Salesloft Drift : des jetons OAuth volés ouvrent les instances Salesforce de nombreuses entreprises

2025-08-26 · Éditeur : Salesloft · Domaine : Cybersécurité

Google Threat Intelligence révèle qu'un acteur a utilisé les jetons OAuth de l'application Drift de Salesloft pour exporter en masse les données Salesforce de ses clients et y chercher des secrets.

### Contexte Le 26 août 2025, le **Google Threat Intelligence Group** (GTIG) publie une alerte sur une campagne de vol de données visant des instances **Salesforce** d'entreprises, menée grâce aux jetons OAuth de **Drift**, l'application de conversation de **Salesloft** intégrée à Salesforce. ### Caractéristiques - Acteur suivi sous le nom **UNC6395** ; activité observée **du 8 au 18 août 2025** au moins. - Export de gros volumes d'objets Salesforce : comptes, dossiers, utilisateurs, opportunités. - Recherche dans les données volées de **clés d'accès AWS**, de **mots de passe** et de **jetons Snowflake** ; GTIG estime que l'objectif principal est la collecte d'identifiants. - Le 20 août, Salesloft, avec Salesforce, **révoque tous les jetons** de Drift ; l'application est retirée de l'AppExchange. - Le 28 août, GTIG signale aussi l'usage de jetons de l'intégration **Drift Email** et un très petit nombre de comptes Google Workspace concernés. ### Pourquoi c'est important La plateforme Salesforce elle-même n'est pas vulnérable : l'attaque passe par une application tierce autorisée. Les jetons OAuth, rarement inventoriés et longtemps valides, deviennent un raccourci vers les données de nombreuses organisations. ### À retenir Inventorier les applications connectées aux outils SaaS, limiter leurs droits et ne jamais stocker de secrets dans les tickets ou les fiches CRM.

Tags : Chaîne d'approvisionnement, SaaS, OAuth