Eén enkel stukje infrastructuur haalt al meer dan een jaar records uit Salesforce- en ServiceNow-klantportals in meerdere sectoren, blijkt uit onderzoek dat deze week is gepubliceerd door agent-beveiligingsplatform Reco.
De activiteit, die Reco de City Forum-campagne heeft genoemd naar een domein dat is gekoppeld aan het IP-adres van de aanvaller, is terug te voeren op één server: 158.220.87.79, gehost op een standaard VPS via de Duitse provider Contabo. Elk verzoek van die server heeft dezelfde vingerafdruk, de standaard user-agent van Go’s net/http-bibliotheek, die onderzoekers vertelt dat de tool erachter een gecompileerd, speciaal gebouwd programma is en niet iets dat vanuit een browser wordt uitgevoerd. Passieve DNS laat zien dat hetzelfde domein al in maart 2025 naar dat IP-adres verwijst, en dat de server sindsdien niet meer is verplaatst. Tot nu toe geïdentificeerde doelstellingen omvatten telecombedrijven, banken en andere financiële dienstverleners, leveranciers van bedrijfssoftware, waaronder beveiligings- en gegevensprivacybedrijven, en portalen in de publieke sector, hoewel Reco geen individuele organisaties heeft genoemd.
Wat deze campagne onderscheidt van eerder misbruik van gasttoegang door Salesforce, inclusief de breed gerapporteerde activiteiten die aan ShinyHunters worden toegeschreven, is het bereik van de oppervlakken waarmee deze in aanraking komt. De meeste bekende aanvallers op dit gebied maken gebruik van het oudere Aura-framework van Salesforce en sturen grote hoeveelheden gastverzoeken om objecten op te sommen en door records te bladeren. Deze actor doet dat ook, en Aura is nog steeds verantwoordelijk voor het grootste deel van het verkeer dat Reco observeerde, waarbij één doelwit meer dan 560.000 gebeurtenissen registreerde vanaf hetzelfde IP-adres. Maar de tool bereikt ook de nieuwere Lightning Web Runtime-sites van Salesforce via de UI-API, een gegevenslaag waaraan geen openbare schrijfbewerkingen of bekende scantools zijn gekoppeld, waarbij achtereenvolgens de API-versies v56.0 tot en met v66.0 worden doorlopen. Bovendien beschikt dezelfde server over een eigen ServiceNow Service Portal-zoekeindpunt, POST /api/now/sp/search, dat vrijwel geen eigen openbare documentatie bevat.
Volgens het artikel van Reco is de rode draad in elke techniek hetzelfde onderliggende probleem: een gastidentiteit die meer toegang kreeg dan de site feitelijk nodig had om het publiek te bedienen. Salesforce Experience Cloud-sites en ServiceNow-portals onderhouden beide een persistente gastgebruiker die door niet-geverifieerde bezoekers wordt uitgevoerd, en die gebruiker kan niet worden verwijderd, maar alleen beperkt. Als het gastprofiel een record kan lezen, is het record feitelijk openbaar, ongeacht of de site wel of niet moet inloggen om het in een browser te bekijken.
Het onderzoek beschrijft concrete detectiestappen voor beveiligings- en IT-teams op beide platforms. Op Salesforce kunnen verdedigers met Event Monitoring of Shield AuraRequest en Sites loggebeurtenissen ophalen en zoeken naar de Go-http-client user agent, het specifieke IP-adres, en aanvraagpaden met /webruntime/api/services/data, naast pieken in zelfregistratiepogingen bij /SiteRegister en /CommunitiesSelfReg. Op ServiceNow kan de transactielogboektabel syslog_transaction worden gefilterd op bron-IP en op URL’s die beginnen met /api/now/sp/search, waarbij door gasten gemaakte rijen en een ongebruikelijke uitvoerlengte worden gemarkeerd als het duidelijkste signaal van een live sweep.
Volgens het onderzoek concentreert het herstel zich op het aanscherpen van het gastprofiel in plaats van op de eindpunten zelf, omdat zowel de UI-API als het ServiceNow-zoekeindpunt werken zoals ontworpen. Op Salesforce betekent dat het herzien van de regels voor het delen van gasten, het verwijderen van onnodige toegang op object- en veldniveau uit het gastprofiel, het uitschakelen van zelfregistratie waar dit niet vereist is, en het uitschakelen van de Experience Builder-instelling waarmee gastgebruikers openbare API’s kunnen bereiken. Bij ServiceNow brengt de oplossing in kaart welke zoekbronnen worden blootgesteld aan openbare portalen en wordt de leescriteria van de Knowledge Base gecontroleerd die bepalen wat een anonieme zoekopdracht daadwerkelijk oplevert.
Reco zegt dat de infrastructuur achter de campagne nog steeds actief is en dat het volume stijgt, en dat het bedrijf de activiteit niet heeft toegeschreven aan een specifiek genoemde groep.
Het volledige technische overzicht, inclusief handtekeningen van verzoeken, voorbeeldquery’s en een nadere blik op hoe het zoekeindpunt van de Service Portal beslist wat er moet worden teruggegeven aan een anonieme beller, is beschikbaar in Reco’s beschrijving van de City Forum-campagne.
Leiders op het gebied van beveiliging die afwegen hoeveel van hun budget ze moeten besteden aan dit soort app-exposure, versus andere prioriteiten die strijden om dezelfde dollars, kunnen een planningskader vinden in Reco’s gids voor AI-beveiligingsinvesteringen, waarin wordt beschreven hoe het budget moet worden gedimensioneerd, hoe leveranciers moeten worden geëvalueerd en hoe een business case voor het bestuur kan worden opgesteld.
