SalesLoft, Drift et Vol de données: un réveil pour la sécurité du cloud

Une campagne de vol de données généralisée ciblant Salesforce et Google Workspace via l'application Drift de Salesloft expose les vulnérabilités des services cloud interconnectés. Que pouvez-vous faire?

Hold on to your hats, folks! A recent security snafu involving Salesloft and Drift has the tech world buzzing. Turns out, a data theft campaign initially targeting Salesforce integrations has broader implications, potentially compromising Google Workspace accounts and other linked systems. It’s a wild ride, so buckle up!

Attendez vos chapeaux, les amis! Un SNAFU de sécurité récent impliquant Salesloft et Drift a le bourdonnement du monde de la technologie. Il s'avère qu'une campagne de vol de données ciblant initialement les intégrations Salesforce a des implications plus larges, compromettant potentiellement les comptes d'espace de travail Google et d'autres systèmes liés. C'est une balade sauvage, alors bouclez-vous!

The Lowdown on the Salesloft/Drift Debacle

La baisse de la débâcle de Salesloft / Drift

Google's Threat Intelligence Group (GTIG) dropped a bombshell, warning of a large-scale data theft campaign by the criminal group UNC6395. Initially, the attacks appeared to affect Salesforce instances connected to Salesloft Drift. However, new analysis shows that other systems connected to Salesloft Drift are also at risk. All authentication tokens associated with the Drift platform must be considered compromised. Between August 8 and at least August 18, 2025, members of UNC6395 systematically copied large amounts of data from Salesforce instances of companies. To do so, they gained access using compromised OAuth tokens originating from the AI platform Salesloft Drift.

Le groupe de renseignements sur les menaces de Google (GTIG) a abandonné une bombe, avertissant d'une campagne de vol de données à grande échelle par le groupe criminel UNC6395. Initialement, les attaques semblaient affecter les instances Salesforce liées à SalesLoft Drift. Cependant, une nouvelle analyse montre que d'autres systèmes connectés à SalesLoft Drift sont également en danger. Tous les jetons d'authentification associés à la plate-forme de dérive doivent être considérés comme compromis. Entre le 8 août et au moins le 18 août 2025, les membres de l'UNC6395 ont systématiquement copié de grandes quantités de données provenant des instances Salesforce d'entreprises. Pour ce faire, ils ont eu accès à l'utilisation de jetons OAuth compromis provenant de la dérive de la plate-forme AI.

The Expanding Scope: It's Not Just Salesforce Anymore

La portée en expansion: ce n'est plus seulement Salesforce

What started as a targeted assault on Salesloft has ballooned into a widespread campaign, where hackers impersonated legitimate users to siphon data from third-party platforms. According to reports, the attackers used the stolen credentials to access not just CRM data but also email contents, expanding the scope beyond what was initially disclosed. The scope of this compromise is not exclusive to the Salesforce integration with Salesloft Drift and impacts other integrations.

Ce qui a commencé comme un assaut ciblé sur SalesLoft a fait monter une campagne répandue, où les pirates ont usuré les utilisateurs légitimes pour siphonner les données des plateformes tierces. Selon les rapports, les attaquants ont utilisé les informations d'identification volées pour accéder non seulement aux données CRM, mais aussi à un contenu par e-mail, élargissant la portée au-delà de ce qui a été initialement divulgué. La portée de ce compromis n'est pas exclusive à l'intégration Salesforce avec SalesLoft Drift et a un impact sur d'autres intégrations.

How Did They Do It? OAuth Token Shenanigans

Comment l'ont-ils fait? Oauth token shhenanigans

These threat actors stole OAuth tokens from Salesloft’s Drift, a tool used for sales engagement and customer relationship management. These tokens were then leveraged to infiltrate connected services, including Salesforce instances and, alarmingly, select Google Workspace email accounts. The attackers’ strategy involved compromising Salesloft’s Drift OAuth tokens, which granted them persistent access to integrated apps without needing direct passwords. This allowed unauthorized queries to Salesforce APIs and Workspace inboxes, potentially exposing customer records, emails, and proprietary information.

Ces acteurs de la menace ont volé des jetons OAuth à Salesloft's Drift, un outil utilisé pour l'engagement des ventes et la gestion de la relation client. Ces jetons ont ensuite été exploités pour infiltrer les services connectés, y compris les instances Salesforce et, alarmant, sélectionner les comptes de messagerie Google Workspace. La stratégie des attaquants impliquait de compromettre les jetons Drift Oauth de Salesloft, ce qui leur a accordé un accès persistant aux applications intégrées sans avoir besoin de mots de passe directs. Cela a permis aux requêtes non autorisées aux API Salesforce et aux boîtes de réception de l'espace de travail, exposant potentiellement les enregistrements des clients, les e-mails et les informations propriétaires.

The Aftermath: What’s Being Done?

The Aftermath: Qu'est-ce qui se fait?

Google swiftly revoked all compromised tokens and disabled affected integrations, a move that Salesforce mirrored to contain the damage. Salesloft notified customers who manage their own Drift connections to third-party applications via API keys to revoke these keys and reconnect using new keys.

Google a rapidement révoqué tous les jetons compromis et les intégrations affectées désactivées, une décision que Salesforce reflétait pour contenir les dommages. SalesLoft a informé les clients qui gèrent leurs propres connexions de dérive à des applications tierces via des clés API pour révoquer ces clés et reconnecter à l'aide de nouvelles clés.

Lessons Learned: Time for a Security Overhaul

Leçons apprises: temps pour une refonte de sécurité

This breach serves as a stark reminder of the perils in third-party integrations. OAuth tokens, while efficient, lack robust revocation mechanisms in many setups, allowing attackers to maintain access post-compromise. To mitigate future risks, experts recommend adopting zero-trust models that verify every access request, regardless of origin. Organizations should audit all connected apps and implement multi-factor authentication more stringently. Google’s advisory stresses treating all Salesloft-linked tokens as compromised and rotating them immediately.

Cette violation sert de rappel brutal des périls dans les intégrations tierces. Les jetons OAuth, bien que efficaces, manquent de mécanismes de révocation robustes dans de nombreuses configurations, permettant aux attaquants de maintenir l'accès post-compromis. Pour atténuer les risques futurs, les experts recommandent d'adopter des modèles zéro-trust qui vérifient chaque demande d'accès, quelle que soit l'origine. Les organisations doivent auditer toutes les applications connectées et implémenter l'authentification multi-facteurs plus rigoureusement. Le conseil de Google souligne le traitement de tous les jetons liés à SalesLoft comme compromis et les tournant immédiatement.

My Two Cents

Mes deux cents

Let’s be real, this whole situation is a bit of a mess. The fact that a breach in one platform can cascade into others highlights the interconnectedness—and potential vulnerabilities—of modern cloud ecosystems. I think the industry needs to take a long, hard look at OAuth security and implement more robust safeguards. Otherwise, we’re just playing whack-a-mole with these breaches.

Soyons réels, toute cette situation est un peu en désordre. Le fait qu'une violation dans une plate-forme peut se casser dans d'autres met en évidence l'interconnexion et les vulnérabilités potentielles - des écosystèmes de nuages ​​modernes. Je pense que l'industrie doit examiner un long et dur sur la sécurité OAuth et mettre en œuvre des garanties plus robustes. Sinon, nous jouons simplement à Whack-A-Mole avec ces violations.

Wrapping Up: Stay Vigilant, Folks!

Enveloppement: restez vigilant, les amis!

So, there you have it. The Salesloft/Drift data theft campaign is a wake-up call for anyone relying on cloud integrations. Keep those security protocols tight, stay informed, and maybe double-check those third-party connections. After all, in the world of cybersecurity, paranoia is just good sense. Stay safe out there!

Donc, là, vous l'avez. La campagne SalesLoft / Drift Data Folt est un appel de réveil pour quiconque s'appuie sur les intégrations cloud. Gardez ces protocoles de sécurité serrés, restez informé et peut-être revérifier ces connexions tierces. Après tout, dans le monde de la cybersécurité, la paranoïa est juste un bon sens. Restez en sécurité là-bas!