Salesloft: GitHub账户遭入侵导致Drift令牌被盗并引发大规模Salesforce数据窃取

Salesloft: GitHub账户遭入侵导致Drift令牌被盗并引发大规模Salesforce数据窃取

Salesloft 近日表示，攻击者最早于 3 月入侵了其 GitHub 账户，进而窃取了 Drift 平台的 OAuth 令牌——这些令牌随后在 8 月被用于大规模 Salesforce 数据窃取攻击。

Salesloft 是一款广泛使用的销售互动平台，帮助企业管理客户拓展与沟通事务。其旗下 Drift 平台则是一款对话式营销工具，可将聊天机器人与自动化功能集成至销售流程中，其中包括与 Salesforce 等平台的对接。

二者已成为 8 月末首次披露的重大供应链式攻击的核心。谷歌威胁情报团队将这些攻击归因于威胁组织 UNC6395，但除了此前的 Salesforce 数据窃取攻击外，勒索团伙 ShinyHunters 以及声称是 Scattered Spider 的威胁者也参与了针对 Salesloft Drift 的攻击。

攻击源头：GitHub 账户入侵

Salesloft 于 8 月 21 日首次披露 Drift 应用存在安全问题，并在 5 天后公布了 OAuth 令牌被恶意利用的更多细节。这一事件已导致 Salesloft 客户遭遇大范围 Salesforce 数据窃取，受影响企业包括谷歌、Zscaler、Cloudflare、Workiva、Tenable、JFrog、Bugcrowd、Proofpoint、Palo Alto Networks 等，且名单仍在持续增加。

在针对 Salesloft 的 data theft 攻击中，威胁者的主要目标是窃取 Salesforce 实例中的支持工单，进而从工单中收集凭据、身份验证令牌及其他敏感信息。

Salesloft 在 8 月 26 日的更新中写道：" 初步调查显示，攻击者的主要目的是窃取凭据，尤其聚焦于 AWS 访问密钥、密码、Snowflake 相关访问令牌等敏感信息。"

协助 Salesloft 应对此次漏洞的 Mandiant 公司经调查发现，威胁者最早在 2025 年 3 月至 6 月期间入侵了其 GitHub 环境。黑客从多个 GitHub 仓库下载代码，添加访客用户账户，并创建恶意工作流，为后续攻击埋下伏笔。

Mandiant 证实，同期攻击者还在 Salesloft 与 Drift 环境中开展了侦察活动。在入侵 Drift 的 AWS 环境后，攻击行为进一步升级——攻击者借此窃取了用于访问跨技术集成（包括 Salesforce 和 Google Workspace）中客户数据的 OAuth 令牌。

后续处置与服务恢复

Salesloft 表示，已采取轮换凭据、加强防御、验证与 Drift 的环境隔离等措施，Drift 的基础设施也已完成隔离及凭据轮换。

在 Mandiant 的协助下，该公司开展了威胁溯源工作，未发现其他入侵痕迹，这意味着威胁者已不再在其环境中留存据点。

目前，Mandiant 已验证此次威胁得到遏制且环境隔离到位，工作重心已转向取证质量保证审查。

Salesloft 发布的最新更新宣布，在因 Drift 安全事件采取预防性暂停措施后，已恢复与 Salesforce 的集成服务。Salesforce 用户现在可重新使用 Salesloft 的全部集成功能，该公司还为需要执行数据同步的用户提供了分步指导。