Ataques 'City-Forum' expõem dados críticos em Salesforce e ServiceNow via APIs

A campanha 'City-Forum' representa um vetor de ameaça que exige atenção máxima das equipes de estratégia de TI e segurança. Os ataques, inicialmente rastreados pela Reco, não se focam em vulnerabilidades de infraestrutura clássicas, mas sim na exploração da camada UI (Interface de Usuário) e API (Interface de Programação de Aplicações) de plataformas SaaS como Salesforce e ServiceNow. Isso demonstra uma evolução na sofisticação dos atacantes, que agora estudam a lógica de negócio e os endpoints de dados dessas plataformas para orquestrar extração de informações.

A investigação revelou que os criminosos utilizam um conjunto de ferramentas personalizadas e miram inclusive em endpoints pouco documentados, como o de busca do ServiceNow Service Portal. Para os arquitetos de segurança e gestores de cloud, essa é uma sinalização clara: a segurança de SaaS não se limita a configurações básicas ou à vigilância do perímetro. Exige uma revisão profunda de políticas de acesso, autenticação multifator (MFA), gestão de APIs e, crucialmente, o monitoramento contínuo de atividades de usuários e aplicações sobre esses dados sensíveis.

A cobertura anterior do CEVIU, como as matérias de 13 e 14 de agosto de 2026, já apontava a emergência da campanha 'City-Forum', com foco na utilização de ferramentas personalizadas e técnicas avançadas contra Salesforce e ServiceNow. A novidade da análise mais recente é o detalhamento preciso do vetor de ataque: a exploração da camada UI/API. Antes, falávamos em 'exploração de acessos' e 'técnicas sofisticadas'. Agora, sabemos que os invasores estão indo diretamente às interfaces de usuário e APIs, inclusive um endpoint de busca nativo e pouco documentado do ServiceNow Service Portal. Esse aprofundamento técnico muda a perspectiva de defesa, exigindo foco em API security e acesso autenticado.

Para líderes de TI e equipes de segurança, a escalada dos ataques 'City-Forum' sublinha uma verdade inconveniente: a segurança em ambientes de Software como Serviço (SaaS) é um desafio compartilhado e dinâmico. O foco na exploração de interfaces UI e APIs, em vez de falhas de infraestrutura, desloca a atenção para a governança de dados e identidade. Isso impacta diretamente a arquitetura de segurança da informação, a gestão de riscos e a conformidade regulatória. Organizações precisam intensificar a validação de acesso, monitorar o uso de APIs e auditar permissões de forma mais granular, especialmente para usuários e aplicações que interagem com dados críticos.