Một hạ tầng duy nhất bị phát hiện quét dữ liệu từ cổng Salesforce và ServiceNow
"Researchers reported a long-running scraping campaign, dubbed City Forum, in which a single attacker infrastructure has been harvesting data from Salesforce Experience Cloud and ServiceNow portals since at least March 2025. The activity abuses overly permissive guest access and spans Salesforce Aura, Lightning Web Runtime UI-API, and ServiceNow Service Portal search endpoints; remediation focuses on tightening guest profile permissions, disabling unnecessary self-registration, and restricting exposed search sources and knowledge base criteria."
Nguy cơ rò rỉ dữ liệu từ cổng công khai, đặc biệt khi guest access được cấp quá rộng; hoạt động có thể diễn ra âm thầm trong thời gian dài và khó phát hiện nếu không giám sát log.
Có thể ảnh hưởng đến uy tín, tuân thủ và chi phí xử lý sự cố; các cổng tự phục vụ có nguy cơ bị lạm dụng để thu thập dữ liệu ở quy mô lớn nếu cấu hình không chặt chẽ.
Theo nghiên cứu của Reco, một hạ tầng tấn công duy nhất đã thu thập dữ liệu từ các cổng Salesforce Experience Cloud và ServiceNow của nhiều tổ chức từ ít nhất tháng 3/2025. Chiến dịch này, được đặt tên City Forum, sử dụng một máy chủ tại 158.220.87.79 và có dấu hiệu tự động hóa rõ rệt qua Go-http-client.
Hoạt động khai thác tập trung vào guest access được cấu hình quá rộng. Trên Salesforce, kẻ tấn công nhắm vào Aura, Lightning Web Runtime UI-API và các luồng liên quan đến self-registration. Có trường hợp một mục tiêu ghi nhận hơn 560.000 sự kiện từ cùng một địa chỉ IP. Trên ServiceNow, lưu lượng nhắm vào endpoint POST /api/now/sp/search của Service Portal.
Khuyến nghị kỹ thuật là rà soát và siết chặt guest profile permissions, loại bỏ quyền đọc không cần thiết ở mức object/field, tắt self-registration nếu không dùng, và hạn chế các search sources cùng tiêu chí truy cập Knowledge Base cho người dùng ẩn danh. Với đội vận hành, nên kiểm tra log AuraRequest, Sites, và syslog_transaction để phát hiện truy vấn bất thường từ cùng IP hoặc các đường dẫn API công khai.
Tác động chính là nguy cơ rò rỉ dữ liệu công khai ngoài ý muốn và việc các cổng tự phục vụ trở thành nguồn thu thập thông tin quy mô lớn nếu cấu hình mặc định không được rà soát.