Publicado el por Seguridad CSIRT-CV

Brecha en Salesforce de Palo Alto

Palo Alto Networks ha confirmado que actores no autorizados lograron acceder a información contenida en sus instancias de Salesforce tras una brecha en una integración de terceros, específicamente con la plataforma Drift, adquirida por Salesloft. Esta brecha forma parte de una campaña más amplia dirigida contra organizaciones que utilizan integraciones de terceros en Salesforce.

Según la información publicada por el equipo de amenazas Unit 42 de Palo Alto Networks, se identificó un acceso no autorizado a datos dentro de su CRM Salesforce mediante el uso de tokens de autenticación OAuth comprometidos. Estos tokens estaban vinculados a la integración con Drift, una herramienta de chat y automatización conversacional, utilizada para facilitar la interacción con clientes potenciales y actuales.

El atacante explotó esta integración para extraer información desde la cuenta de Salesforce sin necesidad de comprometer sistemas internos, redes corporativas ni infraestructuras críticas de Palo Alto Networks. Unit 42 detalla que esta campaña afecta a múltiples organizaciones y se caracteriza por el uso de técnicas avanzadas de evasión y automatización.
La intrusión fue detectada durante revisiones rutinarias de seguridad, y se tomaron medidas inmediatas para revocar los tokens comprometidos, deshabilitar integraciones con Drift, y notificar a los clientes potencialmente afectados.
 

Recursos Afectados

  • Instancias de Salesforce de Palo Alto Networks
  • Integración OAuth con Drift/Salesloft
  • Datos comerciales no clasificados:

    Información de contacto de clientes y prospectos
    Casos de soporte no críticos.
    Información relacionada con actividades de marketing y ventas

Recomendaciones

Para mitigar el riesgo, se recomienda aplicar las siguientes medidas:

  1. Revocar todos los tokens OAuth activos relacionados con integraciones de terceros como Drift.
  2. Revisar los permisos y alcances de las aplicaciones conectadas a Salesforce.
  3. Deshabilitar temporalmente integraciones no esenciales mientras se audita su seguridad.
  4. Notificar a los equipos de ventas y soporte para evitar compartir credenciales o datos sensibles a través de CRM o plataformas no cifradas.
  5. Aplicar principios de mínimo privilegio a las aplicaciones OAuth conectadas.
  6. Monitorizar logs de acceso en Salesforce en busca de patrones anómalos de comportamiento.

Referencias