Uma campanha em andamento de roubo de dados usa ferramentas personalizadas para extrair informações expostas a usuários anônimos por meio dos portais Salesforce Experience Cloud e ServiceNow.
Batizada de City-Forum pela empresa de segurança SaaS Reco, a campanha foi rastreada até um único servidor que tem como alvo diversas organizações em todo o mundo. Entre elas estão empresas de telecomunicações, bancos, instituições financeiras, fornecedores de software corporativo, companhias de segurança e privacidade de dados e portais do setor público.
Segundo a Reco, os ataques continuam em andamento, com aumento progressivo da atividade.
A empresa informa que todos os ataques partem do endereço IP 158.220.87.79, hospedado pela provedora alemã de VPS Contabo, e quase sempre usam o user agent padrão Go-http-client/1.1 ao baixar dados.
Esse IP está associado ao domínio city-forum.com, que aponta para o mesmo servidor desde pelo menos março de 2025, o que indica que a infraestrutura permanece ativa há mais de um ano.
Os pesquisadores afirmam que esses indicadores de comprometimento, ou IOCs, foram observados em quase todos os ataques contra ambientes Salesforce e ServiceNow nessa campanha.
“O mesmo padrão aparece tanto em Salesforce quanto em ServiceNow, em várias organizações ao redor do mundo. A operação segue ativa, e o volume está crescendo”, explicou a Reco.
“Até agora, foram observadas apenas atividades de usuário convidado, nunca de um usuário autenticado, mas não se pode descartar essa possibilidade.”
Esses ataques não exploram uma vulnerabilidade em Salesforce ou ServiceNow.
Em vez disso, roubam dados que as organizações expuseram por engano a usuários convidados não autenticados, por meio de regras de compartilhamento permissivas demais, permissões inadequadas ou configurações incorretas dos portais.
Tanto o Salesforce Experience Cloud quanto o ServiceNow usam contas de convidado para gerenciar visitantes não autenticados. Se essas contas recebem acesso a registros de dados, qualquer pessoa na internet pode potencialmente recuperá-los por meio de diferentes endpoints de API.
No caso do Salesforce, a maior parte da atividade observada mira o framework Aura, mais antigo, no qual os atacantes enviam solicitações aos endpoints /aura ou /s/sfsites/aura para identificar quais objetos, como Accounts, Contacts e Cases, estão publicamente acessíveis.
A Reco afirma que o atacante primeiro aciona HostConfigController.getConfigData para enumerar os objetos disponíveis para a conta de convidado e depois usa SelectableListDataProviderController.getItems para recuperar os registros dos objetos acessíveis.
A empresa informa que o alvo mais ativo registrado recebeu mais de 560.000 eventos vindos do IP do atacante, e quase todos estavam relacionados à enumeração de Aura por usuários convidados.
Esse tipo de abuso de usuário convidado no Salesforce não é novo e já foi usado anteriormente em campanhas de roubo de dados atribuídas aos ShinyHunters.
O grupo já havia usado uma versão modificada da ferramenta AuraInspector para roubar registros expostos em portais Experience Cloud mal configurados.
No entanto, o atacante da City-Forum não está mirando apenas esses mesmos endpoints do Aura, mas também sites do Salesforce construídos com o framework mais recente Lightning Web Runtime, ou LWR.
Em sites LWR, o atacante usa a UI API do Salesforce para roubar dados expostos a contas de convidado por meio de solicitações GraphQL enviadas ao endpoint /webruntime/api/services/data/{version}/graphql.
A Reco diz não ter visto ferramentas públicas de ataque usando essa técnica, e ferramentas conhecidas, como AuraInspector, S-RET e CirrusGo, não utilizam a interface webruntime.
O atacante também mira sites do Experience Cloud nos endpoints /SiteRegister e /CommunitiesSelfReg para verificar se a autoinscrição está habilitada, o que pode permitir que um convidado crie uma conta externa autenticada com acesso mais amplo.
O mesmo atacante também mira ServiceNow Service Portals por meio do endpoint nativo POST /api/now/sp/search?sysparm_cancelable=true, que, segundo a Reco, não havia sido visto antes em abusos de ataque.
Esse endpoint, usado pela função de busca do portal do ServiceNow, aceita solicitações anônimas e pode retornar dados quando as fontes de busca estão configuradas para permitir acesso de convidados.
A Reco afirma que os atacantes podem variar os termos de busca para enumerar informações expostas, e um dos ambientes investigados viu as solicitações crescerem de dezenas para centenas por dia.
Como os registros de transações do ServiceNow não gravam o corpo do POST, as equipes de defesa conseguem ver que buscas automatizadas ocorreram e quanto dado foi retornado, mas não conseguem identificar os termos exatos usados pelo atacante.
Embora parte dessa atividade no Salesforce seja parecida com ataques anteriores dos ShinyHunters, a Reco diz não haver evidências que liguem a campanha atual ao grupo.
Os pesquisadores também observaram que campanhas anteriores, como as dos ShinyHunters, costumavam usar vários sistemas e diferentes endereços IP, enquanto a infraestrutura da City-Forum permaneceu no mesmo IP desde março de 2025.
Administradores do Salesforce são orientados a revisar regras de compartilhamento para usuários convidados, permissões de objetos e campos, acesso a arquivos, visibilidade de membros e configurações de autoinscrição.
Para sites LWR, a Reco também recomenda desativar a opção do Experience Builder que permite a usuários convidados acessar APIs públicas quando isso não for necessário. Essa medida bloqueia o acesso a diversos endpoints de API usados para enumeração e roubo de dados.
Administradores do ServiceNow devem revisar quais fontes de busca estão expostas por meio dos Service Portals e garantir que as fontes de busca de dados sensíveis usem autenticação rigorosa e controles de acesso adequados.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...