City-Forum ворует данные через Salesforce и ServiceNow-порталы

Серия атак City-Forum нацелилась на данные, которые компании сами открыли для анонимных посетителей в Salesforce Experience Cloud и клиентских порталах ServiceNow. SaaS-компания Reco пишет, что за кампанией стоит один сервер, а атаки продолжаются и становятся активнее. В списке пострадавших целей — телеком-компании, банки и финансовые организации, поставщики корпоративного софта, компании из сферы

безопасности и защиты данных, а также государственные порталы. Reco связывает кампанию с IP-адресом 158.220.87.79, который размещён у немецкого VPS-провайдера Contabo. В атаках почти всегда используется стандартный user agent Go-http-client/1.1. Этот IP связан с доменом city-forum.com, который указывает на тот же сервер как минимум с марта 2025 года. Набор признаков повторяется почти во всех атаках против

Salesforce и ServiceNow в рамках этой кампании. Reco отдельно отмечает, что видела только действия гостевых пользователей, а не вход под учётной записью. Атаки City-Forum в Salesforce и ServiceNow Главная особенность City-Forum в том, что кампания не использует уязвимость в Salesforce или ServiceNow. Атакующие забирают данные,

которые организации сами сделали доступными для незалогиненных гостей через слишком широкие правила доступа, права или настройки порталов. И Salesforce Experience Cloud, и ServiceNow используют гостевые учётные записи для анонимных посетителей. Если таким

аккаунтам разрешён доступ к записям, их можно извлечь через API и связанные с порталами интерфейсы. В Reco говорят, что на одном из самых загруженных объектов зафиксировали более 560 000 событий с IP атакующего, и почти все они были связаны с перечислением объектов через гостевой доступ в Aura. На

Salesforce злоумышленник в первую очередь работает со старым фреймворком Aura и обращается к /aura или /s/sfsites/aura, чтобы понять, какие объекты доступны публично. Затем используется HostConfigController.getConfigData для перечисления доступных гостевому аккаунту объектов и

SelectableListDataProviderController.getItems для получения записей из открытых сущностей, среди которых могут быть Accounts, Contacts и Cases. При этом City-Forum не ограничивается только Aura. На сайтах Salesforce, построенных на новом фреймворке Lightning Web Runtime, атакующий использует UI API и делает GraphQL-запросы к /webruntime/api/services/data/{version}/graphql, чтобы забрать данные, открытые для гостевых

аккаунтов. По словам Reco, публичных инструментов, которые используют именно такой метод, исследователи не видели, а AuraInspector, S-RET и CirrusGo к интерфейсу webruntime не обращаются. Ещё одна цель в этой кампании — страницы Experience Cloud с /SiteRegister и /CommunitiesSelfReg. Там злоумышленник проверяет, включена ли саморегистрация, потому что она может позволить гостю создать аутентифицированную внешнюю учётную запись с более широким доступом.

ServiceNow и след кампании В ServiceNow атакующий использует нативный POST-эндпоинт /api/now/sp/search?sysparm_cancelable=true в Service Portals. Reco пишет, что раньше не видела злоупотребления именно этим эндпоинтом в атаках. Он обслуживает поиск в портале, принимает анонимные запросы и может возвращать данные, если источники поиска настроены на доступ для гостей. Исследователи отмечают, что в

ServiceNow можно варьировать поисковые запросы и перечислять открытые сведения. В одной из изученных сред число запросов выросло с десятков до сотен в день. При этом журналы транзакций ServiceNow не сохраняют POST-body, поэтому защитники видят сам факт автоматизированного поиска и объём

возвращённых данных, но не могут восстановить точные поисковые слова. Reco сравнивает City-Forum с более ранними кампаниями ShinyHunters, но не видит признаков, что текущая серия связана именно с этой группой. В прошлых атаках ShinyHunters использовали несколько систем и разные IP-адреса, а инфраструктура City-Forum, по данным исследователей, остаётся на одном и том же адресе с марта 2025 года. Источник изображения: bleepingcomputer Администраторам Salesforce Reco советует проверить

правила гостевого доступа, права на объекты и поля, доступ к файлам, видимость участников и настройки саморегистрации. Для сайтов на LWR компания отдельно рекомендует отключить в Experience Builder возможность давать гостям доступ к публичным API, если она не нужна. Для ServiceNow рекомендация другая: нужно проверить, какие источники поиска открыты через Service Portals, и убедиться, что чувствительные источники поиска требуют жёсткой аутентификации и контроля доступа. В противном случае

сервис может продолжать отдавать данные анонимным запросам так же, как это уже происходит в кампании City-Forum.

City-Forum ворует данные через Salesforce и ServiceNow-порталы

Сообщает itzine.ru

Новость из рубрики: Технологии и Hi-Tech

Поделиться новостью: Поделиться новостью в Facebook Поделиться новостью в Twittere Поделиться новостью в VK Поделиться новостью в Pinterest Поделиться новостью в Reddit

Топ Новости Недели

15:17, 16 Фев В Telegram появился бот, который ворует аккаунты через код входа Исследователи безопасности обнаружили в Telegram бот и каналы, которые маскируются под «ускорители» работы мессенджера, но на самом деле крадут аккау...

02:17, 24 Июн Злоумышленники крадут учётные данные пользователей Steam через заражённые обои для рабочего стола Исследователи «Лаборатории Касперского» обнаружили вредоносную кампанию с использованием сервиса Steam Workshop и приложения Wallpaper Engine для уст...

05:17, 15 Июл Илон Маск пообещал удалить все данные пользователей после скандала с утечкой кода через Grok Build CLI xAI экстренно изменила работу ИИ-инструмента Grok после обвинений в краже личных ключейКомпания xAI экстренно изменила работу инструмента Grok Build ...

09:17, 07 Май Французская Ницца за сущие гроши: этот берег Турции ворует славу Лазурного побережья Забудьте о бесконечных очередях за картошкой фри в отелях "всё включено". Середина мая 2026 года готовит гастрономическую революцию на Эгейском побер...

02:17, 21 Фев Подтверждение возраста через Max — везде: с 1 сентября 2026 года все магазины России обязаны принимать подтверждения личности, льгот и карт лояльности через мессенджер Max Российский ритейл готовится к масштабной цифровой трансформации: с 1 сентября 2026 года вступает в силу постановление правительства, согласно котором...

20:17, 08 Апр Хакеры продают данные Lockheed Martin Хакеры выставили на продажу 375 ТБ данных Lockheed Martin (возможно запрещена в РФ) за $598 млн На теневой площадке появилось объявление о продаже ко...

11:17, 23 Мар Как очистить системные данные и освободить память iPhone Категория «Системные данные» в настройках iPhone способна незаметно вырасти до чудовищных размеров — есть даже несколько подтвержденных случаев, когд...

19:17, 18 Май Системные данные на Mac: как я освободил 3 гигабайта за минуту на своем MacBook Air M2 Если Mac жалуется на нехватку места, не ставит обновление macOS или начал заметно тормозить, виновником часто оказывается раздел «Системные данные» (...

19:17, 19 Фев Cтекло с лазерной гравировкой может хранить данные в течение 10 000 лет Что останется от нашей цифровой эпохи через тысячи лет? Постоянно растущий объем человеческих знаний хранится уже не в библиотеках, а на жестких диск...

18:17, 17 Апр Эти машины угоняют чаще всего: новые данные страховщиков Согласно свежим данным страховщиков, немецкие премиальные автомобили по-прежнему остаются главной мишенью среди европейских автобрендов для угонщиков...

00:17, 01 Мар Как обычное стекло может хранить данные 10 000 лет. Технология уже реальна Теперь данные можно хранить в обычном стекле.Изображение: Spiegelau Представьте, что архивы всего интернета, медицинские базы данных и библиотеки фил...

16:17, 26 Мар Курс по информационной безопасности: как защитить данные в цифровую эпоху В условиях стремительной цифровизации общества вопросы информационной безопасности приобретают первостепенное значение. Современные компании, государ...

07:17, 27 Авг С 1 сентября переводы станут прозрачнее: СБП и "Мир" передадут данные о платежах С 1 сентября российская система финансового мониторинга переходит на новый уровень контроля за движением средств граждан и бизнеса. Национальная сист...

16:17, 05 Авг Послали сигнал: появились новые данные о пропавшем в Приангарье Cessna Экипаж лесопожарного самолета Cessna 182, который пропал в Бодайбинском районе Иркутской области в понедельник, 3 августа, вышел на связь, для их эва...

05:17, 31 Янв РИА «Новости»: мошенники похищают данные, выдавая себя за сотрудников военкомата По данным журналистов, преступники обзванивают военнообязанных и просят их явиться в комиссариат, а в процессе разговора обманом узнают нужную им инф...

16:17, 08 Июл iPhone 18 Pro получит разные модемы в США и других странах — данные утечки Похищенные данные производственного партнёра Apple, компании Tata Electronics, указывают на то, что iPhone 18 Pro будет использовать разные модемные ...

10:17, 30 Июл Google проиграла первый бой за данные: суд отказался закрыть поисковую выдачу от ИИ Иск против сервиса SerpApi по закону об авторском праве отклонён, однако Google уже готовит новую версию жалобыGoogle подтвердила, что не откажется о...

08:17, 29 Янв Сильные данные и разница в процентных ставках – главное оружие доллара Влияние на рынок:3• Главным оружием гринбэка стал широкий дифференциал в ставках.• Иена идёт на поводу у правительства и Банка Японии.Американский до...

03:17, 15 Мар Стали известны новые данные о толщине льда на водоемах Тверской области Всего за несколько теплых дней и ночей лёд на водоемах значительно истончился и представляет серьезную угрозу тем, кто еще не распрощался, в частност...

14:17, 20 Фев Советник Зеленского назвал фейком данные о подготовке к трем годам боев Советник Владимира Зеленского Дмитрий Литвин заявил, что информация о поручении главы киевского режима готовиться к трем годам боевых действий не соо...

04:17, 19 Июл Новые данные о древних полюсах могут опровергнуть гипотезу «Земля-снежок» Российские геологи изучили древние породы и пришли к выводу, что в эдиакарский период — около 600 млн лет назад — магнитные полюса Земли располагалис...

18:17, 18 Фев Эксперты нашли в ПК-процессорах опасный дефект, который незаметно портит данные Если программа не выдает ошибок и не зависает, то и результат ее работы должен быть правильным. Логично? В целом, да. Однако эксперты и операторы кру...

17:17, 07 Фев Стали известны последние данные о толщине льда на водоемах Тверской области ГИМС ведет регулярный мониторинг толщины льда на водоемах Тверской области. Впереди выходные дни и наверняка кто-то планирует отправиться на зимнюю р...

03:17, 18 Апр Данные орбитального аппарата показали: лунный лёд формировался постепенно на протяжении миллиардов лет Самые древние постоянно затенённые кратеры содержат наибольшие запасы водыНовое исследование, проведённое учёными из Лаборатории атмосферной и космич...

11:17, 08 Фев Абсолютно новый Pajero замечен на тестах: он сохранил свои внедорожные данные Работа над новым поколением Shogun идёт полным ходом. После тестов в Штатах прототип будущего рамного внедорожника Mitsubishi, известного в некоторых...

21:17, 08 Авг Аксионы и темные фотоны: ученые проанализировали геомагнитные данные за 10 лет и нашли аномалии Исследователи предложили использовать магнитное поле и атмосферу Земли в качестве гигантского детектора для поиска ультралегкой темной материи. Теоре...

15:17, 13 Май USB-флешка, которая хранит данные 200 лет и не боится радиации: представлена Machdyne FERRIT 6400 долларов за набор чипов на 256 МБMachdyne представила необычный USB-накопитель FERRIT на базе ферроэлектрической памяти F-RAM. Устройство рассчи...

14:17, 18 Апр Два внешних кольца Урана имеют совершенно разное происхождение — новые данные телескопов Спектральный анализ показал: одно кольцо состоит из водяного льда со спутника Маб, другое — из каменистого и органического материала неизвестных объе...

08:17, 09 Июл В Claude Code обнаружен бэкдор — нейросеть следит за пользователями и собирает данные без спроса Китайские власти предупредили местные компании о потенциальных рисках безопасности, связанных с использованием Claude Code — популярного инструмента ...

10:17, 28 Май Минцифры расширило перечень данных для СОРМ. Какие данные будут передавать силовикам Операторы связи в России обязаны передавать силовым структурам расширенный перечень сведений о пользователях. Минцифры опубликовало обновлённый прика...

05:17, 25 Июн Личные данные утекают в сеть: россиян предупредили о фатальной ошибке при использовании чат-ботов Дезинформация, риск утечки конфиденциальных данных и доступ несовершеннолетних к запрещенному контенту стали главными угрозами при использовании ИИ-с...

01:17, 25 Авг Данные из 66 стран перевернули понимание счастья: личный комфорт уступил общему благополучию Счастье целой нации — это не просто сумма довольных жизнью индивидов, а результат работы системы, ориентированной на поддержку окружающих. Новое иссл...

20:17, 22 Мар Минцифры опровергло данные о «белых списках» для домашнего интернета. Что на самом деле ограничивают В социальных сетях и СМИ распространилась информация о том, что провайдеры домашнего интернета в Москве готовятся ввести систему «белых списков» — ог...

10:17, 23 Май Отказ двигателя Starship нового поколения позволил SpaceX собрать ценные данные Они будут использоваться для доработки системыШана Диез (Shana Diez) — это ключевой инженерный руководитель в SpaceX, которая сейчас занимает пост ди...

11:17, 23 Мар Функции системы бизнес-аналитики в 2026: как собирать данные, делать прогнозы и увеличивать прибыль Современные системы бизнес-аналитики выполняют множество задач, от простого сбора данных до сложных прогнозов с помощью искусственного интеллекта. Во...

22:17, 09 Май Запросы, связанные с Днём Победы, лидируют на Украине сегодня, — данные сервиса Google Trends 9 мая 2026 года, несмотря на все попытки официального Киева переписать историю и календарь, украинский сегмент интернета взорвался поисковыми запроса...

00:17, 27 Апр Забыл пароль на iPhone после смены. Есть трое суток, чтобы не потерять данные Apple всерьез