SalesLoft、Drift、およびData Theft：クラウドセキュリティのためのモーニングコール

SalesLoftのドリフトアプリを介したSalesforceとGoogle Workspaceを対象とした広範なデータ盗難キャンペーンは、相互接続されたクラウドサービスの脆弱性を公開します。何ができますか？

Hold on to your hats, folks! A recent security snafu involving Salesloft and Drift has the tech world buzzing. Turns out, a data theft campaign initially targeting Salesforce integrations has broader implications, potentially compromising Google Workspace accounts and other linked systems. It’s a wild ride, so buckle up!

あなたの帽子を握って、皆さん！ SalesLoftとDriftが関与する最近のセキュリティSNAFUには、ハイテクの世界が賑わっています。結局のところ、最初にSalesforceの統合を対象としたデータ盗難キャンペーンには、Google Workspaceアカウントやその他のリンクされたシステムが潜在的に侵害される可能性があります。それはワイルドに乗っているので、バックルしてください！

The Lowdown on the Salesloft/Drift Debacle

SalesLoft/Driftの大失敗の低下

Google's Threat Intelligence Group (GTIG) dropped a bombshell, warning of a large-scale data theft campaign by the criminal group UNC6395. Initially, the attacks appeared to affect Salesforce instances connected to Salesloft Drift. However, new analysis shows that other systems connected to Salesloft Drift are also at risk. All authentication tokens associated with the Drift platform must be considered compromised. Between August 8 and at least August 18, 2025, members of UNC6395 systematically copied large amounts of data from Salesforce instances of companies. To do so, they gained access using compromised OAuth tokens originating from the AI platform Salesloft Drift.

GoogleのThreat Intelligence Group（GTIG）は爆弾を落とし、犯罪グループUNC6395による大規模なデータ盗難キャンペーンを警告しました。当初、攻撃はSalesLoft Driftに接続されたSalesforceインスタンスに影響を与えるように見えました。ただし、新しい分析では、SalesLoft Driftに接続されている他のシステムも危険にさらされていることが示されています。ドリフトプラットフォームに関連付けられているすべての認証トークンは、侵害されていると見なす必要があります。 8月8日から少なくとも2025年8月18日まで、UNC6395のメンバーは、Salesforceインスタンスの大量のデータを体系的にコピーしました。そのために、彼らはAIプラットフォームSalesLoft Driftに由来する妥協したOAUTHトークンを使用してアクセスを獲得しました。

The Expanding Scope: It's Not Just Salesforce Anymore

拡大する範囲：それはもうSalesforceだけではありません

What started as a targeted assault on Salesloft has ballooned into a widespread campaign, where hackers impersonated legitimate users to siphon data from third-party platforms. According to reports, the attackers used the stolen credentials to access not just CRM data but also email contents, expanding the scope beyond what was initially disclosed. The scope of this compromise is not exclusive to the Salesforce integration with Salesloft Drift and impacts other integrations.

SalesLoftに対するターゲットを絞った攻撃として始まったものは、ハッカーが正当なユーザーにサードパーティのプラットフォームからのデータを吸い込むようになりすました広範なキャンペーンに膨らみました。報告によると、攻撃者は盗まれた資格情報を使用して、CRMデータだけでなく電子メールコンテンツにもアクセスし、最初に開示されたものを超えて範囲を拡大しました。この妥協の範囲は、SalesLoft DriftとのSalesforceの統合に排他的ではなく、他の統合に影響を与えます。

How Did They Do It? OAuth Token Shenanigans

彼らはどのようにそれをしましたか？ Oauth Token Shenanigans

These threat actors stole OAuth tokens from Salesloft’s Drift, a tool used for sales engagement and customer relationship management. These tokens were then leveraged to infiltrate connected services, including Salesforce instances and, alarmingly, select Google Workspace email accounts. The attackers’ strategy involved compromising Salesloft’s Drift OAuth tokens, which granted them persistent access to integrated apps without needing direct passwords. This allowed unauthorized queries to Salesforce APIs and Workspace inboxes, potentially exposing customer records, emails, and proprietary information.

これらの脅威アクターは、セールスエンゲージメントと顧客関係管理に使用されるツールであるSalesLoftのドリフトからOAUTHトークンを盗みました。次に、これらのトークンを活用して、Salesforceインスタンスを含む接続サービスに浸透し、驚くべきことにGoogle Workspaceメールアカウントを選択しました。攻撃者の戦略には、SalesLoftのドリフトOAuthトークンの侵害が含まれていました。これにより、直接パスワードを必要とせずに統合アプリへの永続的なアクセスが付与されました。これにより、Salesforce APIおよびWorkspaceの受信トレイに不正なクエリが可能になり、顧客の記録、電子メール、独自の情報が公開される可能性がありました。

The Aftermath: What’s Being Done?

余波：何が行われていますか？

Google swiftly revoked all compromised tokens and disabled affected integrations, a move that Salesforce mirrored to contain the damage. Salesloft notified customers who manage their own Drift connections to third-party applications via API keys to revoke these keys and reconnect using new keys.

Googleは、妥協したすべてのトークンと無効化された影響を受けた統合を迅速に取り消しました。 SalesLoftは、APIキーを介してサードパーティアプリケーションへの独自のドリフト接続を管理する顧客に通知し、これらのキーを取り消し、新しいキーを使用して再接続しました。

Lessons Learned: Time for a Security Overhaul

学んだ教訓：セキュリティオーバーホールの時間

This breach serves as a stark reminder of the perils in third-party integrations. OAuth tokens, while efficient, lack robust revocation mechanisms in many setups, allowing attackers to maintain access post-compromise. To mitigate future risks, experts recommend adopting zero-trust models that verify every access request, regardless of origin. Organizations should audit all connected apps and implement multi-factor authentication more stringently. Google’s advisory stresses treating all Salesloft-linked tokens as compromised and rotating them immediately.

この違反は、サードパーティの統合における危険の厳しいリマインダーとして機能します。 OAuthトークンは、効率的ですが、多くのセットアップで堅牢な取り消しメカニズムが欠けているため、攻撃者は妥協後のアクセスを維持できます。将来のリスクを軽減するために、専門家は、原産地に関係なく、すべてのアクセス要求を検証するゼロトラストモデルを採用することを推奨します。組織は、すべての接続されたアプリを監査し、多要因認証をより厳しく実装する必要があります。 Googleのアドバイザリーは、すべてのSalesLoftにリンクされたトークンを妥協し、すぐに回転させることを強調しています。

My Two Cents

私の2セント

Let’s be real, this whole situation is a bit of a mess. The fact that a breach in one platform can cascade into others highlights the interconnectedness—and potential vulnerabilities—of modern cloud ecosystems. I think the industry needs to take a long, hard look at OAuth security and implement more robust safeguards. Otherwise, we’re just playing whack-a-mole with these breaches.

本物になりましょう、この全体の状況は少し混乱しています。あるプラットフォームでの違反が他のプラットフォームにカスケードできるという事実は、近代的な雲の生態系の相互接続性と潜在的な脆弱性を強調しています。業界は、OAuthのセキュリティを長く頑張って、より堅牢な保護手段を実装する必要があると思います。それ以外の場合、私たちはこれらの違反でむさぼりをしているだけです。

Wrapping Up: Stay Vigilant, Folks!

締めくくり：警戒してください、人々！

So, there you have it. The Salesloft/Drift data theft campaign is a wake-up call for anyone relying on cloud integrations. Keep those security protocols tight, stay informed, and maybe double-check those third-party connections. After all, in the world of cybersecurity, paranoia is just good sense. Stay safe out there!

それで、あなたはそれを持っています。 SalesLoft/Drift Data Theftキャンペーンは、クラウド統合に依存している人のためのモーニングコールです。これらのセキュリティプロトコルをしっかりと保ち、情報を提供し続け、おそらくそれらのサードパーティの接続を再確認してください。結局のところ、サイバーセキュリティの世界では、パラノイアは良い意味です。そこに安全を保ちましょう！