Serangan Pencurian Data City-Forum Menargetkan Portal Salesforce dan ServiceNow

Kampanye pencurian data yang masih berlangsung menargetkan portal Salesforce Experience Cloud dan ServiceNow untuk mengambil informasi yang secara tidak sengaja terbuka bagi pengguna anonim.

Kampanye yang dijuluki City-Forum oleh perusahaan keamanan SaaS Reco tersebut menggunakan sejumlah tool khusus untuk mengakses dan mengumpulkan data dari portal yang memiliki konfigurasi guest user terlalu permisif.

Serangan telah menargetkan berbagai organisasi di seluruh dunia, termasuk perusahaan telekomunikasi, bank dan lembaga jasa keuangan, penyedia software enterprise, perusahaan keamanan dan privasi data, hingga portal sektor publik.

Reco mengatakan aktivitas serangan masih berlangsung dan volumenya terus meningkat.

Berasal dari Satu Infrastruktur

Seluruh serangan yang diamati Reco berasal dari alamat IP 158.220.87.79, yang di-hosting pada penyedia VPS asal Jerman, Contabo.

Infrastruktur tersebut hampir selalu menggunakan user agent Go-http-client/1.1 ketika mengunduh data.

Alamat IP tersebut juga dikaitkan dengan domain city-forum.com, yang telah mengarah ke server yang sama setidaknya sejak Maret 2025. Artinya, infrastruktur yang digunakan dalam kampanye ini telah bertahan selama lebih dari satu tahun.

Reco menemukan kombinasi indikator tersebut dalam hampir seluruh serangan yang menargetkan lingkungan Salesforce dan ServiceNow.

Sejauh pengamatan peneliti, aktivitas yang terlihat hanya berasal dari guest user dan belum ditemukan penggunaan akun yang sudah terautentikasi. Meski demikian, peneliti tidak menutup kemungkinan penggunaan akun terautentikasi dalam serangan berikutnya.

Bukan Eksploitasi Kerentanan Salesforce atau ServiceNow

Serangan City-Forum tidak memanfaatkan vulnerability pada Salesforce maupun ServiceNow.

Sebaliknya, pelaku mengeksploitasi kesalahan konfigurasi pada sisi organisasi korban. Data yang seharusnya hanya dapat diakses pengguna tertentu ternyata terbuka kepada unauthenticated guest user akibat sharing rules, permission, atau konfigurasi portal yang terlalu longgar.

Salesforce Experience Cloud dan ServiceNow sama-sama menggunakan guest account untuk menangani pengunjung yang belum melakukan autentikasi.

Jika guest account tersebut memiliki akses terhadap record tertentu, informasi tersebut pada dasarnya dapat diambil melalui berbagai API endpoint oleh siapa saja yang dapat mengakses portal melalui internet.

Kondisi inilah yang dimanfaatkan dalam kampanye City-Forum.

Salesforce Menjadi Salah Satu Target Utama

Pada Salesforce, sebagian besar aktivitas yang diamati menargetkan framework Aura yang lebih lama.

Pelaku mengirimkan request ke endpoint seperti /aura atau /s/sfsites/aura untuk mengetahui object apa saja yang dapat diakses oleh guest account.

Object yang menjadi target dapat mencakup Accounts, Contacts, dan Cases, tergantung konfigurasi portal masing-masing organisasi.

Serangan dimulai dengan memanggil HostConfigController.getConfigData untuk melakukan enumerasi object yang tersedia bagi guest account. Setelah mengetahui object yang dapat diakses, pelaku menggunakan SelectableListDataProviderController.getItems untuk mengambil record dari object tersebut.

Skala aktivitasnya dapat sangat besar. Salah satu target yang diamati mencatat lebih dari 560.000 event dari alamat IP pelaku, dengan hampir seluruh aktivitas berkaitan dengan enumerasi guest user melalui Aura.

Tidak Hanya Menargetkan Aura

Penyalahgunaan guest user pada Salesforce sebenarnya bukan teknik baru. Pola serupa sebelumnya digunakan dalam kampanye pencurian data yang dikaitkan dengan ShinyHunters.

Namun, City-Forum menunjukkan teknik yang lebih luas karena tidak hanya menargetkan endpoint Aura pada Experience Cloud, tetapi juga situs Salesforce yang menggunakan framework Lightning Web Runtime (LWR).

Pada situs LWR, pelaku memanfaatkan Salesforce UI API untuk mengambil data yang tersedia bagi guest account melalui request GraphQL.

Request tersebut dikirimkan melalui endpoint:

/webruntime/api/services/data/{version}/graphql

Menurut Reco, teknik tersebut belum terlihat digunakan oleh tool serangan publik yang sudah dikenal. Tool seperti AuraInspector, S-RET, dan CirrusGo diketahui tidak menggunakan interface webruntime tersebut.

Hal ini menunjukkan bahwa pelaku kemungkinan mengembangkan kemampuan khusus untuk memperluas cakupan data yang dapat diakses dari konfigurasi Salesforce yang salah.

Self-Registration Juga Diperiksa

Pelaku turut memeriksa endpoint Experience Cloud seperti /SiteRegister dan /CommunitiesSelfReg.

Tujuannya adalah mengetahui apakah fitur self-registration diaktifkan.

Jika fitur tersebut tersedia, pengunjung anonim berpotensi membuat akun eksternal yang sudah terautentikasi. Akun tersebut mungkin memiliki akses yang lebih luas dibandingkan guest user biasa, tergantung permission dan konfigurasi portal.

Karena itu, pengaturan self-registration menjadi salah satu bagian penting yang perlu diperiksa administrator Salesforce.

ServiceNow Memiliki Jalur Serangan Berbeda

Kampanye City-Forum juga menargetkan ServiceNow Service Portal, tetapi menggunakan mekanisme berbeda.

Pada lingkungan ServiceNow, pelaku menyalahgunakan endpoint native:

POST /api/now/sp/search?sysparm_cancelable=true

Endpoint tersebut digunakan oleh fungsi pencarian pada ServiceNow Service Portal dan dapat menerima request anonim.

Jika search source dikonfigurasi sehingga dapat diakses guest user, endpoint tersebut berpotensi mengembalikan informasi yang seharusnya tidak tersedia untuk pengguna anonim.

Pelaku kemudian dapat mengganti istilah pencarian untuk melakukan enumerasi terhadap data yang terbuka.

Dalam salah satu lingkungan yang dianalisis, jumlah request meningkat dari hanya puluhan menjadi ratusan per hari.

Log ServiceNow Menyulitkan Investigasi

Salah satu masalah bagi administrator ServiceNow adalah transaction log tidak mencatat POST body dari request tersebut.

Akibatnya, defender masih dapat melihat bahwa aktivitas pencarian otomatis terjadi dan mengetahui berapa banyak data yang dikembalikan, tetapi tidak dapat mengetahui secara langsung istilah pencarian yang digunakan pelaku.

Kondisi tersebut dapat mempersulit proses menentukan informasi apa saja yang sebenarnya dicari atau diakses selama serangan.

Administrator perlu menggabungkan informasi dari berbagai sumber log dan monitoring untuk mengidentifikasi pola request yang tidak normal, terutama jika berasal dari sumber yang sama dan berlangsung secara otomatis dalam jumlah besar.

Belum Ada Bukti Keterkaitan dengan ShinyHunters

Meski sebagian teknik pada Salesforce memiliki kemiripan dengan kampanye ShinyHunters sebelumnya, Reco menyatakan belum menemukan bukti yang menghubungkan City-Forum dengan kelompok tersebut.

Perbedaan utama terlihat dari infrastruktur yang digunakan.

Kampanye ShinyHunters sebelumnya cenderung menggunakan beberapa sistem dan alamat IP berbeda. Sementara itu, infrastruktur City-Forum yang diamati tetap menggunakan alamat IP yang sama sejak setidaknya Maret 2025.

Kesamaan teknik eksploitasi konfigurasi guest user, oleh karena itu, belum cukup untuk menyimpulkan bahwa kedua kampanye berasal dari kelompok yang sama.

Administrator Salesforce Diminta Memeriksa Guest Access

Administrator Salesforce disarankan melakukan audit menyeluruh terhadap akses guest user, terutama pada Experience Cloud.

Pemeriksaan perlu mencakup guest-user sharing rules, object permissions, field permissions, akses file, member visibility, serta pengaturan self-registration.

Untuk situs berbasis LWR, akses guest user terhadap public API juga perlu diperiksa. Jika fitur tersebut tidak diperlukan, administrator disarankan menonaktifkan opsi Experience Builder yang memungkinkan guest user mengakses public APIs.

Langkah tersebut dapat memblokir berbagai API endpoint yang berpotensi digunakan untuk melakukan enumerasi dan pencurian data.

ServiceNow Juga Perlu Diaudit

Administrator ServiceNow sebaiknya memeriksa seluruh search source yang tersedia melalui Service Portal.

Search source yang berisi informasi sensitif harus menggunakan authentication dan access control yang ketat agar tidak dapat diakses oleh guest user.

Konfigurasi portal perlu ditinjau secara berkala karena sistem yang tidak memiliki vulnerability sekalipun tetap dapat menjadi sumber kebocoran data apabila permission dan guest access diberikan terlalu luas.

Kampanye City-Forum menunjukkan bahwa penyerang tidak selalu membutuhkan zero-day atau vulnerability baru untuk mencuri data dari platform SaaS. Konfigurasi guest user yang keliru saja dapat memberikan akses terhadap data perusahaan dalam skala besar, terutama ketika API dan fungsi pencarian dapat digunakan oleh pengguna anonim.

Sumber: Reco