Salesloft

A Salesloft anunciou a desativação temporária do Drift, seu produto de chatbot, em resposta a um ataque cibernético em larga escala que comprometeu tokens de autenticação. O ataque, atribuído ao grupo de ameaças UNC6395, afetou mais de 700 organizações, incluindo grandes nomes como Google Workspace e Palo Alto Networks. O incidente começou em 8 de agosto de 2025 e se estendeu até pelo menos 18 de agosto de 2025, quando os atacantes utilizaram tokens OAuth roubados para acessar instâncias do Salesforce de clientes do Drift. A empresa está colaborando com parceiros de cibersegurança, como Mandiant e Coalition, para investigar e mitigar os danos. Como medida preventiva, a Salesforce desativou todas as integrações do Salesloft com sua plataforma. A Salesloft enfatizou que a segurança e a integridade dos dados dos clientes são suas principais prioridades e que o sistema será revisado para aumentar sua resiliência e segurança antes de ser reativado.

Recentemente, o Google revelou que uma série de ataques direcionados a instâncias do Salesforce por meio da plataforma Salesloft Drift é mais abrangente do que se pensava inicialmente. O Google Threat Intelligence Group (GTIG) e a Mandiant aconselharam todos os clientes do Salesloft Drift a considerarem todos os tokens de autenticação armazenados ou conectados à plataforma como potencialmente comprometidos. Os atacantes utilizaram tokens OAuth roubados para acessar e-mails de algumas contas do Google Workspace, especificamente aquelas integradas ao Salesloft Drift. Após a descoberta, o Google notificou os usuários afetados, revogou os tokens OAuth específicos e desativou a funcionalidade de integração entre o Google Workspace e o Salesloft Drift enquanto a investigação estava em andamento. A Salesloft, por sua vez, informou que a integração entre Salesforce e Drift foi temporariamente desativada, embora não haja evidências de atividade maliciosa nas integrações do Salesloft relacionadas ao incidente. Essa situação destaca a importância de revisar todas as integrações de terceiros conectadas ao Drift e de tomar medidas proativas para proteger as credenciais e sistemas conectados.

Um alerta foi emitido para organizações em todo o mundo após a divulgação de uma campanha de exfiltração de dados em larga escala, atribuída ao grupo de hackers UNC6395. O ataque, que começou em 8 de agosto de 2025, explorou tokens OAuth comprometidos do aplicativo Salesloft Drift para acessar e extrair informações sensíveis de instâncias do Salesforce. Os hackers conseguiram exportar grandes volumes de dados, incluindo informações de contas, usuários e oportunidades, além de buscar segredos valiosos como chaves de acesso da Amazon Web Services (AWS) e senhas em texto claro. A Salesloft confirmou que apenas clientes que integraram o Drift com o Salesforce foram afetados. Em resposta, a empresa revogou todos os tokens de acesso e a Salesforce removeu o aplicativo do AppExchange. As organizações afetadas foram notificadas diretamente. Especialistas recomendam que as empresas revisem seus ambientes Salesforce, revoguem e rotacionem chaves descobertas e ajustem as configurações de segurança para mitigar riscos futuros.

Uma campanha de roubo de dados em larga escala comprometeu a plataforma de automação de vendas Salesloft, permitindo que hackers acessassem tokens OAuth e de atualização associados ao agente de chat de inteligência artificial Drift. A atividade, atribuída ao grupo de ameaças UNC6395, ocorreu entre 8 e 18 de agosto de 2025, visando instâncias de clientes do Salesforce através de tokens OAuth comprometidos. Os atacantes exportaram grandes volumes de dados, possivelmente para coletar credenciais que poderiam ser usadas para comprometer ambientes das vítimas, incluindo chaves de acesso da Amazon Web Services (AWS) e tokens de acesso relacionados ao Snowflake. A Salesloft identificou a questão de segurança e revogou proativamente as conexões entre Drift e Salesforce, enquanto a Salesforce confirmou que um número restrito de clientes foi impactado. Especialistas destacam a disciplina operacional dos atacantes, que deletaram registros de consultas para cobrir seus rastros, sugerindo uma estratégia de ataque mais ampla que poderia afetar a cadeia de suprimentos de tecnologia. As organizações são aconselhadas a revisar logs, revogar chaves de API e realizar investigações adicionais para determinar a extensão da violação.