City-Forum Kampagne sammelt Daten, die anonymen Nutzern in Salesforce- und ServiceNow-Portalen ausgesetzt sind
Entdecken Sie, wie eine kürzlich durchgeführte Datendiebstahlkampagne auf exponierte Informationen in Salesforce und ServiceNow abzielt und Schwachstellen in beliebten Portalen aufdeckt.
Ein/e laufende Datendiebstahlkampagne zugeschrieben an den
Häufig Gestellte Fragen
Was bedeutet es, dass Daten in den Portalen von Salesforce und ServiceNow "anonymen Nutzern ausgesetzt" wurden?
Dies bedeutet, dass die betroffenen Portale Zugriff auf bestimmte Datensätze oder Endpunkte ohne ordnungsgemäße Authentifizierung gewährt haben. Anstatt einen angemeldeten Benutzer mit den richtigen Berechtigungen zu benötigen, können anonyme Besucher möglicherweise Daten anzeigen, abfragen oder herunterladen, die für bestimmte Rollen bestimmt sind. Dies deutet typischerweise auf falsch konfigurierte Zugriffskontrollen, fehlerhafte Autorisierungsprüfungen oder unsichere öffentliche Endpunkte hin.
Wie könnte eine Kampagne Daten über öffentliche oder halböffentliche Portalfunktionen "ernten"?
Angreifer können Anfragen an Portal-Endpunkte automatisieren, die nicht öffentlich sein sollten, Identifikatoren aufzählen (wie Datensatz-IDs) und alle Antworten abkratzen, die der Server falsch zurückgibt. Selbst wenn die Benutzeroberfläche Daten verbirgt, können Backend-APIs oder Download-Funktionen sie dennoch aussetzen. Schwache ratenbegrenzende und vorhersehbare Ressourcen-URLs machen die Ernte effizienter.
Welche Datentypen sind am ehesten durch falsch konfigurierte Salesforce/ServiceNow-Portale zugänglich?
Während es von der spezifischen Umgebung und Konfiguration abhängt, beinhalten Portallecks oft Kunden- oder Benutzerprofilinformationen, Support- / Ticketinhalte, Vorfallsdetails, Anhänge und Metadaten, die beim Aufzählen von Datensätzen helfen. Manchmal können Angreifer auch auf Konfigurations- oder Workflow-bezogene Daten zugreifen, die die interne Struktur aufdecken. Das Hauptrisiko besteht nicht nur in Inhalten, sondern in der Fähigkeit, sensible Datensätze zu verknüpfen und zu rekonstruieren.
Wie können Unternehmen bestätigen, ob ihre Portale anfällig für anonyme Zugriffe sind?
Organisationen sollten Portalendpunkte und APIs validieren, die Daten bedienen, und testen, ob Anfragen ohne Authentifizierung erfolgreich sind und ob die Autorisierung pro Benutzerrolle durchgesetzt wird. Überprüfen Sie die Zugriffskontrolllogik, prüfen Sie nach öffentlich erreichbaren Routen und überprüfen Sie, ob serverseitige Berechtigungsprüfungen vorhanden sind—Nicht nur UI-Beschränkungen. Das Protokollieren und Alarmieren von anormalen, nicht authentifizierten Abfragen kann helfen, die Exposition zu bestätigen.
Welche Minderungsschritte verringern das Risiko einer zukünftigen Datenexposition in Salesforce- und ServiceNow-Portalen?
Beheben Sie Fehlkonfigurationen, indem Sie für jede datenrückgebende API und jeden Download-Endpunkt eine strenge Authentifizierung und rollenbasierte Autorisierung durchsetzen. Entfernen oder sperren Sie anonyme Zugriffseinstellungen, wenn dies nicht ausdrücklich erforderlich ist, löschen Sie öffentliche Ansichten und stellen Sie sicher, dass serverseitige Überprüfungen mit den beabsichtigten Berechtigungen übereinstimmen. Fügen Sie Ratenbegrenzung hinzu, überwachen Sie verdächtige Verkehrsmuster und beheben Sie kürzlich identifizierte plattformspezifische Probleme.
Warum ist es wichtig, sofort nachzuforschen, auch wenn das Portal „normalerweise geschützt erscheint?
Da Lecks subtil sein können: Das Portal funktioniert möglicherweise wie erwartet für typische Benutzer, während es anonymen Anrufern immer noch einen kleinen Satz von Endpunkten aussetzt. Angreifer können große Mengen schnell mit Automatisierung ernten, daher ist die Zeit wichtig. Eine frühzeitige Untersuchung hilft auch, den Umfang zu bestimmen, die genauen exponierten Routen zu identifizieren und Angreifer daran zu hindern, ihre Methoden mit neuen Erkenntnissen zu verfeinern.
