El problema de la llave maestra: dentro de la brecha de Salesloft y la amenaza continua

In September 2025, the FBI released a Flash alert warning that two criminal groups — UNC6395 and UNC6040 — were actively compromising Salesforce instances across industries.

UNC6395 comprometió Salesloft a través de la integración Salesloft–Drift y luego pasó por esa conexión confiable para acceder a los datos de Salesforce. Mientras tanto, UNC6040 lleva a cabo una campaña de vishing que engaña a los usuarios de Salesforce para que aprueben una aplicación conectada maliciosa (a menudo disfrazada de cargador de datos) para obtener atajo a los entornos de Salesforce.

The number of organizations hit by UNC6395 is more than 700 worldwide, including cybersecurity companies such as Zscaler, Palo Alto Networks, Proofpoint, Cloudflare, and Tenable.  

What remains unclear is just how far UNC6395’s campaign has spread — or exactly how much sensitive information may still be in play.  

We do know that stolen Salesforce data is now fueling extortion attempts. A threat group has launched a data leak site demanding ransom from companies whose customer records were posted online. Salesforce has publicly stated that it will not pay extortion demands.

Todavía no está claro si estas nuevas denuncias sobre sitios con filtraciones se derivan directamente de las operaciones de UNC6395, pero un hecho es claro: una vez que se roban las credenciales, los registros que desbloquean pueden resurgir repetidamente.

"Desde la época de las contraseñas hasta los certificados, la pregunta más importante siempre fue '¿Cómo se gestiona y mantiene intacta la integridad de las claves?'", afirmó Michael Adjei, director de ingeniería de sistemas de Illumio. “Ese problema no desapareció; solo se agrandó en un mundo interconectado”.

Cuando una llave confiable abre el reino

UNC6395’s weapon was OAuth tokens stolen from Salesloft integrations (a sales engagement platform that syncs calls, emails, and chats into Salesforce) — specifically through the Drift chatbot connection.

With those tokens, attackers gained trusted API-level access to Salesforce and other linked environments, quietly querying data, exfiltrating contacts, cases, and even credentials like AWS keys, VPN secrets, and Snowflake tokens.

Google now advises that all Drift-issued tokens be treated as compromised.

El perímetro ya no es tu firewall

Si una integración es la cerradura y un token OAuth la clave, ¿qué sucede cuando esa clave termina en las manos equivocadas?

Las compañías modernas dependen de sistemas estrechamente conectados. Cuando se viola una integración, otras pueden quedar expuestas rápidamente.

Un solo compromiso en una conexión de CRM puede revelar datos de clientes, casos de soporte o archivos almacenados en herramientas de productividad. Las credenciales y claves API dejadas en notas o tiquetes pueden luego abrir el acceso a entornos de nube.

La mayoría de las pilas empresariales vinculan CRM, plataformas de interacción, herramientas de chat y espacio en la nube. Cada conexión mejora la eficiencia, pero también amplía el camino que puede tomar un atacante.

Una vez que se roba un token, el atacante se convierte efectivamente en la integración legítima, omitiendo por completo la MFA, los registros de auditoría y los restablecimientos de contraseñas.

Por qué los tokens OAuth son oro

Los tokens OAuth confieren acceso delegado, por diseño. Pero ese mismo diseño crea un punto débil: una vez que se concede la confianza, rara vez se revoca.

“Los tokens de larga duración suelen sobrevivir a los empleados, proveedores o incluso a las herramientas que los crearon, lo que deja puertas invisibles abiertas en los sistemas”, dijo Adjei.

Llamadas API que parecen normales

El malware es ruidoso; las llamadas API son silenciosas.

In this breach, attackers hid in plain sight, issuing SOQL and Bulk API queries that mimicked legitimate operations.

“Las API son como un automóvil con ventanas polarizadas: la gente asume que eres tú quien está dentro”, dijo Adjei. “La única manera de saber lo contrario es abrir la puerta”.

Debido a que estas solicitudes provenían de integraciones válidas, el sistema las trató como benignas. Esto dificulta la detección: las acciones del atacante se mezclan con la actividad comercial normal.

“Muchas organizaciones ni siquiera conocen todas las aplicaciones e integraciones en uso”, agregó Adjei. “Es posible que los tokens se crearon hace años y nunca se hayan rotado. Esa combinación de TI en la sombra y acceso de larga duración significa que la exposición puede durar meses”.

De SolarWinds a Salesloft

A diferencia de SolarWinds, donde los atacantes introdujeron código malicioso en una actualización de software, UNC6395 no necesitó escribir una sola línea de malware. Más bien, explotaron la confianza misma.

“SolarWinds fue un despertar”, dijo Adjei. “Demostró la eficacia de apuntar al eslabón más débil: un proveedor altamente integrado. Si se compromete eso, se obtiene acceso a muchas organizaciones a la vez”.

Este paso de ataques a la cadena de suministro basados en código, como SolarWinds, a ataques basados en tokens señala un cambio de paradigma: ya no es necesario ingresar con malware cuando las claves ya existen.

¿Quién está detrás de la brecha?

Threat-intelligence analysis traces the initial access to UNC6395 — financially motivated cyber criminals.  While some have noted the group’s overlap with ShinyHunters’ focus on Salesforce, no confirmed relationship between UNC6395 and ShinyHunters has been established.

‍ShinyHunters is a broader data-broker and cybercrime collective that may intersect with or benefit from UNC6395’s campaigns, but attribution isn’t settled.

Now Scattered Lapsus$ Hunters is claiming they will soon begin extorting hundreds more organizations they say lost data from Salesloft. Salesforce has emphasized that the theft of any third-party Salesloft data allegedly stolen by ShinyHunters did not originate from a vulnerability within the core Salesforce platform.

Cómo cortar el radio de explosión

Luego de todo, el compromiso ya no es una cuestión de “tal vez”: se trata más bien de hasta dónde puede llegar un atacante.

“La visibilidad y el contexto permiten ver cambios en el comportamiento: transferencias repentinas de grandes cantidades de datos, anomalías, accesos demasiado extendidos”, dijo Adjei. “Pero la visibilidad sólo es valiosa si se actúa en consecuencia”.

Para reducir el impacto de una llave perdida:

• Aplicar el mínimo privilegio. Nunca dé alcances más amplios de los necesarios.
• Rotar y revocar tokens periódicamente.
• Audite cada aplicación conectada, cada integración.
• Implemente un monitoreo continuo adaptado al tráfico de API anómalo y al uso inusual de tokens.

Cómo puede ayudar Illumio Insights

Atacantes como UNC6395 no necesitaban malware para infiltrar en cientos de organizaciones: simplemente seguían los caminos invisibles de la confianza. Illumio Insights arroja luz sobre esos caminos.  

Al mapear la comunicación de sistema a sistema en todo su entorno, Insights puede revelar qué aplicaciones se comunican entre sí, con qué frecuencia y cuándo algo parece fuera de lugar. Cuando un token OAuth comprometido comienza a mover datos de formas inesperadas, Insights ayuda a los equipos a detectarlo y contenerlo antes de que pueda propagar.

Las capacidades clave incluyen:

• Detección de movimiento lateral: la visibilidad de la comunicación entre sistemas es esencial para descubrir a los atacantes que se mueven dentro de los entornos.
• Detección de amenazas conductuales: los análisis que identifican el uso anormal de herramientas nativas ayudan a detectar actividades que se mezclan con las operaciones normales.  
• Priorización de alertas: filtrar el comportamiento rutinario y resaltar patrones sospechosos es fundamental cuando los atacantes emplean procesos confiables.  
• Contención rápida: la capacidad de aislar activos comprometidos rápidamente, sin esperar las firmas de malware, puede detener una amenaza antes de que pueda propagar.

En un mundo donde las infracciones explotan la confianza en lugar del código, Illumio Insights ofrece la visibilidad y el control instantáneo que los defensores necesitan en tiempo real.

La brecha de seguridad de Salesloft nos muestra que los atacantes no necesitan volar los muros de tu castillo: solo necesitan una llave que funcione.  

Cuando hay llaves disponibles, su postura de seguridad depende de quién las tenga y de qué tan rápido pueda detenerlas.

Descubra cómo Illumio Insights identifica y detiene las amenazas antes de que se propaguen. Experimente todo el poder de Illumio Insights gratis durante 14 días.