Salesloft, 드리프트 및 데이터 도난 : 클라우드 보안을위한 모닝콜

Salesloft의 드리프트 앱을 통한 Salesforce 및 Google Workspace를 대상으로하는 광범위한 데이터 도난 캠페인은 상호 연결된 클라우드 서비스의 취약점을 노출시킵니다. 당신은 무엇을 할 수 있습니까?

Hold on to your hats, folks! A recent security snafu involving Salesloft and Drift has the tech world buzzing. Turns out, a data theft campaign initially targeting Salesforce integrations has broader implications, potentially compromising Google Workspace accounts and other linked systems. It’s a wild ride, so buckle up!

모자를 붙잡고 있습니다! Salesloft와 Drift와 관련된 최근 보안 SNAFU는 기술 세계가 윙윙 거리고 있습니다. Data Theft 캠페인은 처음에 Salesforce 통합을 대상으로 한 데이터 도난 캠페인이 더 넓은 영향을 미치며 잠재적으로 Google Workspace 계정 및 기타 링크 된 시스템을 손상시킬 수 있습니다. 거친 타는거야, 버클 업!

The Lowdown on the Salesloft/Drift Debacle

Salesloft/Drift Despacle의 낮은 다운

Google's Threat Intelligence Group (GTIG) dropped a bombshell, warning of a large-scale data theft campaign by the criminal group UNC6395. Initially, the attacks appeared to affect Salesforce instances connected to Salesloft Drift. However, new analysis shows that other systems connected to Salesloft Drift are also at risk. All authentication tokens associated with the Drift platform must be considered compromised. Between August 8 and at least August 18, 2025, members of UNC6395 systematically copied large amounts of data from Salesforce instances of companies. To do so, they gained access using compromised OAuth tokens originating from the AI platform Salesloft Drift.

구글의 위협 정보 그룹 (GTIG)은 범죄 그룹 UNC6395의 대규모 데이터 도난 캠페인에 대한 경고로 폭탄을 떨어 뜨 렸습니다. 처음 에이 공격은 Salesloft 드리프트에 연결된 Salesforce 인스턴스에 영향을 미치는 것으로 보입니다. 그러나 새로운 분석에 따르면 Salesloft 드리프트와 관련된 다른 시스템도 위험에 처해 있습니다. 드리프트 플랫폼과 관련된 모든 인증 토큰은 손상된 것으로 간주되어야합니다. 8 월 8 일부터 2025 년 8 월 18 일에 UNC6395 회원은 Salesforce 회사의 많은 양의 데이터를 체계적으로 복사했습니다. 그렇게하기 위해 AI 플랫폼 Salesloft 드리프트에서 유래 한 손상된 OAUTH 토큰을 사용하여 액세스 할 수있었습니다.

The Expanding Scope: It's Not Just Salesforce Anymore

확장 범위 : 더 이상 Salesforce만이 아닙니다

What started as a targeted assault on Salesloft has ballooned into a widespread campaign, where hackers impersonated legitimate users to siphon data from third-party platforms. According to reports, the attackers used the stolen credentials to access not just CRM data but also email contents, expanding the scope beyond what was initially disclosed. The scope of this compromise is not exclusive to the Salesforce integration with Salesloft Drift and impacts other integrations.

Salesloft에 대한 대상 폭행으로 시작한 것은 해커가 합법적 인 사용자를 타사 플랫폼에서 데이터 사이펀에 사칭하는 광범위한 캠페인에 튀어 나왔습니다. 보고서에 따르면, 공격자는 도난당한 자격 증명을 사용하여 CRM 데이터뿐만 아니라 이메일 컨텐츠에도 액세스하여 처음 공개 된 것 이상의 범위를 확장했습니다. 이 타협의 범위는 Salesloft 드리프트와의 Salesforce 통합에만 전용되지 않으며 다른 통합에 영향을 미칩니다.

How Did They Do It? OAuth Token Shenanigans

그들은 어떻게 했습니까? Oauth 토큰 Shenanigans

These threat actors stole OAuth tokens from Salesloft’s Drift, a tool used for sales engagement and customer relationship management. These tokens were then leveraged to infiltrate connected services, including Salesforce instances and, alarmingly, select Google Workspace email accounts. The attackers’ strategy involved compromising Salesloft’s Drift OAuth tokens, which granted them persistent access to integrated apps without needing direct passwords. This allowed unauthorized queries to Salesforce APIs and Workspace inboxes, potentially exposing customer records, emails, and proprietary information.

이러한 위협 행위자들은 영업 참여 및 고객 관계 관리에 사용되는 도구 인 Salesloft의 드리프트에서 Oauth 토큰을 훔쳤습니다. 그런 다음이 토큰은 Salesforce 인스턴스를 포함하여 연결된 서비스에 침투하여 Google Workspace 이메일 계정을 선택하기 위해 활용되었습니다. 공격자의 전략에는 Salesloft의 드리프트 OAUTH 토큰이 타협하는 것이 포함되어 직접 암호가 필요없이 통합 앱에 지속적으로 액세스 할 수있었습니다. 이를 통해 Salesforce API 및 Workspace받은 편지함에 대한 무단 쿼리를 허용하여 고객 기록, 이메일 및 독점 정보를 노출시킬 수있었습니다.

The Aftermath: What’s Being Done?

여파 : 무슨 일이 일어나고 있습니까?

Google swiftly revoked all compromised tokens and disabled affected integrations, a move that Salesforce mirrored to contain the damage. Salesloft notified customers who manage their own Drift connections to third-party applications via API keys to revoke these keys and reconnect using new keys.

Google은 신속하게 타협 된 토큰과 장애인 영향을받는 통합을 신속하게 취소했습니다. Salesloft는 API 키를 통해 타사 응용 프로그램에 대한 자체 드리프트 연결을 관리하여 이러한 키를 취소하고 새 키를 사용하여 다시 연결하는 고객에게 알립니다.

Lessons Learned: Time for a Security Overhaul

교훈 : 보안 점검 시간

This breach serves as a stark reminder of the perils in third-party integrations. OAuth tokens, while efficient, lack robust revocation mechanisms in many setups, allowing attackers to maintain access post-compromise. To mitigate future risks, experts recommend adopting zero-trust models that verify every access request, regardless of origin. Organizations should audit all connected apps and implement multi-factor authentication more stringently. Google’s advisory stresses treating all Salesloft-linked tokens as compromised and rotating them immediately.

이 위반은 타사 통합의 위험을 완전히 상기시켜줍니다. OAUTH 토큰은 효율적이지만 많은 설정에서 강력한 취소 메커니즘이 부족하여 공격자는 프로모션 후 액세스를 유지할 수 있습니다. 미래의 위험을 완화하기 위해 전문가들은 원산지에 관계없이 모든 액세스 요청을 확인하는 제로 트러스트 모델을 채택하는 것이 좋습니다. 조직은 모든 ​​연결된 앱을 감사하고 다단계 인증을보다 엄격하게 구현해야합니다. Google의 자문은 모든 Salesloft 연결 토큰을 손상된 것으로 취급하고 즉시 회전하는 것을 강조합니다.

My Two Cents

내 두 센트

Let’s be real, this whole situation is a bit of a mess. The fact that a breach in one platform can cascade into others highlights the interconnectedness—and potential vulnerabilities—of modern cloud ecosystems. I think the industry needs to take a long, hard look at OAuth security and implement more robust safeguards. Otherwise, we’re just playing whack-a-mole with these breaches.

이 모든 상황은 약간 엉망입니다. 한 플랫폼의 위반이 다른 플랫폼으로 캐스케이드 할 수 있다는 사실은 현대 클라우드 생태계의 상호 연결성과 잠재적 취약성을 강조합니다. 업계는 OAUTH 보안을 길고 열심히 살펴보고보다 강력한 보호 수단을 구현해야한다고 생각합니다. 그렇지 않으면, 우리는 이러한 위반으로 Whack-a-Mole을하고 있습니다.

Wrapping Up: Stay Vigilant, Folks!

마무리 : 경계를 유지하십시오!

So, there you have it. The Salesloft/Drift data theft campaign is a wake-up call for anyone relying on cloud integrations. Keep those security protocols tight, stay informed, and maybe double-check those third-party connections. After all, in the world of cybersecurity, paranoia is just good sense. Stay safe out there!

그래서, 당신은 그것을 가지고 있습니다. Salesloft/Drift Data Theft 캠페인은 클라우드 통합에 의존하는 모든 사람에게 모닝콜입니다. 해당 보안 프로토콜을 단단히 유지하고 정보를 유지하며 타사 연결을 두 번 확인하십시오. 결국, 사이버 보안의 세계에서 편집증은 좋은 의미입니다. 안전하게 지내십시오!