🚨 Violación de datos en Palo Alto Networks tras ataque a Salesloft Drift
Palo Alto Networks confirmó una violación de datos que expuso información sensible de clientes y casos de soporte luego de que atacantes abusaran de tokens OAuth comprometidos en la reciente violación de Salesloft Drift para acceder a su instancia de Salesforce .
Este incidente forma parte de una campaña más amplia que ha afectado a cientos de empresas, incluyendo a Zscaler y Google, y que fue revelada la semana pasada.
- Los atacantes utilizaron tokens de autenticación robados para acceder a Salesforce y filtrar datos confidenciales.
- La información comprometida incluye contactos comerciales, cuentas relacionadas, registros internos de ventas y datos de casos de soporte.
- Se detectó que los atacantes buscaron activamente credenciales como claves de acceso AWS (AKIA), tokens Snowflake, cadenas de inicio de sesión VPN y SSO, y palabras clave como "contraseña" o "secreto".
- Para evadir la detección, eliminaron registros de consultas y usaron la red Tor para ocultar su origen.
- Se identificó el uso de herramientas automatizadas basadas en Python para robar datos, incluyendo agentes de usuario como
python-requests/2.32.4y Salesforce-CLI/1.0.
🛡️ Respuesta de Palo Alto Networks
- Contuvieron rápidamente el incidente y desactivaron la aplicación Salesloft Drift en su entorno Salesforce.
- Revocaron tokens comprometidos y rotaron credenciales afectadas.
- Confirmaron que la violación se limitó a Salesforce y no afectó productos, sistemas o servicios.
- Están notificando directamente a los clientes afectados.
⚠️ Recomendaciones para clientes y usuarios de Salesloft Drift
Palo Alto Networks insta a tratar el incidente con urgencia inmediata y tomar las siguientes medidas:
- Investigar registros de Salesforce, proveedores de identidad y redes para detectar riesgos.
- Revisar todas las integraciones de Drift para identificar conexiones sospechosas.
- Revocar y rotar claves de autenticación, credenciales y secretos.
- Utilizar herramientas automatizadas como Trufflehog y Gitleaks para escanear repositorios de código en busca de claves o tokens incrustados.
- Revisar la presencia de credenciales si se confirma exfiltración de datos.
🔄 Contexto: ataques a Salesforce y robo de datos
Desde principios de 2025, Salesforce ha sido objetivo de ataques de robo de datos, muchos vinculados al grupo de extorsión ShinyHunters . Estos ataques suelen comenzar con phishing de voz (vishing) para engañar a empleados y vincular aplicaciones OAuth maliciosas, facilitando el robo de bases de datos para extorsión.
En contraste, la violación de Salesloft Drift permitió a los atacantes robar datos directamente mediante tokens OAuth comprometidos, sin necesidad de interacción adicional.
Este incidente subraya la importancia crítica de proteger las integraciones y tokens de autenticación en plataformas en la nube como Salesforce. La colaboración entre Palo Alto Networks, Salesforce y Google para desactivar integraciones comprometidas y reforzar la seguridad es clave para mitigar estos riesgos.
📚 Referencias ⬤
Mantente alerta y protege tus sistemas revisando integraciones y rotando credenciales regularmente. 🔐
Comentarios
Publicar un comentario