Des jetons volés à l’agent de chat Drift de Salesloft servent à piller des centaines d’instances Salesforce
Du 8 au 18 août 2025 au moins, un acteur malveillant suivi par Google sous le nom d’UNC6395 a utilisé des jetons OAuth volés à la plateforme d’agent de chat Drift de Salesloft pour exporter de gros volumes de données des instances Salesforce de clients, puis y a recherché des secrets tels que des clés AWS, des mots de passe et des jetons Snowflake. Salesloft et Salesforce ont révoqué les jetons Drift le 20 août, et des victimes, dont Cloudflare, ont divulgué l’exposition de données de clients.
L’enquête de Salesloft, menée par Mandiant, a établi que l’attaquant avait accédé au compte GitHub de Salesloft entre mars et juin 2025, avant d’atteindre l’environnement AWS de Drift et les jetons des clients. Google a ensuite recommandé de considérer comme compromis tous les jetons connectés à Drift, après avoir constaté que des jetons de Drift Email avaient aussi servi à accéder à un petit nombre de comptes Google Workspace.
Ce qui l’aurait évité
Délimiter et surveiller les jetons détenus par les agents tiers, afin qu’une violation chez un seul fournisseur ne permette pas d’exporter les données CRM de tous les clients.
Garde-fous
- G1 Moindre privilège Défaillant Des jetons d’intégration de longue durée ont permis des exportations massives de données Salesforce de clients.
- G2 Validation humaine Non évalué Une personne a-t-elle approuvé l’étape lourde de conséquences ou irréversible ?
- G3 Isolement Non évalué L’agent était-il séparé des systèmes de production et du monde extérieur ?
- G4 Intégrité des instructions Non évalué A-t-il refusé les instructions qu’il n’aurait pas dû suivre ?
- G5 Véracité Non évalué A-t-il rendu compte fidèlement de ce qu’il savait et de ce qu’il a fait ?
- G6 Limites Non évalué Un plafond limitait-il le rythme, les dépenses, le volume ou l’ampleur ?
- G7 Supervision Défaillant Les intrus étaient dans les systèmes de Salesloft de mars à juin ; les exportations ont duré dix jours avant la révocation.
- G8 Réversibilité Partiel Les jetons ont été révoqués, mais les données exfiltrées et les secrets qu’elles contenaient n’ont pu être rappelés.
Sources
-
“Beginning as early as Aug. 8, 2025 through at least Aug. 18, 2025, the actor targeted Salesforce customer instances through compromised OAuth tokens associated with the Salesloft Drift third-party application.”
-
“As part of the breach, the threat actor was able to obtain OAuth credentials associated with the Salesloft Drift chat agent’s Salesforce integration to exfiltrate data from Salesloft customers’ Salesforce instances.”
-
“And then they accessed Drift's AWS environment and obtained OAuth tokens for Drift customers' technology integrations.”
L’indice de confiance de 96 % provient de ces seules sources. Notre méthode
Historique
- 14 oct. 2026Ajouté au registre avec 3 sources