Eine aktuelle Kampagne zum Datendiebstahl nutzt maßgeschneiderte Werkzeuge, um Daten zu stehlen, die über Salesforce Experience Cloud und ServiceNow-Kundenportale für anonyme Nutzer zugänglich sind. Die als „City-Forum“ bezeichnete Kampagne wurde von der SaaS-Sicherheitsfirma Reco identifiziert und auf einen einzelnen Server zurückgeführt, der weltweit mehrere Organisationen attackiert hat – darunter Telekommunikationsunternehmen, Banken, Finanzdienstleister, Unternehmenssoftwareanbieter, Sicherheits- und Datenschutzfirmen sowie öffentliche Portale. Die Angriffe sind noch aktiv, und die Aktivität nimmt weiter zu.
Die City-Forum-Datendiebstahl-Angriffe
Reco zufolge stammen alle Angriffe von der IP-Adresse 158.220.87.79, die beim deutschen VPS-Anbieter Contabo gehostet wird. Beim Herunterladen von Daten wird fast immer der Standard-User-Agent Go-http-client/1.1 verwendet. Die IP-Adresse ist mit der Domain city-forum.com verknüpft, die seit mindestens März 2025 auf diesen Server zeigt – die Infrastruktur ist also seit über einem Jahr unverändert aktiv. Die Forscher stellten fest, dass diese kombinierten Indikatoren (IOCs) bei nahezu allen Angriffen auf Salesforce- und ServiceNow-Umgebungen im Rahmen dieser Kampagne auftauchen. „Derselbe Fingerabdruck erscheint sowohl bei Salesforce als auch bei ServiceNow, quer über mehrere Organisationen weltweit. Er läuft immer noch, und das Volumen steigt“, erklärt Reco. „Bislang haben wir nur Gastnutzeraktivitäten gesehen – niemals einen authentifizierten Benutzer, aber wir können das nicht ausschließen.“
Keine Ausnutzung von Schwachstellen, sondern Fehlkonfigurationen
Die Angriffe nutzen keine Sicherheitslücke in Salesforce oder ServiceNow aus. Stattdessen stehlen sie Daten, die Organisationen durch zu großzügige Freigaberegeln, Berechtigungen oder Portal-Konfigurationen fälschlicherweise für nicht authentifizierte Gastnutzer freigegeben haben. Sowohl Salesforce Experience Cloud als auch ServiceNow verwenden Gastkonten zur Verwaltung nicht authentifizierter Besucher. Wenn diesen Konten Zugriff auf Datensätze gewährt wird, kann jeder im Internet diese Daten über verschiedene API-Endpunkte abrufen.
Vorgehen bei Salesforce: Aura- und Lightning-Web-Runtime-Angriffe
Bei Salesforce zielt die beobachtete Aktivität größtenteils auf das ältere Aura-Framework ab. Die Angreifer senden Anfragen an die Endpunkte /aura oder /s/sfsites/aura, um herauszufinden, welche Objekte wie Accounts, Contacts oder Cases öffentlich zugänglich sind. Zunächst wird HostConfigController.getConfigData aufgerufen, um die für das Gastkonto verfügbaren Objekte aufzulisten. Anschließend nutzen sie SelectableListDataProviderController.getItems, um Datensätze aus diesen zugänglichen Objekten abzurufen. Das am stärksten attackierte Ziel verzeichnete laut Reco mehr als 560.000 Ereignisse von der Angreifer-IP, fast alle im Zusammenhang mit der Aura-Aufzählung durch Gastnutzer.
Diese Art des Missbrauchs von Salesforce-Gastkonten ist nicht neu – sie wurde bereits in Datendiebstahl-Kampagnen von ShinyHunters eingesetzt. ShinyHunters verwendete damals eine modifizierte Version des Tools AuraInspector, um exponierte Datensätze aus fehlkonfigurierten Experience-Cloud-Portalen zu stehlen. Der City-Forum-Angreifer zielt jedoch nicht nur auf diese Aura-Endpunkte, sondern auch auf Salesforce-Seiten, die mit dem neueren Lightning Web Runtime (LWR)-Framework erstellt wurden. Bei LWR-Seiten nutzt der Angreifer die Salesforce-UI-API, um Daten zu stehlen, die über GraphQL-Anfragen an /webruntime/api/services/data/{version}/graphql für Gastkonten freigegeben sind. Reco hat keine öffentlichen Angriffswerkzeuge gesehen, die diese Technik verwenden; bestehende Tools wie AuraInspector, S-RET und CirrusGo nutzen das webruntime-Interface nicht.
Der Angreifer prüft auch die Experience-Cloud-Endpunkte /SiteRegister und /CommunitiesSelfReg auf die Möglichkeit zur Selbstregistrierung. Ist diese aktiviert, könnte ein Gast ein authentifiziertes externes Konto mit erweiterten Zugriffsrechten erstellen.
Vorgehen bei ServiceNow: Portal-Suche als Einfallstor
Derselbe Angreifer zielt auf ServiceNow-Service-Portale über den nativen Endpunkt POST /api/now/sp/search?sysparm_cancelable=true ab. Reco betont, dass diese Angriffsmethode zuvor nicht beobachtet wurde. Der Endpunkt wird von der Portal-Suchfunktion von ServiceNow verwendet, akzeptiert anonyme Anfragen und kann Daten zurückgeben, wenn die Suchquellen so konfiguriert sind, dass sie Gastzugriff erlauben. Die Angreifer variieren die Suchbegriffe, um exponierte Informationen systematisch abzugreifen. In einer untersuchten Umgebung stieg die Anzahl der Anfragen von Dutzenden auf Hunderte pro Tag. Da die Transaktionslogs von ServiceNow den POST-Body nicht aufzeichnen, können Verteidiger zwar sehen, dass automatisierte Suchanfragen stattgefunden haben und wie viele Daten zurückgegeben wurden, nicht aber die genauen Suchbegriffe.
Unterschiede zu früheren Kampagnen und aktuelle Bedrohungslage
Obwohl die Salesforce-Aktivitäten Ähnlichkeiten mit früheren ShinyHunters-Angriffen aufweisen, gibt es nach Erkenntnissen von Reco keine Hinweise auf eine Verbindung der aktuellen Kampagne zu dieser Gruppe. Typische Kampagnen wie die von ShinyHunters nutzten mehrere Systeme und verschiedene IP-Adressen, während die City-Forum-Infrastruktur seit März 2025 auf derselben IP-Adresse operiert. Die Kampagne läuft weiter und das Angriffsvolumen steigt – ein Alarmzeichen für alle Unternehmen, die Salesforce oder ServiceNow mit Gastzugängen betreiben.
Präventionsmaßnahmen für Salesforce-Administratoren
Salesforce-Administratoren sollten die Freigaberegeln für Gastnutzer, Objekt- und Feldberechtigungen, Dateizugriffe, Mitgliedersichtbarkeit und die Selbstregistrierungseinstellungen überprüfen. Für LWR-Seiten empfiehlt Reco, die Experience-Builder-Option zu deaktivieren, die Gastnutzern den Zugriff auf öffentliche APIs erlaubt, sofern diese nicht zwingend erforderlich ist. Dadurch wird der Zugriff auf verschiedene API-Endpunkte blockiert, die für die Datenaufzählung und den Datendiebstahl genutzt werden.
Präventionsmaßnahmen für ServiceNow-Administratoren
ServiceNow-Administratoren sollten prüfen, welche Suchquellen über Service-Portale exponiert sind, und sicherstellen, dass sensible Datenquellen mit strengen Authentifizierungs- und Zugriffskontrollen geschützt werden. Der beobachtete Endpunkt /api/now/sp/search sollte nur dann für anonyme Anfragen offen sein, wenn dies unbedingt erforderlich ist, und die Suchquellen sollten auf das Nötigste beschränkt werden.
Die City-Forum-Kampagne zeigt eindrucksvoll, wie einfach es für Angreifer ist, Daten aus weit verbreiteten SaaS-Plattformen zu exfiltrieren, wenn die Standardkonfigurationen nicht richtig gehärtet sind. Unternehmen, die Salesforce Experience Cloud oder ServiceNow-Portale betreiben, müssen ihre Gastzugriffe und API-Expositionen dringend überprüfen – nicht nur einmalig, sondern kontinuierlich. Die Tatsache, dass dieselbe Infrastruktur seit über einem Jahr unverändert aktiv ist und die Angriffe zunehmen, unterstreicht die Dringlichkeit dieser Maßnahmen. Die kommenden Monate werden zeigen, ob die betroffenen Organisationen ihre Sicherheitsvorkehrungen rechtzeitig anpassen, bevor weitere Datenbestände in die Hände der Angreifer gelangen.
