Salesforce Data Breach 사례 연구 : Salesloft & Drift Despacle의 교훈

2025 Salesloft Drift Data Breaches, Salesforce 사용자 및 광범위한 SaaS 생태계에 대한 취약점, 영향 및 중요한 교훈을 탐색하는 데있어서 깊이 다.

Salesforce Data Breach Case Study: Lessons from the Salesloft & Drift Debacle

Salesforce Data Breach 사례 연구 : Salesloft & Drift Despacle의 교훈

In the ever-evolving landscape of cybersecurity, the 2025 Salesloft Drift data breaches stand as a stark reminder of the interconnected risks within the SaaS ecosystem. This case study delves into the incident, highlighting key vulnerabilities and offering insights for Salesforce users and organizations seeking to bolster their cyber resilience.

사이버 보안의 끊임없이 진화하는 환경에서 2025 Salesloft 드리프트 데이터 유출은 SaaS 생태계 내에서 상호 연결된 위험을 상기시켜줍니다. 이 사례 연구는 주요 취약점을 강조하고 사이버 탄력성을 강화하려는 영업 인력 사용자 및 조직을위한 통찰력을 제공하여 사건을 탐구합니다.

The Salesloft Drift Data Breach: A Perfect Storm

Salesloft Drift Data Breach : 완벽한 폭풍

The Salesloft Drift breaches of August 2025 represent a significant supply chain attack in SaaS history. Threat actor UNC6395 exploited OAuth token vulnerabilities to access sensitive data from over 700 organizations, including major cybersecurity vendors like Cloudflare, Palo Alto Networks, and Zscaler. It all started with a compromised GitHub account.

2025 년 8 월 Salesloft 드리프트 위반은 SaaS 역사상 상당한 공급망 공격을 나타냅니다. 위협 행위자 UNC6395는 CloudFlare, Palo Alto Networks 및 Zscaler와 같은 주요 사이버 보안 공급 업체를 포함하여 700 개가 넘는 조직의 민감한 데이터에 액세스하기 위해 OAUTH 토큰 취약점을 이용했습니다. 모두 손상된 Github 계정으로 시작되었습니다.

GitHub Account Breach: The Starting Point

Github 계정 위반 : 시작점

The attack began months before public disclosure, with UNC6395 gaining access to Salesloft's GitHub account in March 2025. This initial compromise, undetected for three months, allowed the attackers to conduct reconnaissance, download content, add guest users, and establish workflows for mass data exfiltration. This highlights the critical importance of securing code repositories and development infrastructure.

이 공격은 2025 년 3 월에 UNC6395가 Salesloft의 GitHub 계정에 액세스 할 수있는 공개 공개 전 몇 달 전에 시작되었습니다. 3 개월 동안 감지되지 않은이 초기 타협으로 인해 공격자는 정찰을 수행하고, 콘텐츠를 다운로드하고, 게스트 사용자를 추가하며, 대량 데이터 추출을위한 워크 플로우를 설정할 수있었습니다. 이는 코드 리포지토리 및 개발 인프라 보안의 중요한 중요성을 강조합니다.

OAuth Token Theft: The Key to the Kingdom

Oauth 토큰 도난 : 왕국의 열쇠

The attackers then exploited Drift's Amazon Web Services (AWS) environment to obtain OAuth tokens for Drift customers’ technology integrations. These tokens, acting as digital keys, granted access to user data across platforms like Salesforce, Google Workspace, and other business applications. This is a classic supply chain vulnerability – compromising one service to gain access to many others.

그런 다음 공격자들은 드리프트 고객의 기술 통합을위한 OAUTH 토큰을 얻기 위해 Drift의 AMAS (Amazon Web Services) 환경을 이용했습니다. 디지털 키 역할을하는 이러한 토큰은 Salesforce, Google Workspace 및 기타 비즈니스 응용 프로그램과 같은 플랫폼에서 사용자 데이터에 대한 액세스 권한을 부여했습니다. 이것은 고전적인 공급망 취약점으로, 하나의 서비스를 타협하여 다른 많은 사람들에게 액세스 할 수 있습니다.

Salesforce Instances Targeted

Salesforce 인스턴스 대상

Between August 8 and 18, 2025, UNC6395 launched a systematic data exfiltration campaign targeting Salesforce instances connected through Drift integrations. The focus was on credential harvesting, aiming to enable secondary attacks and lateral movement across victim environments. This shows the long-term strategic thinking of sophisticated threat actors.

2025 년 8 월 8 일과 18 일 사이에 UNC6395는 드리프트 통합을 통해 연결된 영업 인스턴스 인스턴스를 대상으로 체계적인 데이터 예비 계약 캠페인을 시작했습니다. 피해자 환경에서 2 차 공격과 측면 이동을 가능하게하는 자격 증명 수확에 중점을 두었습니다. 이것은 정교한 위협 행위자에 대한 장기 전략적 사고를 보여줍니다.

Key Takeaways and Mitigation Strategies

주요 테이크 아웃 및 완화 전략

The Salesloft Drift breach exposes several interconnected security failures:

Salesloft 드리프트 위반은 여러 가지 상호 연결된 보안 실패를 노출시킵니다.

• Inadequate Security Controls: The GitHub compromise points to weaknesses in securing code repositories and development infrastructure.
• Credential Management Shortcomings: The ability to steal OAuth tokens from AWS environments indicates significant gaps in credential management.
• Insufficient Oversight of Third-Party Integrations: Organizations lacked adequate monitoring and control over third-party integrations.
• Detection and Response Deficiencies: The extended duration of malicious activity reveals deficiencies in detection and response capabilities.

Immediate Response Actions

즉각적인 응답 조치

• Implement robust OAuth token security hardening measures.
• Conduct thorough third-party integration reviews.
• Enhance monitoring and detection capabilities.

Strategic Security Improvements

전략적 보안 개선

• Establish comprehensive supply chain risk management programs.
• Implement a Zero Trust architecture.
• Enhance development security practices.

The Big Picture: A Wake-Up Call for SaaS Security

큰 그림 : SaaS 보안을위한 모닝콜

The Salesloft Drift breach serves as a critical reminder of the evolving threat landscape and the importance of proactive security measures. As supply chain attacks become more sophisticated, organizations must prioritize comprehensive, integrated security programs that can adapt to dynamic cyber threats. The incident underscores how interconnected the SaaS world is, and how vulnerabilities in one area can quickly cascade into widespread problems.

Salesloft 드리프트 위반은 진화하는 위협 환경과 사전 보안 조치의 중요성을 상기시켜줍니다. 공급망 공격이 더욱 정교 해짐에 따라 조직은 동적 사이버 위협에 적응할 수있는 포괄적이고 통합 된 보안 프로그램의 우선 순위를 정해야합니다. 이 사건은 SaaS 세계와의 상호 연결된 방법과 한 영역의 취약성이 광범위한 문제로 빠르게 캐스케이드 할 수있는 방법을 강조합니다.

Final Thoughts

최종 생각

So, what's the takeaway? This whole Salesforce data breach saga is a bit of a mess, right? But hey, on the bright side, it's a fantastic learning opportunity. Let's use this as a chance to tighten up our security game and keep those digital bandits at bay. After all, a little paranoia never hurt anyone in cybersecurity!

그래서 테이크 아웃은 무엇입니까? 이 전체 Salesforce 데이터 위반자 Saga는 약간 엉망입니다. 그러나 밝은면에서는 환상적인 학습 기회입니다. 이것을 보안 게임을 강화하고 디지털 산적을 막을 수있는 기회로 사용합시다. 결국, 작은 편집증은 사이버 보안에서 누구도 해치지 않습니다!