Verkaufsloft-, Drift- und Datendiebstahl: Ein Weckruf für die Cloud-Sicherheit

Eine weit verbreitete Datendiebstahl -Kampagne, die über Salesforce und Google Workspace über die Drift App von Salesloft abzielt, zeigt die Schwachstellen von miteinander verbundenen Cloud -Diensten. Was kannst du tun?

Hold on to your hats, folks! A recent security snafu involving Salesloft and Drift has the tech world buzzing. Turns out, a data theft campaign initially targeting Salesforce integrations has broader implications, potentially compromising Google Workspace accounts and other linked systems. It’s a wild ride, so buckle up!

Halte deine Hüte fest, Leute! Ein kürzlich durchgeführter Sicherheits -Snafu, der Salesloft und Drift beteiligt, hat die Tech -Welt zum Summen. Es stellt sich heraus, dass eine Datendiebstahlkampagne zunächst auf Salesforce -Integrationen abzielt, was zu umfassenden Auswirkungen ist und möglicherweise Google Workspace -Konten und andere verknüpfte Systeme beeinträchtigt. Es ist eine wilde Fahrt, also schnallen Sie sich an!

The Lowdown on the Salesloft/Drift Debacle

Der Abschnitt des Salesloft/Drift -Debakels

Google's Threat Intelligence Group (GTIG) dropped a bombshell, warning of a large-scale data theft campaign by the criminal group UNC6395. Initially, the attacks appeared to affect Salesforce instances connected to Salesloft Drift. However, new analysis shows that other systems connected to Salesloft Drift are also at risk. All authentication tokens associated with the Drift platform must be considered compromised. Between August 8 and at least August 18, 2025, members of UNC6395 systematically copied large amounts of data from Salesforce instances of companies. To do so, they gained access using compromised OAuth tokens originating from the AI platform Salesloft Drift.

Googles Threat Intelligence Group (GIG) hat eine Bombe fallen und warnte vor einer groß angelegten Datendiebstahl-Kampagne der kriminellen Gruppe UNC6395. Zunächst schienen die Angriffe die Salesforce -Instanzen zu beeinflussen, die mit Salesloft -Drift verbunden waren. Neue Analysen zeigen jedoch, dass auch andere Systeme, die mit Salesloft Drift verbunden sind, ebenfalls gefährdet sind. Alle Authentifizierungs -Token, die mit der Driftplattform verbunden sind, müssen als kompromittiert angesehen werden. Zwischen dem 8. August und mindestens dem 18. August 2025 kopierten Mitglieder von UNC6395 systematisch große Datenmengen von Salesforce -Instanzen von Unternehmen. Zu diesem Zweck erhielten sie mit kompromittierten OAuth -Token, die aus der AI -Plattform Salesloft Drift stammen, Zugriff.

The Expanding Scope: It's Not Just Salesforce Anymore

Der wachsende Umfang: Es ist nicht mehr nur Salesforce

What started as a targeted assault on Salesloft has ballooned into a widespread campaign, where hackers impersonated legitimate users to siphon data from third-party platforms. According to reports, the attackers used the stolen credentials to access not just CRM data but also email contents, expanding the scope beyond what was initially disclosed. The scope of this compromise is not exclusive to the Salesforce integration with Salesloft Drift and impacts other integrations.

Was als gezielter Angriff auf Salesloft begann, hat sich zu einer weit verbreiteten Kampagne entwickelt, in der Hacker legitime Benutzer ausgeben, Daten von Drittanbieter-Plattformen zu streichen. Berichten zufolge verwendeten die Angreifer die gestohlenen Anmeldeinformationen, um nicht nur auf CRM -Daten, sondern auch den E -Mail -Inhalt zuzugreifen und den Umfang über das zu erweitern, was ursprünglich offengelegt wurde. Der Umfang dieses Kompromisses ist nicht ausschließlich für die Salesforce -Integration mit Salesloft -Drift und wirkt sich auf andere Integrationen aus.

How Did They Do It? OAuth Token Shenanigans

Wie haben sie das gemacht? Oauth Token Shenanigans

These threat actors stole OAuth tokens from Salesloft’s Drift, a tool used for sales engagement and customer relationship management. These tokens were then leveraged to infiltrate connected services, including Salesforce instances and, alarmingly, select Google Workspace email accounts. The attackers’ strategy involved compromising Salesloft’s Drift OAuth tokens, which granted them persistent access to integrated apps without needing direct passwords. This allowed unauthorized queries to Salesforce APIs and Workspace inboxes, potentially exposing customer records, emails, and proprietary information.

Diese Bedrohungsakteure haben OAuth -Token aus Salesloft's Drift gestohlen, einem Tool, das zum Vertriebsbetrieb und des Kundenbeziehungsmanagements verwendet wird. Diese Token wurden dann genutzt, um verbundene Dienste zu infiltrieren, einschließlich Salesforce -Instanzen und alarmierend, die E -Mail -Konten von Google Workspace auswählen. Die Strategie der Angreifer umfasste die Drift OAuth -Token von Salesloft, die ihnen einen anhaltenden Zugriff auf integrierte Apps gewährte, ohne direkte Passwörter zu benötigen. Dies ermöglichte nicht autorisierte Abfragen zu Salesforce -APIs und Workspace -Posteingängen, wodurch Kundendatensätze, E -Mails und proprietäre Informationen potenziell aufgedeckt wurden.

The Aftermath: What’s Being Done?

The Aftermath: Was wird getan?

Google swiftly revoked all compromised tokens and disabled affected integrations, a move that Salesforce mirrored to contain the damage. Salesloft notified customers who manage their own Drift connections to third-party applications via API keys to revoke these keys and reconnect using new keys.

Google hat alle gefährdeten Token und Behinderten betroffenen Integrationen schnell widerrufen. Salesloft benachrichtigte Kunden, die ihre eigenen Driftverbindungen zu Anwendungen von Drittanbietern über API-Schlüssel verwalten, um diese Schlüssel zu widerrufen und mit neuen Schlüssel wieder zu verbinden.

Lessons Learned: Time for a Security Overhaul

Lektionen gelernt: Zeit für eine Sicherheitsüberholung

This breach serves as a stark reminder of the perils in third-party integrations. OAuth tokens, while efficient, lack robust revocation mechanisms in many setups, allowing attackers to maintain access post-compromise. To mitigate future risks, experts recommend adopting zero-trust models that verify every access request, regardless of origin. Organizations should audit all connected apps and implement multi-factor authentication more stringently. Google’s advisory stresses treating all Salesloft-linked tokens as compromised and rotating them immediately.

Dieser Verstoß dient als starke Erinnerung an die Gefahren in Integrationen von Drittanbietern. OAuth-Token haben zwar effizient, aber in vielen Setups keine robusten Widerrufsmechanismen, sodass Angreifer den Zugang nach dem Kompromiss aufrechterhalten können. Um zukünftige Risiken zu mildern, empfehlen Experten, Modelle mit Zero-Treue anzuwenden, die jede Zugriffsanforderung unabhängig von der Herkunft überprüfen. Organisationen sollten alle verbundenen Apps prüfen und eine strengere Multi-Faktor-Authentifizierung implementieren. Die Beratung von Google betont die Behandlung aller von SalesLoft verbundenen Token als kompromittiert und rotiert sie sofort.

My Two Cents

Meine zwei Cent

Let’s be real, this whole situation is a bit of a mess. The fact that a breach in one platform can cascade into others highlights the interconnectedness—and potential vulnerabilities—of modern cloud ecosystems. I think the industry needs to take a long, hard look at OAuth security and implement more robust safeguards. Otherwise, we’re just playing whack-a-mole with these breaches.

Lassen Sie uns real sein, diese ganze Situation ist ein bisschen durcheinander. Die Tatsache, dass ein Verstoß in einer Plattform in andere kaskaden kann, unterstreicht die Vernetzung - und potenzielle Schwachstellen - der modernen Cloud -Ökosysteme. Ich denke, die Branche muss einen langen und kräftigen Blick auf die Sicherheit von OAuth werfen und robustere Schutzmaßnahmen implementieren. Ansonsten spielen wir mit diesen Verstößen nur Whack-a-Mole.

Wrapping Up: Stay Vigilant, Folks!

Packing: Bleib wachsam, Leute!

So, there you have it. The Salesloft/Drift data theft campaign is a wake-up call for anyone relying on cloud integrations. Keep those security protocols tight, stay informed, and maybe double-check those third-party connections. After all, in the world of cybersecurity, paranoia is just good sense. Stay safe out there!

Also, da hast du es. Die Salesloft/Drift Data Theft-Kampagne ist ein Weckruf für alle, die sich auf Cloud-Integrationen verlassen. Halten Sie diese Sicherheitsprotokolle eng, bleiben Sie auf dem Laufenden und überprüfen Sie diese Verbindungen von Drittanbietern. Immerhin ist Paranoia in der Welt der Cybersicherheit nur sinnvoll. Bleib dort draußen sicher!