באוגוסט 2025 חשפה Salesloft (הבעלים של Drift) פריצה שהייתה פעילה כמה חודשים. התוקפים נעו צעד אחר צעד בין מערכות: התחילו ב-GitHub, עברו ל-AWS, ומשם אספו טוקני OAuth שהעניקו גישה ישירה לסביבות Salesforce.
בעזרת הטוקנים האלה הם הוציאו מידע קריטי לעסק, ואף איתרו סודות נוספים כמו מפתחות AWS, טוקנים של Snowflake וסיסמאות. כמה חברות גלובליות, ובהן Cloudflare, Zscaler ו-Palo Alto Networks, אישרו שנפגעו.
המקרה מדגיש תחום סיכון שהולך וגדל: טוקני OAuth ואינטגרציות של צד שלישי, שלרוב מתעלמים מהם אבל הם מעניקים גישה עמוקה לפלטפורמות SaaS.
מהלך המתקפה בפירוט
גישה ל-GitHub
- התוקפים קיבלו גישה לארגון ה-GitHub של Drift.
- שיטת הכניסה עדיין לא אושרה (ייתכן שמדובר בגניבת פרטי התחברות, בקרות חלשות או הגדרות שגויות).
מעבר ל-AWS
- מ-GitHub הגיעו התוקפים לתשתית AWS.
- הם מצאו אחסון שהכיל טוקני OAuth ו-refresh של Salesforce.
ניצול הטוקנים
- הטוקנים הוצאו מהמערכת (exfiltrated).
- התוקפים השתמשו בהם כדי להתחבר ישירות ל-orgs של Salesforce של לקוחות Drift.
פריצה ל-Salesforce
הרצת שאילתות SOQL על אובייקטים מרכזיים:
- Cases (נתוני תמיכה)
- Contacts (רשומות לקוחות)
- Opportunities (צנרת מכירות)
הוצאת סודות ששמורים ברשומות:
- מפתחות AWS
- טוקנים של Snowflake
- סיסמאות
טשטוש עקבות
- מחיקת jobs ב-Salesforce כדי להפחית נראות.
- הפעילות נמשכה חודשים בלי שזוהתה.
בלימה
- אמצע אוגוסט 2025: Salesforce ו-Salesloft ביטלו את כל הטוקנים של Drift.
- Drift הוסרה מ-Salesforce AppExchange.
תובנות עיקריות
- אחסון הטוקנים יצר חשיפה: טוקני OAuth רגישים אוחסנו במקומות נגישים.
- פערי ניטור: חודשים של פעילות לא זוהו, למרות שאילתות ומחיקות חריגות.
- אינטגרציות של צד שלישי מגדילות את הסיכון: כשהטוקנים נפרצו, התוקפים קיבלו גישה מהימנה לסביבות הלקוחות.
- לא נדרש exploit מתקדם: הפריצה נשענה על פרקטיקות תפעוליות חלשות, ולא על פרצות zero-day.
המלצות
- סקרו את כל אינטגרציות ה-OAuth עם Salesforce ועם פלטפורמות SaaS אחרות.
- החליפו טוקנים והפקיעו אותם באופן קבוע, והימנעו מסודות ארוכי טווח.
- אכפו scopes של הרשאות מינימליות על אפליקציות צד שלישי.
- נטרו שאילתות SOQL חריגות, ייצוא נתונים גדול או קריאות API לא צפויות.
- בצעו audit לרשומות CRM ולמערכות תמיכה וחפשו סודות מוטמעים (מפתחות API, סיסמאות).
- הדריכו מפתחים ואדמינים על הסיכונים באחסון טוקנים וסודות בקוד או בטיקטים.
הערות סיכום
האירוע הזה מדגים איך פרטים שמתעלמים מהם, כמו ניהול טוקנים והיגיינת אינטגרציות, יכולים להוביל לפריצות בקנה מידה גדול. יש להתייחס לטוקני OAuth ולאפליקציות מחוברות באותה רמת הגנה כמו לסיסמאות או למפתחות פרטיים.
המקרה של Drift מראה שתוקפים לא צריכים exploits חדשים כשפערים נפוצים נשארים בלי טיפול. כל ארגון שמשתמש ב-Salesforce או בכלי SaaS דומים צריך לבחון מחדש את הגישה שלו לאינטגרציות, לניהול סודות ולניטור.
משאבים:
https://trust.salesloft.com/?uid=Drift%2FSalesforce+Security+Update
https://thehackernews.com/2025/08/salesloft-oauth-breach-via-drift-ai.html
רוצים לדעת איפה הטננט שלכם עומד? Griffin31 בודק את הגדרות האבטחה של Microsoft 365 אצלכם באופן רציף ומראה מה לתקן קודם.