Atacurile City-Forum: Cum pierd firmele date din Salesforce și ServiceNow

Securitatea datelor dintr-o companie nu se rezumă doar la instalarea unui antivirus sau la parolarea stațiilor de lucru. Din experiența noastră pe sisteme reale, cele mai periculoase breșe apar adesea din simple erori de configurare a platformelor cloud pe care le folosim zilnic pentru relația cu clienții. Când setările implicite sunt lăsate neschimbate, riscul de expunere devine uriaș, chiar și fără a exista vulnerabilități tehnice în codul aplicației.

#Ce s-a intamplat

O campanie activă de furt de date, denumită City-Forum de către cercetătorii în securitate, a început să vizeze portalurile Salesforce Experience Cloud și ServiceNow folosite de organizații din întreaga lume. Atacurile nu exploatează bug-uri sau erori de programare ale acestor platforme SaaS, ci profită de permisiunile excesive acordate utilizatorilor neautentificați, cunoscuți ca „guest users”. Practic, infrastructura atacatorilor scanează punctele de acces publice și folosește interfețe standard pentru a extrage automat înregistrări cu clienți, contacte sau alte date sensibile. Totul pornește de la o singură adresă IP asociată unui furnizor de hosting din Germania, infrastructură activă încă de anul trecut, ceea ce arată o campanie metodică și persistentă de enumerare a datelor publice.

#Impact pentru firme

Pentru o companie mică sau mijlocie, un astfel de incident poate însemna pierderea confidențialității datelor clienților, amenzi usturătoare legate de nerespectarea normelor de confidențialitate și o lovitură serioasă adusă imaginii brandului. La clienții noștri din Arad vedem des tendința de a lăsa ușile deschise prin platforme online configurate în grabă, doar pentru ca accesul să fie „mai facil” pentru vizitatori. În realitate, orice date despre clienți sau comenzi lăsate la vedere pentru un vizitator anonim pot fi colectate în masă de scripturi automate în câteva minute, fără ca administratorii să observe imediat un atac clasic de tip malware.

#Recomandari concrete

Pentru a vă proteja împotriva unor campanii precum City-Forum, vă recomandăm să luați măsuri imediate:

• Auditați regulile de partajare pentru utilizatorii oaspeți (guest users) în toate platformele CRM și portalurile de suport folosite.
• Verificați endpoint-urile legate de cadrele Aura și interfețele GraphQL din Salesforce pentru a vă asigura că nu expun obiecte critice.
• Restricționați accesul la funcțiile de căutare din portalele ServiceNow care permit interogări anonime.

Dacă aveți nevoie de evaluarea infrastructurii sau de sprijin tehnic, specialiștii noștri de la Activ.NET vă pot asista cu Audit de securitate și Servicii IT pentru firme.

#Concluziile noastre

Confortul în utilizarea tehnologiei nu trebuie să vină niciodată în detrimentul securității. Atacurile moderne mizează pe neatenție și pe setări greșite din faza de implementare, nu pe spargerea unor sisteme complexe. O verificare periodică a drepturilor de acces și a politicilor de confidențialitate reprezintă diferența dintre o afacere protejată și un incident de securitate costisitor.

Inspirat din: BleepingComputer