Salesloft-Datenleck: Sicherheitslücke bei OAuth-Integration mit Drift

ATLANTA / LONDON (IT BOLTWISE) – Eine massive Datenverletzung bei Salesloft hat zur Kompromittierung von OAuth- und Refresh-Tokens geführt, die mit dem Drift-KI-Chat-Agenten verbunden sind. Diese Sicherheitslücke ermöglichte es Hackern, auf Salesforce-Kundendaten zuzugreifen und sensible Informationen wie AWS-Zugangsschlüssel und Passwörter zu stehlen. Die Bedrohung wurde von Google Threat Intelligence Group und Mandiant als UNC6395 identifiziert.

Eine weitreichende Datenverletzung hat es Hackern ermöglicht, die Vertriebsautomatisierungsplattform Salesloft zu kompromittieren und OAuth- sowie Refresh-Tokens zu stehlen, die mit dem Drift-KI-Chat-Agenten verbunden sind. Diese Aktivitäten, die als opportunistisch eingeschätzt werden, wurden einem Bedrohungsakteur zugeschrieben, der von der Google Threat Intelligence Group und Mandiant als UNC6395 verfolgt wird. Die Angriffe begannen bereits am 8. August 2025 und dauerten mindestens bis zum 18. August 2025 an, wobei die Angreifer Salesforce-Kundeninstanzen über kompromittierte OAuth-Tokens angriffen.

In diesen Angriffen wurden große Datenmengen aus zahlreichen Unternehmensinstanzen von Salesforce exportiert, mit dem wahrscheinlichen Ziel, Anmeldedaten zu sammeln, die dann zur Kompromittierung von Opferumgebungen verwendet werden könnten. Dazu gehören Amazon Web Services (AWS)-Zugangsschlüssel (AKIA), Passwörter und Snowflake-bezogene Zugriffstokens. UNC6395 hat auch ein Bewusstsein für operative Sicherheit gezeigt, indem es Abfragejobs gelöscht hat, obwohl Google Organisationen auffordert, relevante Protokolle auf Hinweise auf Datenexposition zu überprüfen, API-Schlüssel zu widerrufen, Anmeldedaten zu rotieren und weitere Untersuchungen durchzuführen, um das Ausmaß der Kompromittierung zu bestimmen.

Salesloft gab in einer am 20. August 2025 veröffentlichten Beratung bekannt, dass es ein Sicherheitsproblem in der Drift-Anwendung identifiziert hat und proaktiv die Verbindungen zwischen Drift und Salesforce widerrufen hat. Der Vorfall betrifft keine Kunden, die nicht mit Salesforce integriert sind. “Ein Bedrohungsakteur nutzte OAuth-Anmeldedaten, um Daten aus den Salesforce-Instanzen unserer Kunden zu exfiltrieren”, sagte Salesloft. “Der Bedrohungsakteur führte Abfragen aus, um Informationen zu verschiedenen Salesforce-Objekten abzurufen, darunter Fälle, Konten, Benutzer und Chancen.”

Das Unternehmen empfiehlt auch, dass Administratoren ihre Salesforce-Verbindung erneut authentifizieren, um die Integration wieder zu aktivieren. Das genaue Ausmaß der Aktivitäten ist nicht bekannt. Salesloft hat jedoch alle betroffenen Parteien benachrichtigt. In einer Erklärung am Dienstag sagte Salesforce, dass eine “kleine Anzahl von Kunden” betroffen sei und dass das Problem auf eine “Kompromittierung der App-Verbindung” zurückzuführen sei. “Nach der Erkennung der Aktivitäten haben Salesloft in Zusammenarbeit mit Salesforce aktive Zugangs- und Refresh-Tokens ungültig gemacht und Drift aus dem AppExchange entfernt. Wir haben dann die betroffenen Kunden benachrichtigt”, fügte Salesforce hinzu.

Diese Entwicklung kommt zu einer Zeit, in der Salesforce-Instanzen ein aktives Ziel für finanziell motivierte Bedrohungsgruppen wie UNC6040 und UNC6240 (auch bekannt als ShinyHunters) geworden sind, wobei letztere sich mit Scattered Spider (auch bekannt als UNC3944) zusammengeschlossen haben, um sich Zugang zu verschaffen. “Was an den UNC6395-Angriffen besonders bemerkenswert ist, ist sowohl der Umfang als auch die Disziplin”, sagte Cory Michal, CSO von AppOmni. “Dies war kein einmaliger Kompromiss; Hunderte von Salesforce-Mandanten spezifischer Organisationen von Interesse wurden mit gestohlenen OAuth-Tokens angegriffen, und der Angreifer hat methodisch Daten in vielen Umgebungen abgefragt und exportiert.”

Bestseller Nr. 1 - «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

29,99 EUR

Bestseller Nr. 2 - «KI Gadgets»

Mobvoi TicNote KI Digitales Diktiergerät, 64 GB Speicher, Notizrekorder mit Hülle, App-Steuerung, über 100 Sprachen, Transkribieren, Zusammenfassen mit AI Shadow,digitaler Audiorekorder Sprachrekorder

169,99 EUR

Bestseller Nr. 3 - «KI Gadgets»

PLAUD Note KI Digitales Diktiergerät mit Hülle - 64 GB Aufnahmegerät mit KI-Technologie zum Transkribieren und Zusammenfassen, One-Touch-Aufnahme, Rauschunterdrückung, Unterstützt 112 Sprachen

169,90 EUR

Bestseller Nr. 4 - «KI Gadgets»

KI-Sprachrekorder, PLAUD NotePin Sprachrekorder, App-Steuerung, KI-Notizgerät, KI-Transkription & Zusammenfassung, 112 Sprachen, 64GB Speicher, Audiorekorder für Vorlesungen, Meetings, Kosmisches Grau

169,90 EUR

Bestseller Nr. 5 - «KI Gadgets»

SOXOI KI Digitales Diktiergerät, 64GB Magnet Mini Aufnahmegerä mit ChatGPT 4o vom Transkribieren und Zusammenfassen für 102 Sprachen,One Touch Aufnahme, Voice Recorder Sprachrecorder (Schwarz)

64,59 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!