案例 salesloft-drift-oauthAI 供应链2025年8月26日全球

Drift AI聊天机器人OAuth令牌被盗，700余家Salesforce租户遭洗劫

UNC6395利用从Drift AI聊天集成中窃取的OAuth令牌，批量导出数百家组织的Salesforce数据，并从中搜寻云密钥和密码。

严重针对 AI 的攻击状态: 已控制已核实案例档案

在交互式地图中打开引用此案例

报道日期: 2025年8月26日
地点: 全球
目标: Salesloft Drift/Salesforce客户
严重程度: 严重
发起者: UNC6395（身份不明的经济动机团伙）
行为者类型: 犯罪团伙
已报告损失: 未报告
CVE: 无

发生了什么

UNC6395利用从Drift AI聊天集成中窃取的OAuth令牌，批量导出数百家组织的Salesforce数据，并从中搜寻云密钥和密码。

影响: 超过700家组织的Salesforce数据被导出，包括含有AWS密钥、Snowflake令牌和密码的支持工单；Cloudflare、Zscaler、Palo Alto Networks、谷歌等随后披露受到波及

谁发起了攻击

行为者: UNC6395（身份不明的经济动机团伙）

归因: 由Google威胁情报小组和Mandiant追踪为UNC6395；一个自称与ShinyHunters有关的团伙也宣称负责，未经证实

动机: 从CRM数据中收割凭据（AWS密钥、Snowflake令牌、密码），用于后续入侵和勒索

如何发生

攻击途径: 利用被盗的Salesloft Drift Salesforce集成OAuth和刷新令牌运行SOQL查询，批量导出Account、Case、Opportunity和User对象

根本原因: Salesloft的GitHub和Drift AWS环境遭攻陷，暴露了一个被广泛信任、拥有广泛Salesforce数据权限的第三方应用的长期有效OAuth令牌

时间线

2025年3月据Mandiant称，攻击者获取Salesloft的GitHub账户访问权限（3月至6月），随后进入Drift的AWS环境
2025年8月8日通过Drift OAuth令牌大规模外泄Salesforce数据开始，至少持续到8月18日
2025年8月20日Salesforce和Salesloft撤销所有Drift令牌，并将Drift从AppExchange下架
2025年8月26日Google威胁情报小组发布UNC6395通告；Drift Email令牌也被发现用于滥用Google Workspace

应对

令牌被撤销，Drift集成被禁用并随后下线，Mandiant介入，客户被要求轮换暴露的密钥；FBI发布FLASH警报

当前状态: 已控制

来源（在新标签页打开）

Security Affairs securityaffairs.com
Google Cloud Threat Intelligence cloud.google.com
Help Net Security helpnetsecurity.com

引用此案例

Drift AI聊天机器人OAuth令牌被盗，700余家Salesforce租户遭洗劫. AI Threat Watch, 案例 salesloft-drift-oauth, 2025年8月26日. https://aithreat.io/zh/cases/salesloft-drift-oauth/

永久链接: https://aithreat.io/zh/cases/salesloft-drift-oauth/