Un actor de amenaza desconocido ha mantenido activa desde al menos marzo de 2025 una campaña denominada "City-Forum" que utiliza herramientas personalizadas para infiltrarse en instancias de Salesforce y ServiceNow y robar datos a través de accesos guest excesivamente permisivos. Los objetivos abarcan múltiples sectores en telecomunicaciones, servicios financieros, software empresarial, compañías de seguridad y privacidad, además de portales públicos en diferentes regiones.
Por qué importa: A diferencia de ataques previos que emplean herramientas públicamente disponibles, esta campaña ha desarrollado técnicas propias para acceder a interfaces poco documentadas de ambas plataformas, evidenciando un reconocimiento profundo de estas soluciones empresariales críticas.
Lo esencial
- La campaña ha utilizado herramientas de desarrollo propio específicamente diseñadas para Salesforce Lightning Web Runtime (LWR) e interfaces no documentadas de ServiceNow.
- Investigadores de Reco, firma especializada en ciberseguridad con IA, rastrearon la actividad desde la nomenclatura de dominio vinculada a la dirección IP del atacante.
- El acceso guest sin restricciones permitiría extraer datos de cuentas, contactos, leads, usuarios, documentos en Salesforce y bases de conocimiento en ServiceNow.
Técnicas sofisticadas basadas en investigación de plataformas
Lo distintivo de City-Forum es el nivel de análisis técnico invertido en Salesforce y ServiceNow. El actor ha identificado y construido herramientas que acceden a la capa de datos subyacente de Salesforce Lightning Web Runtime, una migración más reciente respecto al framework anterior Aura. Según Nitay Bachrach, investigador senior de seguridad en Reco, el atacante "creó su propio conjunto de herramientas basado en investigación y técnicas que no están bien documentadas en línea".
