Атаки City-Forum: злоумышленники крадут данные из Salesforce и ServiceNow

Киберпреступники проводят масштабную кампанию по краже данных из корпоративных порталов Salesforce Experience Cloud и ServiceNow. Атаки, получившие название City-Forum, используют неправильные настройки доступа, позволяющие анонимным пользователям получать конфиденциальную информацию через API. Эксперты компании Reco, обнаружившие угрозу, отмечают, что активность злоумышленников продолжает расти, а их инфраструктура остаётся неизменной с марта 2025 года.

Все атаки исходят с одного IP-адреса (158.220.87.79), принадлежащего немецкому хостинг-провайдеру Contabo. Злоумышленники используют стандартный пользовательский агент Go-http-client/1.1 и домен city-forum.com, который привязан к этому серверу более года. Атаки нацелены на данные, ошибочно открытые для гостевых пользователей через избыточные права доступа или неверные конфигурации порталов.

В Salesforce злоумышленники эксплуатируют как устаревший фреймворк Aura, так и более современный Lightning Web Runtime (LWR). В первом случае они отправляют запросы к эндпоинтам /aura или /s/sfsites/aura для перечисления доступных объектов, таких как учётные записи, контакты или обращения в поддержку. Для LWR используется GraphQL через UI API, что позволяет извлекать данные через эндпоинт /webruntime/api/services/data. В ServiceNow атаки направлены на поисковый API портала, который может возвращать данные при неправильной настройке прав доступа.

Эксперты подчёркивают, что атаки не связаны с уязвимостями в самих платформах, а злоупотребляют избыточными правами доступа. Для защиты рекомендуется пересмотреть настройки гостевых учётных записей, ограничить доступ к API и отключить саморегистрацию пользователей, если она не требуется. Также важно мониторить логи на предмет подозрительной активности, особенно связанной с автоматизированными запросами.