Salesloft Drift, agosto de 2025: revoca los tokens OAuth, no solo la app
Un compromiso de meses del GitHub de Salesloft se volvió, en agosto de 2025, una cosecha de datos de Salesforce de clientes a través de los tokens OAuth de Drift. Salesforce dejó Drift desconectado.
En agosto de 2025 un grupo que Mandiant sigue como UNC6395 usó tokens OAuth de la integración Salesloft Drift para consultar instancias de Salesforce de clientes. Palo Alto Networks, Zscaler, Proofpoint y Cloudflare estuvieron entre las empresas que dijeron que sus datos de Salesforce entraban en el alcance.
La actualización de Salesloft, reportada por Cybersecurity Dive el 8 de septiembre de 2025, dijo que Mandiant encontró al atacante en la cuenta de GitHub de Salesloft entre marzo y junio de 2025, y luego en el entorno de AWS de Drift, donde vivían los tokens de clientes. Salesforce restauró otras integraciones de Salesloft y mantuvo Drift desactivado.
Qué se robó, y qué no
Los tokens eran de Drift, emitidos para que el producto de chat actuara en el Salesforce de un cliente. Con esos tokens el atacante no necesitaba la contraseña de un usuario de cada inquilino. La brecha del proveedor de la integración se volvió acceso a los clientes.
No fue una vulnerabilidad de la plataforma multiinquilino de Salesforce anunciada como CVE esa semana. Fue una aplicación conectada. Quien nunca instaló Drift no estaba en este conjunto de tokens. Quien lo instaló y lo olvidó, sí.
Qué podían ver esos tokens
Lo que permitieran los alcances de la aplicación conectada de Drift en esa organización: en la práctica contactos, casos y los objetos que se le concedieron a la integración, más cualquier credencial que un equipo hubiera guardado en campos de Salesforce. Las confirmaciones públicas de fabricantes de seguridad hablaban de sus propios datos de CRM, no de una rotura del producto que sus clientes ejecutan.
Google y otros publicaron indicadores de la campaña. La pregunta local útil es más estrecha: ¿nuestra organización tenía un refresh token de Drift en agosto de 2025, y qué incluían los alcances de ese token?
Qué dijeron los proveedores que hicieran los clientes
Revocar los tokens OAuth de Drift y el acceso de la aplicación conectada en Salesforce, rotar cualquier secreto que viviera en registros que la integración podía leer, y revisar el historial de login y de API en las fechas de la campaña. La decisión de Salesforce de mantener Drift desconectado fue la mitad del lado de la plataforma. La mitad del inquilino es la revocación, que un listado oculto en el mercado no hace solo.
Salesloft dijo que reconstruyó el acceso después del hallazgo en GitHub. Un cliente no puede auditar esa reconstrucción. Un cliente sí puede auditar sus propias aplicaciones conectadas.
El inventario que hay que guardar
Exporta la lista de aplicaciones conectadas y la última vez que se usó cada token. Quita las que nadie puede nombrar. Prefiere alcances que no sean acceso total, y guarda los secretos fuera de los objetos de CRM que lee una integración.
Cuando un proveedor dice que su GitHub estuvo ocupado durante un trimestre, da por quemado cada token que ese proveedor tenía tuyo hasta que lo revoques. Esa regla es anterior a Drift. Agosto de 2025 es el recordatorio con nombres. La versión de parche no es un build de cliente de Drift. El 20 de agosto de 2025 Salesloft y Salesforce revocaron los tokens de acceso y de refresco de Drift que estaban activos. Esa revocación es el control que nombran los avisos.
Cybersecurity Dive, 8 de septiembre de 2025, sobre el hallazgo de Mandiant en el GitHub de Salesloft y los tokens de Drift.
https://www.cybersecuritydive.com/news/salesloft-drift-restored-probe-github/759506/
Preguntas frecuentes
¿Fue un CVE de Salesforce?
La historia no fue un CVE de la plataforma de Salesforce. UNC6395 usó tokens OAuth robados de la integración Drift después de un compromiso de Salesloft, que Mandiant trazó a acceso a GitHub entre marzo y junio de 2025.
¿Desinstalar Drift cierra la respuesta?
Desinstala, y revoca los tokens y la aplicación conectada. Un token emitido antes puede seguir válido cuando el listado se oculta. Rota los secretos que estaban en registros que Drift podía leer.
¿Quién dijo que estaba afectado?
Palo Alto Networks, Zscaler, Proofpoint y Cloudflare confirmaron exposición de datos de Salesforce en la cobertura pública de la campaña. Revisa tu propia organización en vez de inferirlo de esa lista.