Google ostrzega: Wykradziono dane z kont Workspace. Masowa kradzież dotknęła Salesloft.

Google wydało pilne ostrzeżenie dla użytkowników Salesloft Drift, agenta czatu opartego na sztucznej inteligencji, po odkryciu poważnego naruszenia bezpieczeństwa. Tokeny uwierzytelniające, wykorzystywane do integracji z kontami Google Workspace, zostały skradzione przez nieznanych sprawców, umożliwiając im dostęp do wrażliwych danych przechowywanych w poczcie elektronicznej.

W odpowiedzi na incydent Google podjęło natychmiastowe kroki, unieważniając skradzione tokeny i wyłączając integrację między Salesloft Drift a wszystkimi kontami Workspace. O sprawie powiadomiono również wszystkich dotkniętych użytkowników.

Rozszerzony zakres naruszenia

Początkowo sądzono, że naruszenie dotyczyło wyłącznie integracji Salesloft Drift z platformą Salesforce. Jednak dalsze dochodzenie przeprowadzone przez Google Threat Intelligence Group (GTIG) ujawniło, że skala problemu jest znacznie większa. „Na podstawie nowych informacji zidentyfikowanych przez GTIG, zakres tego naruszenia nie ogranicza się wyłącznie do integracji Salesforce z Salesloft Drift i wpływa na inne integracje”, czytamy w komunikacie Google. „Zalecamy wszystkim klientom Salesloft Drift, aby traktowali wszystkie tokeny uwierzytelniające przechowywane w platformie Drift lub z nią połączone jako potencjalnie naruszone”.

Działania Salesloft

Do momentu publikacji tego artykułu, Salesloft nie odniosło się do nowych ustaleń Google na swojej stronie z poradami dotyczącymi bezpieczeństwa. Nadal utrzymywano tam narrację, że naruszenie dotyczy tylko integracji Drift z Salesforce. Firma nie odpowiedziała na prośby o komentarz w tej sprawie.

Mechanizm działania Drift AI

Salesloft Drift to agent czatu oparty na sztucznej inteligencji, który umożliwia interakcję ze potencjalnymi klientami w czasie rzeczywistym, imitując ludzką konwersację. Platforma integruje się z różnymi usługami, w tym Salesforce, Slack, Google Workspace i innymi systemami CRM, aby usprawnić proces sprzedaży.

Wcześniejsze ataki i konsekwencje

Google poinformowało, że grupa hakerska UNC6395 przeprowadziła masową kampanię kradzieży danych, wykorzystując skradzione tokeny OAuth Drift do uzyskania dostępu do instancji Salesforce. Po uzyskaniu dostępu, atakujący poszukiwali poufnych danych oraz poświadczeń umożliwiających dostęp do innych usług, takich jak AWS i Snowflake. Ataki trwały co najmniej od 8 do 18 sierpnia.

W odpowiedzi na te ataki, Salesforce wyłączyło integrację Drift ze swoją główną usługą chmurową, Slackiem i platformą Pardot.

Zalecenia i dalsze kroki

Google zaleca organizacjom podjęcie natychmiastowych działań w celu przejrzenia wszystkich integracji stron trzecich połączonych z ich instancją Drift, unieważnienia i rotacji poświadczeń dla tych aplikacji oraz zbadania wszystkich połączonych systemów pod kątem oznak nieautoryzowanego dostępu.

Salesloft nawiązał współpracę z firmą Mandiant, zajmującą się reagowaniem na incydenty, należącą do Google, w celu przeprowadzenia dogłębnego dochodzenia w sprawie naruszenia.