City-Forum: 17 meses robando datos de Salesforce y ServiceNow aprovechando el acceso de invitado

Durante al menos 17 meses, un actor de amenazas desconocido ha estado extrayendo sigilosamente registros de sitios de Salesforce Experience Cloud y ServiceNow Service Portals en todo el mundo, sin explotar ni una sola vulnerabilidad de software, robar credenciales ni eludir la autenticación. El atacante simplemente utilizó lo que las organizaciones ya habían hecho accesible al público a través del acceso de usuario invitado (anónimo) integrado en las plataformas.

La firma de seguridad Reco ha bautizado esta campaña como City-Forum, por el dominio city-forum.com registrado en la infraestructura del atacante. Desde al menos marzo de 2025, un único servidor alquilado en Alemania ha estado extrayendo datos de proveedores de telecomunicaciones, bancos, empresas de servicios financieros, proveedores de software empresarial y portales del sector público.

Cómo funciona la explotación: no se necesita ninguna vulnerabilidad

Tanto Salesforce como ServiceNow incluyen cuentas de usuario invitado permanentes para visitantes no autenticados. Estas cuentas de invitado no se pueden eliminar. Sus permisos (qué registros y objetos pueden leer) los configura cada organización. Si el perfil de invitado tiene acceso de lectura a un registro, cualquier persona en internet puede recuperarlo a través de endpoints API completamente legítimos.

En Salesforce (framework Aura):

• La herramienta envía solicitudes POST al endpoint /aura o /s/sfsites/aura.
• Primero llama a HostConfigController.getConfigData para enumerar qué objetos (Account, Contact, Case, Lead, User, ContentDocument, etc.) son accesibles para el invitado.
• Luego usa SelectableListDataProviderController.getItems para recorrer todos los registros de cada objeto accesible.
• El objetivo individual más activo registró más de 560.000 eventos desde la IP del atacante, casi todos de enumeración Aura de invitado.

En Salesforce (framework LWR, Lightning Web Runtime):

• Esta es la primera explotación observada en el mundo real de la superficie de invitado de UI-API de Salesforce en sitios LWR.
• La herramienta apunta a un endpoint GraphQL en

  POST /webruntime/api/services/data/{version}/graphql?asGuest=true

  , primero enumerando el esquema a través de EntityDefinition, luego leyendo registros con paginación basada en cursores.
• Recorre las versiones de API v56.0 a v66.0 en secuencia contra cada sitio LWR descubierto.

En ServiceNow:

• La herramienta apunta al endpoint /api/now/sp/search, una API de búsqueda nativa de Service Portal que está en gran medida indocumentada y casi no tiene documentación online ni herramientas de código abierto que la referencien.
• Este endpoint es público por diseño. Los datos que devuelve dependen completamente de qué fuentes de búsqueda están vinculadas a un portal orientado a invitados y si esas fuentes aplican controles de acceso.

Sondeo de autorregistro (Salesforce):

• La herramienta añade /SiteRegister y /CommunitiesSelfReg a cada ruta de sitio de experiencia descubierta para probar si el autorregistro está habilitado. Si lo está, un invitado puede promocionarse a usuario externo autenticado, obteniendo acceso a muchos más datos.

El conjunto de herramientas personalizadas y la infraestructura

• IP de origen: 158.220.87.79, alojada en un VPS de Contabo (proveedor de hosting alemán), que resuelve al dominio city-forum.com (un dominio registrado en 2002, abandonado y luego reutilizado).
• La misma IP ha mantenido el mismo dominio desde marzo de 2025 sin rotación, al menos 17 meses en una sola dirección.
• Binario Go personalizado: Una única herramienta compilada en Go que ataca Salesforce tanto en los frameworks Aura como LWR y también ataca ServiceNow, todo desde el mismo servidor. Es un conjunto de herramientas multiplataforma personalizado, no una herramienta estándar como AuraInspector.
• La herramienta utiliza la cadena de User-Agent predeterminada de Go (Go-http-client), lo que facilita su identificación en los registros.

Organizaciones objetivo

Reco informa que los objetivos principales incluyen:

• Operadores de telecomunicaciones
• Bancos y empresas de servicios financieros
• Proveedores de software empresarial (incluidas empresas de seguridad y privacidad de datos)
• Portales del sector público

Por qué los registros de auditoría estándar no pueden revelar qué datos se robaron

Para ServiceNow: Los registros de transacciones de la plataforma (syslog_transaction) no registran el cuerpo POST de las solicitudes /api/now/sp/search. Los defensores pueden ver que se produjeron búsquedas automatizadas y la cantidad de datos devueltos (a través de la columna de longitud de salida), pero no pueden determinar los términos de búsqueda exactos ni qué registros específicos se recuperaron.

Para Salesforce: El tráfico de enumeración de invitados consiste en llamadas API legítimas y compatibles con el protocolo que parecen tráfico normal del sitio. Si bien Event Monitoring puede mostrar el volumen de eventos AuraRequest y Sites de usuarios invitados, los registros muestran que se solicitaron datos, pero no el contenido específico de lo que se devolvió en las respuestas GraphQL o Aura.

En otras palabras, se puede ver que el atacante estuvo allí y cuánto extrajo, pero no se puede reconstruir exactamente qué registros o campos extrajo.

Pasos de remediación recomendados

Para Salesforce (recomendaciones de Reco):

1. Ajustar las reglas de uso compartido de invitados, el control de mayor impacto. Elimine cualquier regla de uso compartido que comparta registros con el usuario invitado más allá de lo que el sitio necesita genuinamente para servir al público.
2. Eliminar los permisos a nivel de objeto y campo del perfil de invitado. Elimine el acceso de lectura a objetos que el sitio no necesita para visitantes anónimos.
3. Eliminar el permiso "Access Activities" del perfil de invitado (expone Tareas y Eventos).
4. Deshabilitar "API Enabled" en el usuario invitado.
5. Deshabilitar el autorregistro a menos que el sitio realmente lo requiera.
6. Deshabilitar el acceso a archivos de invitados y la visibilidad de miembros para que los invitados no puedan recuperar archivos de ContentDocument ni enumerar a otros miembros del sitio.
7. Solo para sitios LWR: En Experience Builder → Workspaces → Administration → Preferences, desmarque "Allow guest users to access public APIs". Esto cierra GraphQL y los endpoints REST de UI-API de un solo movimiento.

Para ServiceNow (recomendaciones de Reco):

1. Mapear los portales orientados a invitados con sus fuentes de búsqueda. Verifique las tablas sp_portal, m2m_sp_portal_search_source y sp_search_source. Desvincule cualquier fuente de búsqueda que un portal público no necesite.
2. Revisar la lógica de cada fuente de búsqueda, especialmente is_scripted_source, data_fetch_script, y si usa GlideRecordSecure (con aplicación de ACL) o GlideRecord simple (que no aplica).
3. Revisar los criterios de usuario "Can Read" de la base de conocimiento, buscando acceso sin restricciones de "Any User" que exponga KBs sensibles a través de la búsqueda de invitados.
4. Desvincular enlaces kb_uc_can_read_mtom incorrectos en lugar de editar reglas de uso compartido a ciegas.

Guía de detección:

• Salesforce Event Monitoring: Busque altos volúmenes de getItems y getConfigData de

  USER_TYPE = 'Guest'

  , barridos de versión /webruntime/.../vNN.0/graphql y visitas a /SiteRegister y /CommunitiesSelfReg.
• ServiceNow syslog_transaction: Busque solicitudes /api/now/sp/search realizadas como invitado. Ordene por longitud de salida; las filas que devuelven significativamente más que la pequeña línea base de resultado vacío indican búsquedas que devolvieron contenido.