1. mars 2025Selon Mandiant, l'acteur accède au compte GitHub de Salesloft (de mars à juin), puis à l'environnement AWS de Drift
2. 8 août 2025Début de l'exfiltration massive de données Salesforce via les jetons OAuth de Drift, se poursuivant au moins jusqu'au 18 août
3. 20 août 2025Salesforce et Salesloft révoquent tous les jetons Drift et retirent Drift de l'AppExchange
4. 26 août 2025Google Threat Intelligence Group publie un avis sur UNC6395 ; des jetons Drift Email sont aussi retrouvés abusés contre Google Workspace

Réponse

Jetons révoqués, intégration Drift désactivée puis mise hors ligne, Mandiant mandaté, clients invités à renouveler les secrets exposés ; le FBI a publié une alerte FLASH

Statut actuel: Contenu