Разбор атаки на Salesloft Drift — редкий случай, когда вместо «компанию взломали» есть детали. Группировка UNC6395 сидела в GitHub-аккаунте Salesloft с марта 2025-го: качала приватные репозитории, добавляла гостевых пользователей, плодила workflows. К августу — заход в AWS, где лежали захардкоженные ключи.
Целью были не данные. Долгоживущие OAuth refresh-токены Salesforce, выданные приложению Drift, хранились у Salesloft и обслуживали сразу всех клиентов с интеграцией. Drift как Connected App имел api, refresh_token, offline_access — утекла не учётка человека, а ключи от целой цепочки доверия.
MFA и условный доступ на такое не рассчитаны: NHI — сервисные аккаунты, API-ключи, ИИ-агенты — работают автоматически, логина им никто не показывает. С 8 по 18 августа токены генерировали bearer-токены, вызовы маскировались под обычный трафик Drift и в логах выглядели рутиной. Через Bulk API уехали тикеты, контакты, аккаунты — больше 700 организаций.
Тонкость: в тикетах искали не секреты инфраструктуры, а то, что клиенты принесли сами. Паттерны AKIA, password, xoxb, BEGIN PRIVATE KEY, snowflakecomputing.com. Зачем ломать AWS, если человек в обращении в поддержку сам вставил ключ? Cloudflare нашла 104 токена в тикетах и ротировала за 72 часа.
Маскировка — Tor, удалённые query jobs, пара запросов в секунду на тенант: в шуме высокочастотного приложения тонет. Задело и Google Workspace — через Drift Email читали письма в «очень небольшом числе» ящиков, Google токены отозвал.
Zero-day нет. Есть компрометация доверия к нечеловеческим идентичностям и один OAuth-якорь на два Tier-1 SaaS.
#ИБ #утечки #OAuth #supplychain
