{"id":48800,"date":"2026-08-13T01:24:49","date_gmt":"2026-08-12T23:24:49","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=48800"},"modified":"2026-08-13T01:24:49","modified_gmt":"2026-08-12T23:24:49","slug":"city-forum-datendiebstahl-salesforce-servicenow","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/city-forum-datendiebstahl-salesforce-servicenow\/","title":{"rendered":"City-Forum stiehlt Daten aus Salesforce und ServiceNow-Portalen"},"content":{"rendered":"<p>Eine aktuelle Kampagne zum Datendiebstahl nutzt ma\u00dfgeschneiderte Werkzeuge, um Daten zu stehlen, die \u00fcber Salesforce Experience Cloud und ServiceNow-Kundenportale f\u00fcr anonyme Nutzer zug\u00e4nglich sind. Die als \u201eCity-Forum\u201c bezeichnete Kampagne wurde von der SaaS-Sicherheitsfirma Reco identifiziert und auf einen einzelnen Server zur\u00fcckgef\u00fchrt, der weltweit mehrere Organisationen attackiert hat \u2013 darunter Telekommunikationsunternehmen, Banken, Finanzdienstleister, Unternehmenssoftwareanbieter, Sicherheits- und Datenschutzfirmen sowie \u00f6ffentliche Portale. Die Angriffe sind noch aktiv, und die Aktivit\u00e4t nimmt weiter zu.<\/p>\n<h2>Die City-Forum-Datendiebstahl-Angriffe<\/h2>\n<p>Reco zufolge stammen alle Angriffe von der IP-Adresse <code>158.220.87.79<\/code>, die beim deutschen VPS-Anbieter Contabo gehostet wird. Beim Herunterladen von Daten wird fast immer der Standard-User-Agent <code>Go-http-client\/1.1<\/code> verwendet. Die IP-Adresse ist mit der Domain <code>city-forum.com<\/code> verkn\u00fcpft, die seit mindestens M\u00e4rz 2025 auf diesen Server zeigt \u2013 die Infrastruktur ist also seit \u00fcber einem Jahr unver\u00e4ndert aktiv. Die Forscher stellten fest, dass diese kombinierten Indikatoren (IOCs) bei nahezu allen Angriffen auf Salesforce- und ServiceNow-Umgebungen im Rahmen dieser Kampagne auftauchen. \u201eDerselbe Fingerabdruck erscheint sowohl bei Salesforce als auch bei ServiceNow, quer \u00fcber mehrere Organisationen weltweit. Er l\u00e4uft immer noch, und das Volumen steigt\u201c, erkl\u00e4rt Reco. \u201eBislang haben wir nur Gastnutzeraktivit\u00e4ten gesehen \u2013 niemals einen authentifizierten Benutzer, aber wir k\u00f6nnen das nicht ausschlie\u00dfen.\u201c<\/p>\n<h3>Keine Ausnutzung von Schwachstellen, sondern Fehlkonfigurationen<\/h3>\n<p>Die Angriffe nutzen keine Sicherheitsl\u00fccke in Salesforce oder ServiceNow aus. Stattdessen stehlen sie Daten, die Organisationen durch zu gro\u00dfz\u00fcgige Freigaberegeln, Berechtigungen oder Portal-Konfigurationen f\u00e4lschlicherweise f\u00fcr nicht authentifizierte Gastnutzer freigegeben haben. Sowohl Salesforce Experience Cloud als auch ServiceNow verwenden Gastkonten zur Verwaltung nicht authentifizierter Besucher. Wenn diesen Konten Zugriff auf Datens\u00e4tze gew\u00e4hrt wird, kann jeder im Internet diese Daten \u00fcber verschiedene API-Endpunkte abrufen.<\/p>\n<h3>Vorgehen bei Salesforce: Aura- und Lightning-Web-Runtime-Angriffe<\/h3>\n<p>Bei Salesforce zielt die beobachtete Aktivit\u00e4t gr\u00f6\u00dftenteils auf das \u00e4ltere Aura-Framework ab. Die Angreifer senden Anfragen an die Endpunkte <code>\/aura<\/code> oder <code>\/s\/sfsites\/aura<\/code>, um herauszufinden, welche Objekte wie Accounts, Contacts oder Cases \u00f6ffentlich zug\u00e4nglich sind. Zun\u00e4chst wird <code>HostConfigController.getConfigData<\/code> aufgerufen, um die f\u00fcr das Gastkonto verf\u00fcgbaren Objekte aufzulisten. Anschlie\u00dfend nutzen sie <code>SelectableListDataProviderController.getItems<\/code>, um Datens\u00e4tze aus diesen zug\u00e4nglichen Objekten abzurufen. Das am st\u00e4rksten attackierte Ziel verzeichnete laut Reco mehr als <strong>560.000 Ereignisse<\/strong> von der Angreifer-IP, fast alle im Zusammenhang mit der Aura-Aufz\u00e4hlung durch Gastnutzer.<\/p>\n<p>Diese Art des Missbrauchs von Salesforce-Gastkonten ist nicht neu \u2013 sie wurde bereits in Datendiebstahl-Kampagnen von ShinyHunters eingesetzt. ShinyHunters verwendete damals eine modifizierte Version des Tools AuraInspector, um exponierte Datens\u00e4tze aus fehlkonfigurierten Experience-Cloud-Portalen zu stehlen. Der City-Forum-Angreifer zielt jedoch nicht nur auf diese Aura-Endpunkte, sondern auch auf Salesforce-Seiten, die mit dem neueren <a href=\"https:\/\/developer.salesforce.com\/docs\/platform\/lwr\/overview\" rel=\"nofollow noopener\" target=\"_new\">Lightning Web Runtime (LWR)<\/a>-Framework erstellt wurden. Bei LWR-Seiten nutzt der Angreifer die Salesforce-UI-API, um Daten zu stehlen, die \u00fcber GraphQL-Anfragen an <code>\/webruntime\/api\/services\/data\/{version}\/graphql<\/code> f\u00fcr Gastkonten freigegeben sind. Reco hat keine \u00f6ffentlichen Angriffswerkzeuge gesehen, die diese Technik verwenden; bestehende Tools wie AuraInspector, S-RET und CirrusGo nutzen das <code>webruntime<\/code>-Interface nicht.<\/p>\n<p>Der Angreifer pr\u00fcft auch die Experience-Cloud-Endpunkte <code>\/SiteRegister<\/code> und <code>\/CommunitiesSelfReg<\/code> auf die M\u00f6glichkeit zur Selbstregistrierung. Ist diese aktiviert, k\u00f6nnte ein Gast ein authentifiziertes externes Konto mit erweiterten Zugriffsrechten erstellen.<\/p>\n<h3>Vorgehen bei ServiceNow: Portal-Suche als Einfallstor<\/h3>\n<p>Derselbe Angreifer zielt auf ServiceNow-Service-Portale \u00fcber den nativen Endpunkt <code>POST \/api\/now\/sp\/search?sysparm_cancelable=true<\/code> ab. Reco betont, dass diese Angriffsmethode zuvor nicht beobachtet wurde. Der Endpunkt wird von der Portal-Suchfunktion von ServiceNow verwendet, akzeptiert anonyme Anfragen und kann Daten zur\u00fcckgeben, wenn die Suchquellen so konfiguriert sind, dass sie Gastzugriff erlauben. Die Angreifer variieren die Suchbegriffe, um exponierte Informationen systematisch abzugreifen. In einer untersuchten Umgebung stieg die Anzahl der Anfragen von Dutzenden auf Hunderte pro Tag. Da die Transaktionslogs von ServiceNow den POST-Body nicht aufzeichnen, k\u00f6nnen Verteidiger zwar sehen, dass automatisierte Suchanfragen stattgefunden haben und wie viele Daten zur\u00fcckgegeben wurden, nicht aber die genauen Suchbegriffe.<\/p>\n<h3>Unterschiede zu fr\u00fcheren Kampagnen und aktuelle Bedrohungslage<\/h3>\n<p>Obwohl die Salesforce-Aktivit\u00e4ten \u00c4hnlichkeiten mit fr\u00fcheren ShinyHunters-Angriffen aufweisen, gibt es nach Erkenntnissen von Reco keine Hinweise auf eine Verbindung der aktuellen Kampagne zu dieser Gruppe. Typische Kampagnen wie die von ShinyHunters nutzten mehrere Systeme und verschiedene IP-Adressen, w\u00e4hrend die City-Forum-Infrastruktur seit M\u00e4rz 2025 auf derselben IP-Adresse operiert. Die Kampagne l\u00e4uft weiter und das Angriffsvolumen steigt \u2013 ein Alarmzeichen f\u00fcr alle Unternehmen, die Salesforce oder ServiceNow mit Gastzug\u00e4ngen betreiben.<\/p>\n<h3>Pr\u00e4ventionsma\u00dfnahmen f\u00fcr Salesforce-Administratoren<\/h3>\n<p>Salesforce-Administratoren sollten die Freigaberegeln f\u00fcr Gastnutzer, Objekt- und Feldberechtigungen, Dateizugriffe, Mitgliedersichtbarkeit und die Selbstregistrierungseinstellungen \u00fcberpr\u00fcfen. F\u00fcr LWR-Seiten empfiehlt Reco, die Experience-Builder-Option zu deaktivieren, die Gastnutzern den Zugriff auf \u00f6ffentliche APIs erlaubt, sofern diese nicht zwingend erforderlich ist. Dadurch wird der Zugriff auf verschiedene API-Endpunkte blockiert, die f\u00fcr die Datenaufz\u00e4hlung und den Datendiebstahl genutzt werden.<\/p>\n<h3>Pr\u00e4ventionsma\u00dfnahmen f\u00fcr ServiceNow-Administratoren<\/h3>\n<p>ServiceNow-Administratoren sollten pr\u00fcfen, welche Suchquellen \u00fcber Service-Portale exponiert sind, und sicherstellen, dass sensible Datenquellen mit strengen Authentifizierungs- und Zugriffskontrollen gesch\u00fctzt werden. Der beobachtete Endpunkt <code>\/api\/now\/sp\/search<\/code> sollte nur dann f\u00fcr anonyme Anfragen offen sein, wenn dies unbedingt erforderlich ist, und die Suchquellen sollten auf das N\u00f6tigste beschr\u00e4nkt werden.<\/p>\n<p>Die City-Forum-Kampagne zeigt eindrucksvoll, wie einfach es f\u00fcr Angreifer ist, Daten aus weit verbreiteten SaaS-Plattformen zu exfiltrieren, wenn die Standardkonfigurationen nicht richtig geh\u00e4rtet sind. Unternehmen, die Salesforce Experience Cloud oder ServiceNow-Portale betreiben, m\u00fcssen ihre Gastzugriffe und API-Expositionen dringend \u00fcberpr\u00fcfen \u2013 nicht nur einmalig, sondern kontinuierlich. Die Tatsache, dass dieselbe Infrastruktur seit \u00fcber einem Jahr unver\u00e4ndert aktiv ist und die Angriffe zunehmen, unterstreicht die Dringlichkeit dieser Ma\u00dfnahmen. Die kommenden Monate werden zeigen, ob die betroffenen Organisationen ihre Sicherheitsvorkehrungen rechtzeitig anpassen, bevor weitere Datenbest\u00e4nde in die H\u00e4nde der Angreifer gelangen.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Eine aktuelle Kampagne zum Datendiebstahl nutzt ma\u00dfgeschneiderte Werkzeuge, um Daten zu stehlen, die \u00fcber Salesforce Experience Cloud und ServiceNow-Kundenportale f\u00fcr anonyme Nutzer zug\u00e4nglich sind. Die als \u201eCity-Forum\u201c bezeichnete Kampagne wurde von der SaaS-Sicherheitsfirma Reco identifiziert und auf einen einzelnen Server zur\u00fcckgef\u00fchrt, der weltweit mehrere Organisationen attackiert hat \u2013 darunter Telekommunikationsunternehmen, Banken, Finanzdienstleister, Unternehmenssoftwareanbieter, Sicherheits- und [&hellip;]<\/p>\n","protected":false},"author":5,"featured_media":48802,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/raw.githubusercontent.com\/medeiroslima\/overcentral-images\/main\/images\/ocie_1786577119387.jpg","fifu_image_alt":"City-Forum stiehlt Daten aus Salesforce und ServiceNow-Portalen","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-48800","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/raw.githubusercontent.com\/medeiroslima\/overcentral-images\/main\/images\/ocie_1786577119387.jpg","fifu_image_alt":"City-Forum stiehlt Daten aus Salesforce und ServiceNow-Portalen","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/48800","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=48800"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/48800\/revisions"}],"predecessor-version":[{"id":48801,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/48800\/revisions\/48801"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/48802"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=48800"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=48800"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=48800"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}