Pada akhir Agustus, peretas memperoleh akses ke sistem internal platform chatbot AI, dan sejak saat itu mereka telah menggunakan akses ini untuk membobol aplikasi lain, mulai dari Salesforce hingga Google Workspace, yang telah diintegrasikan perusahaan dengan chatbot tersebut.
Drift, agen chatbot yang diakuisisi oleh Salesloft, populer di kalangan tim penjualan dan pemasaran Amerika. Aplikasi ini berintegrasi dengan aplikasi pihak ketiga untuk mengubah pengunjung situs web menjadi prospek penjualan. Meskipun saat ini belum jelas bagaimana penyerang membobol Salesloft Drift, setelah masuk, mereka mencuri token autentikasi yang memberi mereka akses ke Salesforce, Google Workspace, Slack, Amazon S3, Microsoft Azure, OpenAI, dan berpotensi ke platform lain mana pun yang terintegrasi dengan Salesloft.
Jika perusahaan menggunakan integrasi Drift, Salesloft, atau Salesforce, perusahaan mungkin terdampak oleh pembobolan ini. Peneliti keamanan menyarankan untuk segera mencabut semua token OAuth dan mengaudit aplikasi yang terhubung. Jangan menunggu konfirmasi kompromi — asumsikan hal itu telah terjadi dan bertindaklah sekarang.
Jika tidak, penyerang dapat menggunakan token ini untuk mengakses lingkungan daring perusahaan.
Linimasa serangan Salesloft Drift
Salesloft pertama kali mengungkapkan masalah keamanan yang memengaruhi integrasi Drift(jendela baru) pada tanggal 20 Agustus.
Pada tanggal 26 Agustus, Threat Intelligence Group Google merilis temuan(jendela baru) yang mengonfirmasi bahwa penyerang telah mengeksploitasi token OAuth yang dicuri dari Salesloft untuk mengakses instans Salesforce dan mengeksfiltrasi sejumlah besar data.
Pada tanggal 28 Agustus, Google menambahkan perbaruan bahwa penyerang telah menggunakan token akses ini untuk juga mengakses email dari “sejumlah kecil akun Google Workspace” yang memiliki integrasi Drift dan mencatat bahwa peretasan ini memengaruhi hampir semua integrasi Drift. Google mengeklaim bahwa token autentikasi yang valid juga dicuri untuk Slack, Amazon S3, Microsoft Azure, dan OpenAI.
Akibatnya, Google dan Salesforce telah menonaktifkan sementara integrasi Drift mereka.
Pada tanggal 1 September, Zscaler mengonfirmasi telah dikompromikan(jendela baru) menggunakan token OAuth dan muat ulang yang dicuri dalam serangan Drift. Penyerang membobol instans Salesforce miliknya dan mencuri informasi pelanggan yang sensitif, termasuk nama, email, jabatan, informasi penggunaan produk Zscaler, dan banyak lagi.
Ini menyusul serangan baru-baru ini lainnya pada instans Salesforce yang telah menyebabkan lonjakan serangan phishing terhadap pengguna Gmail dan Google Workspace. Menurut Krebs Security(jendela baru), terdapat perbedaan pendapat tentang apakah kedua serangan tersebut saling berkaitan.
Apa itu serangan rantai pasokan?
Serangan rantai pasokan terjadi ketika penyerang mengincar vendor pihak ketiga untuk membobol sistem organisasi. Dalam kasus ini, penyerang tidak membobol Gmail atau Salesforce secara langsung — mereka mengompromikan token OAuth dari integrasi Drift untuk mengakses sistem yang terhubung.
Salah satu contoh serangan rantai pasokan paling terkenal baru-baru ini adalah yang terjadi pada SolarWinds pada tahun 2020(jendela baru). SolarWinds adalah penyedia perangkat lunak utama untuk manajemen jaringan. Peretas yang diduga didukung Rusia menyerang SolarWinds, menanamkan malware ke dalam kodenya, yang kemudian menyebar ke lebih dari 30.000 organisasi publik dan pribadi selama perbaruan standar. Serangan tersebut kemungkinan merupakan serangan rantai pasokan terbesar yang pernah ada.
Mengapa chatbot AI akan terus menjadi sasaran
Ketergesaan untuk mengintegrasikan agen AI seperti Drift ke dalam alur kerja yang tak terhitung jumlahnya di berbagai perusahaan telah menyulitkan tim keamanan siber untuk melakukan tugas mereka, dan perusahaan AI sejauh ini terbukti rentan terhadap serangan rantai pasokan(jendela baru). Mengingat percepatan adopsi AI, kebaruan teknologi ini, dan fakta bahwa semua orang belajar sambil berjalan(jendela baru), serangan seperti ini hanya akan menjadi lebih umum.
Hingga ekosistem AI matang, langkah teraman adalah memperkecil akses, membatasi integrasi, dan menggunakan platform yang dirancang untuk zero trust. Peretas akan selalu mencari titik lemah yang dirasakan dalam batas keamanan perusahaan. Integrasi, platform pihak ketiga, dan konsultan eksternal sering kali dipandang sebagai target yang menarik. Pelajari lebih lanjut tentang pencegahan pembobolan data untuk bisnis.
