Досье salesloft-drift-oauthЦепочка поставок ИИВесь мир
Украденные OAuth-токены ИИ-чат-бота Drift использованы для налёта на 700+ тенантов Salesforce
UNC6395 использовала OAuth-токены, украденные из интеграции ИИ-чата Drift, для массовой выгрузки данных Salesforce сотен организаций и поиска облачных ключей и паролей.
КритическаяАтака на ИИСтатус: ЛокализованПроверенное досье
Открыть на интерактивной картеЦитировать это досье
- Дата сообщения
- 26 авг. 2025
- Локация
- Весь мир
- Цель
- Клиенты Salesloft Drift / Salesforce
- Критичность
- Критическая
- Инициатор
- UNC6395 (неизвестная финансово мотивированная группа)
- Тип субъекта
- Криминальный
- Сектор
- Несколько отраслей
- Заявленные убытки
- Не заявлены
- CVE
- Нет
Что произошло
UNC6395 использовала OAuth-токены, украденные из интеграции ИИ-чата Drift, для массовой выгрузки данных Salesforce сотен организаций и поиска облачных ключей и паролей.
Последствия: Экспортированы данные Salesforce более 700 организаций, включая обращения в поддержку с ключами AWS, токенами Snowflake и паролями; последующие раскрытия от Cloudflare, Zscaler, Palo Alto Networks, Google и других
Кто стоит за инцидентом
Субъект: UNC6395 (неизвестная финансово мотивированная группа)
Атрибуция: Отслеживается как UNC6395 группой Google Threat Intelligence Group и Mandiant; ответственность также взяла на себя группа, заявляющая о связях с ShinyHunters, что не подтверждено
Мотив: Сбор учётных данных (ключи AWS, токены Snowflake, пароли) из CRM-данных для последующих вторжений и вымогательства
Как это произошло
Вектор атаки: Украденные OAuth- и refresh-токены интеграции Salesloft Drift с Salesforce, использованные для выполнения SOQL-запросов и массового экспорта объектов Account, Case, Opportunity и User
Первопричина: Компрометация GitHub Salesloft и AWS-среды Drift раскрыла долгоживущие OAuth-токены широко доверенного стороннего приложения с широкой областью доступа к данным Salesforce
Хронология
- По данным Mandiant, злоумышленник получает доступ к учётной записи Salesloft на GitHub (март — июнь), а затем к AWS-среде Drift
- Начинается массовая эксфильтрация данных Salesforce через OAuth-токены Drift, продолжающаяся как минимум до 18 августа
- Salesforce и Salesloft отзывают все токены Drift и удаляют Drift из AppExchange
- Google Threat Intelligence Group публикует бюллетень по UNC6395; токены Drift Email также обнаружены в злоупотреблениях против Google Workspace
Реагирование
Токены отозваны, интеграция Drift отключена и позднее выведена из эксплуатации, привлечена Mandiant, клиентам рекомендовано сменить раскрытые секреты; ФБР выпустило оповещение FLASH
Текущий статус: Локализован
Источники (открываются в новой вкладке)
- Security Affairs securityaffairs.com
- Google Cloud Threat Intelligence cloud.google.com
- Help Net Security helpnetsecurity.com
Цитировать это досье
Украденные OAuth-токены ИИ-чат-бота Drift использованы для налёта на 700+ тенантов Salesforce. AI Threat Watch, досье salesloft-drift-oauth, 26 авг. 2025. https://aithreat.io/ru/cases/salesloft-drift-oauth/
Постоянная ссылка: https://aithreat.io/ru/cases/salesloft-drift-oauth/