Entre 8 e 18 de agosto de 2025, o grupo de ciberameaças UNC6395 explorou a integração baseada em OAuth entre o chatbot Drift (Salesloft) e a plataforma Salesforce, usada por milhares de equipas comerciais para sincronizar dados de leads. A exploração permitiu a extração silenciosa de informações de clientes sem gerar alertas tradicionais de segurança.
Os tokens OAuth funcionam como chaves digitais entre aplicações SaaS, permitindo o acesso contínuo sem necessidade de autenticação adicional. No ataque em causa, os cibercriminosos utilizaram apenas ferramentas legítimas e chamadas API aparentemente normais, tornando a atividade praticamente indetetável.
Após a deteção do incidente, a Salesloft e a Salesforce revogaram todos os tokens associados à aplicação Drift. A Salesforce retirou ainda a aplicação da sua AppExchange enquanto decorre a investigação.
O risco invisível nas integrações SaaS
O ataque destacou um ponto crítico da realidade atual: as organizações dependem de múltiplas integrações SaaS que, quando comprometidas, podem expor dados sensíveis muito além do previsto.
Numa equipa de vendas típica, o Drift pode ligar-se ao Salesforce, que se conecta ao HubSpot, que por sua vez integra com o Slack e sincroniza com o Google Workspace. Cada uma destas conexões utiliza tokens OAuth. O compromisso de apenas um token pode conceder acesso a um vasto conjunto de dados, incluindo registos de clientes, informações financeiras e comunicações internas.
As ferramentas de segurança tradicionais concentram-se na atividade dos utilizadores, como tentativas de login suspeitas ou acessos fora do país habitual. No entanto, falham frequentemente em identificar exportações de dados realizadas através de integrações legítimas.
Lições para a segurança SaaS
O incidente Drift–Salesforce tornou-se um caso de estudo para a modernização da segurança SaaS. A monitorização em tempo real das integrações, a análise comportamental de tokens OAuth e a visibilidade sobre a movimentação de dados são práticas que podem reduzir riscos e permitir deteção precoce de anomalias.
Especialistas defendem que a segurança SaaS não pode ser pensada aplicação a aplicação, mas sim como um ecossistema interligado. Esta abordagem estratégica deve incluir visibilidade total sobre todas as aplicações em uso, avaliação do risco associado a cada integração e mecanismos de conformidade automatizados face a requisitos regulatórios como o RGPD.
O incidente demonstra que, à medida que cresce a adoção de SaaS, aumentam também as oportunidades para os atacantes. A segurança das integrações tornou-se uma prioridade inevitável para as organizações que pretendem proteger os seus dados críticos.