Una nuova campagna di data theft denominata City-Forum prende di mira i portali pubblici di Salesforce e ServiceNow. L’operazione sfrutta configurazioni permissive e accessi guest per sottrarre dati aziendali sensibili. I ricercatori hanno documentato oltre 560.000 attacchi rivolti a organizzazioni di settori diversi in tutto il mondo.
Cosa sappiamo sulla campagna City-Forum
La campagna City-Forum è attiva almeno da marzo 2025. L’attore responsabile è ancora sconosciuto. I ricercatori non escludono nessuna ipotesi sull’attribuzione.
Un toolset personalizzato e multi-piattaforma
L’elemento distintivo di questa campagna è il suo arsenale tecnico. Gli attaccanti utilizzano un toolset custom progettato per colpire simultaneamente Salesforce Experience Cloud e ServiceNow Service Portal. Tutta l’attività proviene da una singola sorgente infrastrutturale. I ricercatori hanno tracciato un IP riconducibile a un ambiente di hosting tedesco in affitto.
Vale la pena sottolineare che questa campagna non sfrutta vulnerabilità software note né credenziali rubate. Gli attaccanti abusano semplicemente di configurazioni troppo permissive. Portali pubblici, moduli di invio casi e funzioni di ricerca esposti agli utenti anonimi diventano il vettore principale.
Targeting opportunistico e scalabile
In questo contesto, la campagna si distingue per la sua natura opportunistica. Non esiste un settore specifico nel mirino. Gli attaccanti cercano qualsiasi organizzazione con accesso guest mal configurato. Questo approccio rende la minaccia scalabile e difficile da anticipare.
Il contesto più ampio: l’abuso dei portali SaaS cloud
City-Forum non è un fenomeno isolato. Fa parte di una tendenza più ampia di abuso dei portali cloud e SaaS aziendali. Negli ultimi 12 mesi si sono moltiplicati i casi simili.
Tre pattern ricorrenti nell’abuso dei portali pubblici
I ricercatori hanno identificato almeno tre schemi ricorrenti in questo tipo di campagne.
Il primo riguarda la raccolta di dati da portali di customer support o case management esposti agli utenti guest. L’esito tipico è un’esfiltrazione silenziosa, spesso senza alert evidenti.
Il secondo coinvolge endpoint di ricerca o API SaaS pensati per uso pubblico limitato. Gli attaccanti li sfruttano per raccogliere dati in modo non autorizzato e senza trigger di sicurezza ovvi.
Il terzo, più ampio, è l’abuso di piattaforme di identità e collaborazione attraverso controlli di accesso deboli. Questo pattern porta spesso a esposizioni massive di dati e a interventi di hardening post-incidente.
Parallelamente, Salesforce e ServiceNow risultano bersagli particolarmente attrattivi. Le organizzazioni espongono spesso knowledge base, form e funzioni di ricerca a utenti non autenticati. Se i permessi non sono correttamente limitati, il rischio di esposizione diventa concreto.
Come difendersi dagli attacchi di tipo City-Forum
Per manager e CISO, la buona notizia è che esistono controlli efficaci. Tuttavia, richiedono una governance attiva delle configurazioni, non solo strumenti di sicurezza tradizionali.
Revisione dei permessi guest e configurazioni pubbliche
Il primo passo è una revisione completa degli accessi guest e anonimi su Salesforce e ServiceNow. Occorre verificare quali oggetti, campi ed endpoint di ricerca sono esposti pubblicamente. Dove l’accesso guest non è essenziale, va disabilitato completamente.
Di conseguenza, è fondamentale implementare audit di configurazione regolari. Le impostazioni dei portali cambiano nel tempo. Un controllo periodico e strutturato riduce la finestra di esposizione.
Monitoraggio e rilevamento delle anomalie
Inoltre, le organizzazioni devono abilitare logging dettagliato e alert sulle attività degli utenti guest. I segnali da monitorare includono volumi di query inusuali, comportamenti ripetuti di ricerca ed esportazione, e accessi anomali agli endpoint pubblici.
In particolare, i controlli di rate-limiting e bot-detection possono ridurre significativamente il rischio di scraping automatizzato. Questi strumenti intercettano l’automazione prima che possa estrarre grandi quantità di dati.
Priorità alla gestione sicura delle configurazioni
Vale la pena sottolineare un punto chiave per i CISO. Questa categoria di attacchi non viene fermata dagli antivirus o dai sistemi di rilevamento basati su signature. L’investimento prioritario deve andare alla secure configuration management, al monitoraggio continuo e al testing periodico dei portali esposti all’esterno.
Conclusioni
La campagna City-Forum dimostra che la superficie di attacco aziendale si è spostata. Non bastano più patch e firewall. Le configurazioni permissive dei portali cloud sono oggi un vettore primario di esfiltrazione dati. Le organizzazioni che usano Salesforce o ServiceNow devono agire ora, con audit mirati e governance rigorosa degli accessi pubblici.
Fonti:
Fonte: Articolo originale
Campagne come City-Forum evidenziano quanto la threat intelligence condivisa e tempestiva sia determinante per anticipare attacchi basati su misconfiguration cloud. IsacChain consente alle organizzazioni di condividere in modo sicuro e anonimizzato indicatori di compromissione e pattern di attacco tra membri ISAC, accelerando il rilevamento di minacce simili prima che colpiscano. La compliance NIS2 automatizzata integrata nella piattaforma garantisce che ogni segnalazione rispetti i requisiti normativi vigenti, mentre la verifica blockchain assicura l’integrità e la tracciabilità di ogni dato condiviso. Scopri come IsacChain può aiutare la tua organizzazione su www.isacchain.com