Ataques avançados exploram falhas em Salesforce e ServiceNow

A campanha "City-Forum" representa uma evolução no cenário das ameaças persistentes avançadas, focando em duas plataformas críticas para a operação de grandes empresas: Salesforce Experience Cloud e ServiceNow Service Portals. O atacante, com infraestrutura ativa desde março de 2025, demonstrou uma capacidade ímpar de pesquisa e desenvolvimento de ferramentas. Eles não dependem de vulnerabilidades conhecidas, mas sim de uma profunda compreensão da arquitetura das plataformas e da exploração de configurações inadequadas de acesso para usuários convidados.

Os métodos de exfiltração de dados são tecnicamente sofisticados. No Salesforce, usam a enumeração Aura, uma técnica já vista, mas inovam ao explorar a UI-API do Salesforce LWR (Lightning Web Runtime), algo pouco documentado publicamente. No ServiceNow, miram um endpoint de busca que também carece de vasta documentação online. Este modus operandi sublinha a importância de uma governança de TI rigorosa e arquiteturas de segurança que considerem a superfície de ataque expandida pelas APIs e acessos de usuários não autenticados.

A cobertura anterior do CEVIU, como a notícia de 11 de março de 2026 sobre a campanha ShinyHunters, já alertava para a exploração de configurações de usuário convidado no Salesforce Experience Cloud e a utilização do Aura Inspector. No entanto, a campanha "City-Forum" adiciona camadas de complexidade. Enquanto o ShinyHunters focava predominantemente no Aura, este novo ator explora de forma inédita a UI-API do Salesforce LWR e um endpoint de busca específico no ServiceNow, utilizando um conjunto de ferramentas customizado que não tem equivalentes públicos. Isso indica um nível de sofisticação e pesquisa de exploração bem acima do que era visto, não só replicando vetores conhecidos, mas criando novos.

Esta campanha é um lembrete forte para as lideranças de TI e Segurança da Informação sobre a importância da configuração correta e do princípio do menor privilégio, especialmente em plataformas como Salesforce e ServiceNow. As intrusões não são resultado de falhas nas plataformas em si, mas sim da exposição de dados a usuários convidados devido a permissões excessivas ou configurações incorretas. Para a estratégia de computação em nuvem, isso significa que a adoção inteligente vai além da simples migração. Ela exige um entendimento aprofundado do modelo de responsabilidade compartilhada, com foco em segurança da informação, compliance e custos operacionais atrelados à mitigação de riscos de configurações erradas.

A natureza persistente e avançada desses ataques reforça a necessidade de auditorias contínuas, monitoramento proativo de APIs e endpoints, e políticas de acesso bem definidas para todos os tipos de usuários, incluindo os não autenticados. Ignorar esses aspectos pode levar à exfiltração de dados sensíveis, impactando a reputação e a conformidade regulatória de qualquer organização.