Salesloft Driftが大規模に侵害され、全てのサードパーティ統合に影響

Salesloft Driftの顧客は、これまで考えられていたよりもはるかに広範囲な下流攻撃の連鎖で侵害されており、AIチャットエージェントプラットフォームを他のサービスと統合したすべてのユーザーが巻き込まれている可能性があります。

「私たちは、あらゆるプラットフォームへのDrift統合を潜在的に侵害されたものとして扱うよう組織に伝えています。これにより被害者の範囲が拡大します」と、Mandiant ConsultingのCTOであるCharles Carmakal氏はCyberScoopに語りました。この拡大した攻撃範囲には、Salesloft Driftを自社インスタンスに統合したGoogle Workspaceの顧客も含まれます。被害者には、Googleが侵害の証拠を発見したことが通知されています。

新たに発見された証拠により、GoogleがUNC6395として追跡している脅威アクターは、Salesloft Driftを利用していたSalesforceの顧客だけを標的にしたわけではないことが明らかになりました。これはSalesloftが火曜日に主張していた内容と異なります。

「これは本当に、ここでの影響範囲を大きく広げるものです」と、Google Threat Intelligence Groupの主任脅威アナリストであるAustin Larsen氏は述べました。

Salesloft Driftは、ベンダーが先月更新したサードパーティ統合ガイドによると、顧客関係管理、自動化、分析、営業、コミュニケーション、サポートのために58のサードパーティツールとの統合を提供しています。

Salesloftはセキュリティブログを更新し、影響がはるかに深刻かつ広範囲であることを確認しました。同社は、Mandiant、Google Cloudのインシデント対応部門、サイバー保険会社であるCoalitionと協力し、継続中の調査を支援していると述べています。

CRMの一種であるこの営業エンゲージメントプラットフォームは、APIキーを通じてサードパーティアプリケーションと接続しているすべてのDrift顧客に対し、既存のキーを無効化し新しいキーにローテーションすることを推奨しています。2024年2月にDriftを買収したSalesloftは、コメント要請には応じませんでした。

このセキュリティインシデントの拡大を受けて、Salesforceは水曜日遅くにDriftとSalesforce間の接続を無効化し、これらの統合を機能停止させました。Salesforceは質問への回答を拒否し、この問題はSalesforceプラットフォームの脆弱性とは無関係であるとしています。

被害者数は増加していますが、Googleは火曜日に共有した推定値を維持しており、700以上の組織が影響を受けている可能性があると繰り返しています。しかし、研究者たちは依然としてすべての潜在的な侵害経路の特定に取り組んでいることは明らかです。

「他のプラットフォームにも影響があった証拠を確認しています」とCarmakal氏は述べました。

この被害には、過去のDrift顧客も含まれる可能性があります。Mandiantは、かつてDriftの顧客だった可能性のある被害者を1件特定しましたが、研究者たちはその詳細の確認を続けています。

GTIGによれば、金銭目的の脅威グループUNC6395は、複数のサービスのOAuthトークンも取得しており、その中には「ごく少数のGoogle Workspaceアカウントのメールにアクセスできるもの」も含まれていました。攻撃者は主に、初期被害者に接続された他のシステムを侵害するための認証情報の窃取を狙っており、特にAmazon Web Servicesのアクセスキー、仮想プライベートネットワークの認証情報、Snowflakeの認証情報を探していました。

攻撃の根本原因、特にUNC6395がどのようにしてSalesloft Driftへの初期アクセスを得たのかは、まだ確認されていません。研究者たちは、Salesloft Driftのインフラ内での侵害の全容解明にも取り組んでいます。

「私たちはSalesloft Driftと協力して、何が起きたのかの根本原因を調査しており、その後は彼らが公表することになるでしょう」とCarmakal氏は述べました。「明日も、その次の日も、さらに多くの情報が出てくるでしょう。」