Una campaña denominada City-Forum roba información de portales Salesforce y ServiceNow mal configurados, afectando bancos y telecomunicaciones desde hace más de un año.
Una campaña de robo de datos denominada City-Forum explota configuraciones permisivas en portales Salesforce Experience Cloud y ServiceNow para acceder a información sensible de múltiples organizaciones. Según los investigadores de Reco, la firma especializada en seguridad SaaS que identificó los ataques, la campaña es continua y afecta a telecomunicaciones, bancos, empresas de software empresarial, firmas de ciberseguridad y portales del sector público en todo el mundo.
Por qué importa: Los atacantes no explotan vulnerabilidades, sino malas configuraciones que dejan datos expuestos a usuarios no autenticados. Esto sugiere un problema generalizado de higiene en la gestión de accesos de portales SaaS que afecta a infraestructuras críticas.
Lo esencial
La campaña origina desde la IP 158.220.87.79 (proveedor alemán Contabo) y está registrada en city-forum.com desde al menos marzo de 2025.
Roba datos configurados para acceso de usuarios guest mediante herramientas personalizadas que consultan endpoints Aura de Salesforce y APIs GraphQL de Lightning Web Runtime.
Un único objetivo sufrió más de 560.000 eventos de enumeración y extracción de datos del atacante, y el volumen de actividad continúa aumentando.
Abuso de acceso guest en Salesforce
Los ataques en Salesforce Experience Cloud se centran en el framework Aura, donde el atacante envía solicitudes a los endpoints /aura o /s/sfsites/aura. Primero invoca HostConfigController.getConfigData para enumerar qué objetos, como Accounts, Contacts o Cases, son accesibles al usuario guest, y luego utiliza SelectableListDataProviderController.getItems para recuperar registros de esos objetos. Reco indica que la mayoría de eventos registrados corresponden a enumeración de objetos mediante este método.
Migración hacia portales modernos en Salesforce
City-Forum no se limita a Aura, sino que también ataca portales Salesforce construidos con el framework más reciente Lightning Web Runtime (LWR). En estos sitios, el atacante envía solicitudes GraphQL al endpoint /webruntime/api/services/data/{version}/graphql mediante la interfaz de usuario de Salesforce para acceder a datos expuestos a cuentas guest. Esta expansión indica que los atacantes evolucionan junto con las arquitecturas desplegadas.
Imagen de referencia: BleepingComputer.
Infraestructura persistente y técnica de identificación
Todos los ataques originan desde la IP 158.220.87.79 y utilizan casi exclusivamente el user agent Go-http-client/1.1 cuando descargan datos, lo que facilita su detección. La infraestructura ha permanecido activa durante más de un año, indicando que el atacante mantiene control sostenido sobre la IP. Reco confirma que esta combinación de indicadores de compromiso aparece en prácticamente todos los ataques contra entornos Salesforce y ServiceNow dentro de esta campaña.
Preguntas frecuentes sobre City-Forum
¿Qué diferencia a City-Forum de ataques previos contra Salesforce?
Aunque campañas anteriores como la de ShinyHunters ya abusaban del acceso guest mediante herramientas como AuraInspector modificado, City-Forum expande el ataque hacia portales LWR y ServiceNow, lo que indica una evolución técnica y un alcance más amplio que abarca múltiples proveedores SaaS.
¿Están los administradores de Salesforce y ServiceNow desprotegidos contra estos ataques?
No hay una vulnerabilidad que parchear. La prevención depende de revisar las reglas de compartición de datos y permisos asignados a cuentas guest, desactivando el acceso innecesario a objetos o registros sensibles mediante portales Experience Cloud o ServiceNow.
