Investigadores de Reco detectaron una operación llamada City-Forum, donde un actor avanzado ha recolectado datos de portales de Salesforce y ServiceNow mal configurados. El atacante utiliza herramientas personalizadas y técnicas poco documentadas para explotar permisos excesivos de usuarios invitados en bancos, telecomunicaciones y sector público. Se enfatiza que no es una vulnerabilidad de las plataformas, sino un error de configuración de las empresas que dejan su información expuesta.





Alguien ha pasado más de un año hurgando en portales de Salesforce y ServiceNow en todo el mundo, recolectando datos que las organizaciones dejaron abiertos accidentalmente para cualquiera que los buscara.

Investigadores de Reco han nombrado la operación "City-Forum", basándose en un dominio conectado a su infraestructura. El dominio ha apuntado al servidor del atacante desde marzo de 2025, aunque no está claro exactamente cuándo comenzó la campaña. Reco afirma que la actividad continúa y aumenta en volumen.

Reco no ha nombrado a los objetivos, pero señaló que detectó al atacante explorando portales pertenecientes a compañías de telecomunicaciones, bancos y otras firmas de servicios financieros, proveedores de software empresarial, empresas de ciberseguridad y organismos del sector público.

"En el último año, hemos visto a muchos actores de amenazas que utilizan la enumeración de Aura contra usuarios invitados de Salesforce con permisos excesivos. Este actor es diferente", afirmó Nitay Bachrach, investigador senior de seguridad en Reco.

En Salesforce, el atacante se dirige a los sitios Lightning Web Runtime (LWR) a través de la capa GraphQL de la API de UI, un enfoque que Reco dice no haber encontrado documentado en investigaciones públicas ni incorporado en herramientas de ataque disponibles públicamente. Por otro lado, en ServiceNow, el mismo operador consulta un endpoint de búsqueda nativo del Service Portal que ha recibido poca atención pública.

Si el invitado puede leer un registro, cualquiera en internet también puede. eso no es una vulnerabilidad de la plataforma

Nitay Bachrach, investigador de seguridad

Las herramientas también verifican si los sitios de Salesforce permiten el autorregistro, ofreciendo potencialmente una ruta desde el acceso anónimo de invitado hasta una cuenta externa autenticada con permiso para ver considerablemente más datos. Reco afirmó haber visto estas comprobaciones en la mayoría de los objetivos de Salesforce que examinó.

"El actor de la amenaza creó su propio conjunto de herramientas, basado en investigaciones y técnicas que no están bien documentadas en línea", dijo Bachrach. "Estudiaron los servicios para mapear diferentes vectores comunes de filtración de datos; se trata de un actor avanzado".

Esto tampoco es una exploración casual. Reco indicó que el objetivo de Salesforce más activo registró más de 560.000 eventos desde la IP del atacante durante la campaña, casi todos ellos intentos de enumerar datos disponibles para usuarios invitados.

Reco vinculó la actividad de Salesforce y ServiceNow al mismo servidor, que atacó a múltiples organizaciones en todo el mundo. De manera más inusual, el atacante no se ha molestado en cambiar su infraestructura: la misma dirección IP y dominio han permanecido en uso durante al menos 17 meses, con herramientas personalizadas relacionadas circulando por ambas plataformas.

ServiceNow nos informó que "está al tanto de la publicación de un blog de una empresa de seguridad que afirma que ciertas configuraciones están creando riesgos de seguridad. Como se señala en el post de la empresa, no hay alegaciones de un compromiso del entorno de ServiceNow. No obstante, tomamos en serio los informes de terceros y estamos investigando en consecuencia. Nuestra prioridad es proteger a nuestros clientes, sus datos y nuestros sistemas".

Salesforce aún no ha respondido a las preguntas.

Los clientes de Salesforce ya han tenido una lección muy pública sobre lo que puede suceder cuando el acceso de invitado es demasiado generoso. En marzo, ShinyHunters informó que había robado datos de alrededor de 100 empresas de alto perfil y casi 400 sitios web tras ir tras cuentas de invitado de Experience Cloud con permisos excesivos.

City-Forum no está haciendo exactamente lo mismo, y Reco no culpa a ShinyHunters. "No sabemos quién es, y no estamos descartando a nadie", dijo Bachrach.

Reco afirma que toda la actividad observada se llevó a cabo sin autenticación, recolectando el atacante información que las organizaciones habían expuesto a través de permisos, reglas de compartido, fuentes de búsqueda u otras opciones de configuración.

"Si el invitado puede leer un registro, cualquiera en internet también puede", advirtió Bachrach. "Eso no es una vulnerabilidad de la plataforma".

Lo cual es una buena noticia para Salesforce y ServiceNow, quizás, pero mucho menos reconfortante para cualquiera que ahora se pregunte qué ha estado mostrando su cuenta de invitado a los visitantes. ®

Fuente:
TheRegister