Cloudflare ha sido afectada por una serie de brechas de seguridad relacionadas con un ataque a la cadena de suministro, que incluye a Salesloft Drift. El gigante reveló el martes que los atacantes obtuvieron acceso a una instancia de Salesforce utilizada para la gestión interna de clientes, que contenía 104 tokens de la API de Cloudflare.
Ataque a través de OAuth comprometido
Entre el 8 y el 18 de agosto de 2025, un actor de amenazas utilizó credenciales OAuth comprometidas para exfiltrar datos de los entornos de Salesforce de los clientes afectados. La campaña se basó en tokens OAuth comprometidos para que el bot de chat de inteligencia artificial de terceros Salesloft Drift exportara grandes cantidades de datos de instancias corporativas de Salesforce, probablemente para la recolección de credenciales.
Los atacantes se hacen pasar por personal de soporte técnico y solicitan al empleado objetivo que acepte una conexión a Salesforce Data Loader, una aplicación cliente que permite importar, exportar, actualizar o eliminar datos dentro de los entornos de Salesforce. La aplicación es compatible con OAuth y permite la integración directa de aplicaciones a través de la funcionalidad de Aplicaciones conectadas en Salesforce.
ShinyHunters: grupo de cibercriminales
ShinyHunters es un conocido grupo de delincuentes que desde hace tiempo está asociado con ataques de robo de datos que extorsionan a las empresas para que paguen un rescate. El grupo ha sido responsable de una amplia gama de infracciones, incluidas las de PowerSchool, Oracle Cloud, Snowflake, AT&T, NitroPDF, Wattpad, MathWay y muchas otras.
Desde principios de año, ShinyHunters ha estado atacando a clientes de Salesforce con ataques de robo de datos, utilizando phishing de voz (vishing) para engañar a los empleados y lograr que vinculen aplicaciones OAuth maliciosas con las instancias de Salesforce de su empresa. Esta táctica permitió a los atacantes robar bases de datos, que posteriormente se utilizaron para extorsionar a las víctimas.
Impacto en empresas y recomendaciones
Desde que Google informó por primera vez sobre estos ataques en junio, numerosas filtraciones de datos se han vinculado a las tácticas de ingeniería social de ShinyHunters. Entre las empresas afectadas figuran Google, Cisco, Qantas, Allianz Life, Farmers Insurance, Workday, Adidas, Louis Vuitton, Dior y Tiffany & Co.
Cloudflare fue notificada de la brecha el 23 de agosto y alertó a los clientes afectados el 2 de septiembre. Antes de informar a los clientes del ataque, también rotó los 104 tokens emitidos por la plataforma Cloudflare exfiltrados durante la brecha, aunque aún no ha detectado ninguna actividad sospechosa relacionada con estos tokens.
La investigación reveló que los cibercriminales robaron únicamente el texto de los objetos del caso de Salesforce (incluidos los tickets de soporte al cliente y sus datos asociados, pero no los archivos adjuntos) entre el 12 y el 17 de agosto, tras una fase inicial de reconocimiento el 9 de agosto.
Estos objetos del caso exfiltrados contenían únicamente datos textuales, como: el asunto del caso de Salesforce, el cuerpo del caso (que puede incluir claves, secretos, etc., si el cliente lo proporciona a Cloudflare) y la información de contacto del cliente.
Cloudflare declaró que «creemos que este incidente no fue un evento aislado, sino que el cibercriminal pretendía recopilar credenciales e información de los clientes para futuros ataques». Dado que cientos de organizaciones se vieron afectadas por esta vulnerabilidad de Drift, sospechamos que el cibercriminal utilizará esta información para lanzar ataques dirigidos contra los clientes de las organizaciones afectadas.
Recomendaciones y acciones
Palo Alto Networks confirmó durante el fin de semana que los actores de amenazas responsables de las brechas de seguridad de Salesloft Drift robaron algunos datos de soporte enviados por los clientes, incluyendo información de contacto y comentarios de texto. El incidente se limitó a su CRM Salesforce y no afectó a ninguno de sus productos, sistemas ni servicios.
La compañía observó que los atacantes buscaban secretos, incluyendo claves de acceso de AWS (AKIA), cadenas de inicio de sesión de VPN y SSO, tokens de Snowflake, así como palabras clave genéricas como «secreto», «contraseña» o «clave», que podrían utilizarse para vulnerar más plataformas en la nube y robar datos en otros ataques de extorsión.
Palo Alto Networks recomienda encarecidamente rotar las credenciales y seguir estas instrucciones para validar la autenticación en las integraciones con Drift. La vigilancia y la verificación son fundamentales.
Para protegerse contra estos ataques de robo de datos, Salesforce recomienda que los clientes sigan las mejores prácticas de seguridad, incluida la activación de la autenticación multifactor (MFA), la aplicación del principio del mínimo privilegio y la gestión cuidadosa de las aplicaciones conectadas.
Actualización 17/09: Usando estos tokens OAuth de Drift robados, el grupo ShinyHunters informó a BleepingComputer que los cibercriminales robaron aproximadamente 1.500 millones de registros de datos de 760 empresas de las tablas de objetos de Salesforce «Contact», «Case», «Opportunity» y «User».