Turvallisuusyritys Reco on nimennyt tämän jatkuvan kampanjan City-Forumiksi verkkotunnuksen city-forum.com mukaan, joka on rekisteröity hyökkääjän infrastruktuuriin. Vähintään maaliskuusta 2025 lähtien yksi vuokrattu palvelin Saksassa on systemaattisesti kerännyt tietoa teleoperaattoreilta, pankeilta, rahoituspalveluyrityksiltä, yritysohjelmistotoimittajilta ja julkishallinnon portaaleilta.

Miten hyväksikäyttö toimii: Haavoittuvuutta ei tarvita

Sekä Salesforce että ServiceNow sisältävät pysyviä vieraskäyttäjätilejä tunnistautumattomille kävijöille. Näitä vieraskäyttäjiä ei voi poistaa. Niiden käyttöoikeudet — mitä tietueita ja objekteja ne voivat lukea — määrittää kukin organisaatio. Jos vierasprofiililla on lukuoikeus tietueeseen, kuka tahansa internetissä voi hakea sen täysin laillisten API-päätepisteiden kautta.

Salesforcessa (Aura-kehys):

• Työkalu lähettää POST-pyyntöjä /aura- tai /s/sfsites/aura-päätepisteeseen.
• Se kutsuu ensin HostConfigController.getConfigData -metodia selvittääkseen, mitkä objektit (Account, Contact, Case, Lead, User, ContentDocument jne.) ovat vieraan käytettävissä.
• Se käyttää sitten SelectableListDataProviderController.getItems -metodia selaillakseen kaikkia tietueita jokaisesta käytettävissä olevasta objektista.
• Yksi vilkkaimmista kohteista kirjasi yli 560 000 tapahtumaa hyökkääjän IP-osoitteesta, ja lähes kaikki olivat vieraan Aura-luettelointia.

Salesforcessa (LWR-kehys — Lightning Web Runtime):

• Tämä on ensimmäinen kerta, kun Salesforce-ohjelmiston UI-API-vieraspintaa LWR-sivustoilla on hyödynnetty tosielämässä.
• Työkalu kohdistuu GraphQL-päätepisteeseen osoitteessa POST /webruntime/api/services/data/{version}/graphql?asGuest=true, luetteloi ensin skeeman EntityDefinition-kutsulla ja lukee sitten tietueita käyttäen kursoripohjaista sivutusta.
• Se skannaa API-versiot v56.0 – v66.0 järjestyksessä jokaiselta löytämältään LWR-sivustolta.

ServiceNow'ssa:

• Työkalu kohdistuu /api/now/sp/search-päätepisteeseen — ServiceNow'n omaan Service Portal -hakurajapintaan, joka on pitkälti dokumentoimaton ja josta on tuskin lainkaan verkossa olevia dokumentaatioita tai avoimen lähdekoodin työkaluja.
• Tämä päätepiste on suunniteltu julkiseksi. Sen palauttamat tiedot riippuvat täysin siitä, mitkä hakulähteet on liitetty vieraille avoimeen portaaliin ja valvovatko nämä lähteet pääsyoikeuksia.

Oma rekisteröitymisen testaus (Salesforce):

• Työkalu lisää /SiteRegister ja /CommunitiesSelfReg jokaisen löytämänsä Experience-sivuston polkuun testatakseen, onko oma rekisteröityminen käytössä. Jos on, vieras voi kohottaa itsensä todennetuksi ulkoiseksi käyttäjäksi, jolloin se saa pääsyn huomattavasti laajempiin tietoihin.

Räätälöity työkalupakki ja infrastruktuuri

• Lähde-IP: 158.220.87.79, isännöity Contabon VPS-palvelimella (saksalainen hosting-palveluntarjoaja), joka osoittaa verkkotunnukseen city-forum.com (vuonna 2002 rekisteröity, hylätty ja uudelleen käyttöön otettu verkkotunnus).
• Sama IP on osoittanut samaa verkkotunnusta maaliskuusta 2025 lähtien ilman vaihtoa — vähintään 17 kuukautta yhdellä osoitteella.
• Oma Go-binääri: Yksi Go-kielellä käännetty työkalu, joka iskee Salesforceen sekä Aura- että LWR-kehyksillä ja iskee myös ServiceNow'hun — kaikki samalta palvelimelta. Tämä on räätälöity monialustainen työkalupakki, ei valmis työkalu kuten AuraInspector.
• Työkalu käyttää Go:n oletusarvoista Go-http-client-User-Agent-merkkijonoa, mikä tekee siitä helposti tunnistettavan lokeista.

Kohdeorganisaatiot

Reco raportoi, että ensisijaisiin kohteisiin kuuluivat:

• Teleoperaattorit
• Pankit ja rahoituspalveluyritykset
• Yritysohjelmistotoimittajat (mukaan lukien tietoturva- ja tietosuojayritykset)
• Julkishallinnon portaalit

Miksi tavanomaiset audit-lokit eivät paljasta, mitä tietoja vietiin

ServiceNow'n osalta: Alustan tapahtumalokit (syslog_transaction) eivät tallenna POST-pyyntöjen runkoa /api/now/sp/search-pyynnöistä. Puolustajat voivat nähdä, että automatisoituja hakuja on tapahtunut ja kuinka paljon tietoa on palautettu (tulosteen pituussarakkeen perusteella), mutta eivät pysty määrittämään tarkkoja hakusanoja tai sitä, mitkä tietyt tietueet noudettiin.

Salesforcen osalta: Vieraan luettelointiliikenne koostuu laillisista, protokollan mukaisista API-kutsuista, jotka näyttävät normaalilta sivustoliikenteeltä. Vaikka tapahtumavalvonta (Event Monitoring) voi näyttää AuraRequest- ja Sites-tapahtumien määrän vieraskäyttäjiltä, lokit osoittavat, että tietoja on pyydetty, mutta eivät paljasta GraphQL- tai Aura-vastausten tarkkaa sisältöä.

Toisin sanoen voit nähdä, että hyökkääjä oli paikalla ja kuinka paljon he hakivat, mutta et pysty rekonstruoimaan tarkalleen, mitkä tietueet tai kentät he veivät.

Suositellut korjaustoimenpiteet

Salesforce (Reco-suositukset):

1. Tiukenna vierasjakosääntöjä — yksittäinen tehokkain hallintatoimenpide. Poista kaikki jakosäännöt, jotka jakavat tietueita vieraskäyttäjälle laajemmin kuin sivusto todella tarvitsee julkisesti palvella.
2. Poista objekti- ja kenttätason oikeudet vierasprofiilista. Poista lukuoikeus objekteista, joita sivusto ei tarvitse anonyymeille vierailijoille.
3. Poista "Access Activities" -oikeus vierasprofiilista (paljastaa Tehtävät ja Tapahtumat).
4. Poista "API Enabled" vieraskäyttäjältä.
5. Poista oma rekisteröityminen käytöstä, ellei sivusto sitä todella tarvitse.
6. Poista vieraan tiedostopääsy ja jäsenten näkyvyys, jotta vieraat eivät voi hakea ContentDocument-tiedostoja tai luetteloida muita sivuston jäseniä.
7. Vain LWR-sivustoille: Valitse Experience Builderissa Työtilat → Hallinto → Asetukset → poista valinta "Salli vieraskäyttäjien käyttää julkisia API-rajapintoja." Tämä sulkee GraphQL- ja UI-API-REST-päätepisteet yhdellä liikkeellä.

ServiceNow (Reco-suositukset):

1. Kartoita vieraille avoimet portaalit niiden hakulähteisiin. Tarkista taulut sp_portal, m2m_sp_portal_search_source ja sp_search_source. Irrota kaikki hakulähteet, joita julkinen portaali ei tarvitse.
2. Tarkista jokaisen hakulähteen logiikka — erityisesti is_scripted_source, data_fetch_script ja se, käyttääkö se GlideRecordSecure-metodia (ACL-toteuttava) vai tavallista GlideRecord-metodia (joka ei ole).
3. Tarkista tietämyskannan "Can Read" -käyttäjäkriteerit — etsi rajoittamaton "Any User" -pääsy, joka paljastaa arkaluontoisia tietämyskantoja vierashakujen kautta.
4. Irrota huonot kb_uc_can_read_mtom-linkit, sen sijaan että muokkaisit jakosääntöjä sokeasti.

Tunnistusohjeet:

• Salesforce Event Monitoring: Etsi suuria määriä getItems- ja getConfigData-tapahtumia, joiden USER_TYPE = 'Guest', /webruntime/.../vNN.0/graphql-versioskannauksia ja osumia /SiteRegister- ja /CommunitiesSelfReg-päätepisteisiin.
• ServiceNow syslog_transaction: Etsi /api/now/sp/search-pyyntöjä, jotka on tehty vieraana. Järjestä tulosjoukon pituuden mukaan — rivit, jotka palauttavat selvästi enemmän kuin pienen tyhjän tuloksen perustason, osoittavat hakuja, jotka ovat palauttaneet sisältöä.

Turvallisuusyritys Reco on nimennyt tämän jatkuvan kampanjan City-Forumiksi verkkotunnuksen city-forum.com mukaan, joka on rekisteröity hyökkääjän infrastruktuuriin. Vähintään maaliskuusta 2025 lähtien yksi vuokrattu palvelin Saksassa on systemaattisesti kerännyt tietoa teleoperaattoreilta, pankeilta, rahoituspalveluyrityksiltä, yritysohjelmistotoimittajilta ja julkishallinnon portaaleilta.

Miten hyväksikäyttö toimii: Haavoittuvuutta ei tarvita

Sekä Salesforce että ServiceNow sisältävät pysyviä vieraskäyttäjätilejä tunnistautumattomille kävijöille. Näitä vieraskäyttäjiä ei voi poistaa. Niiden käyttöoikeudet — mitä tietueita ja objekteja ne voivat lukea — määrittää kukin organisaatio. Jos vierasprofiililla on lukuoikeus tietueeseen, kuka tahansa internetissä voi hakea sen täysin laillisten API-päätepisteiden kautta.

Salesforcessa (Aura-kehys):

• Työkalu lähettää POST-pyyntöjä /aura- tai /s/sfsites/aura-päätepisteeseen.
• Se kutsuu ensin HostConfigController.getConfigData -metodia selvittääkseen, mitkä objektit (Account, Contact, Case, Lead, User, ContentDocument jne.) ovat vieraan käytettävissä.
• Se käyttää sitten SelectableListDataProviderController.getItems -metodia selaillakseen kaikkia tietueita jokaisesta käytettävissä olevasta objektista.
• Yksi vilkkaimmista kohteista kirjasi yli 560 000 tapahtumaa hyökkääjän IP-osoitteesta, ja lähes kaikki olivat vieraan Aura-luettelointia.

Salesforcessa (LWR-kehys — Lightning Web Runtime):

• Tämä on ensimmäinen kerta, kun Salesforce-ohjelmiston UI-API-vieraspintaa LWR-sivustoilla on hyödynnetty tosielämässä.
• Työkalu kohdistuu GraphQL-päätepisteeseen osoitteessa POST /webruntime/api/services/data/{version}/graphql?asGuest=true, luetteloi ensin skeeman EntityDefinition-kutsulla ja lukee sitten tietueita käyttäen kursoripohjaista sivutusta.
• Se skannaa API-versiot v56.0 – v66.0 järjestyksessä jokaiselta löytämältään LWR-sivustolta.

ServiceNow'ssa:

• Työkalu kohdistuu /api/now/sp/search-päätepisteeseen — ServiceNow'n omaan Service Portal -hakurajapintaan, joka on pitkälti dokumentoimaton ja josta on tuskin lainkaan verkossa olevia dokumentaatioita tai avoimen lähdekoodin työkaluja.
• Tämä päätepiste on suunniteltu julkiseksi. Sen palauttamat tiedot riippuvat täysin siitä, mitkä hakulähteet on liitetty vieraille avoimeen portaaliin ja valvovatko nämä lähteet pääsyoikeuksia.

Oma rekisteröitymisen testaus (Salesforce):

• Työkalu lisää /SiteRegister ja /CommunitiesSelfReg jokaisen löytämänsä Experience-sivuston polkuun testatakseen, onko oma rekisteröityminen käytössä. Jos on, vieras voi kohottaa itsensä todennetuksi ulkoiseksi käyttäjäksi, jolloin se saa pääsyn huomattavasti laajempiin tietoihin.

Räätälöity työkalupakki ja infrastruktuuri

• Lähde-IP: 158.220.87.79, isännöity Contabon VPS-palvelimella (saksalainen hosting-palveluntarjoaja), joka osoittaa verkkotunnukseen city-forum.com (vuonna 2002 rekisteröity, hylätty ja uudelleen käyttöön otettu verkkotunnus).
• Sama IP on osoittanut samaa verkkotunnusta maaliskuusta 2025 lähtien ilman vaihtoa — vähintään 17 kuukautta yhdellä osoitteella.
• Oma Go-binääri: Yksi Go-kielellä käännetty työkalu, joka iskee Salesforceen sekä Aura- että LWR-kehyksillä ja iskee myös ServiceNow'hun — kaikki samalta palvelimelta. Tämä on räätälöity monialustainen työkalupakki, ei valmis työkalu kuten AuraInspector.
• Työkalu käyttää Go:n oletusarvoista Go-http-client-User-Agent-merkkijonoa, mikä tekee siitä helposti tunnistettavan lokeista.

Kohdeorganisaatiot

Reco raportoi, että ensisijaisiin kohteisiin kuuluivat:

• Teleoperaattorit
• Pankit ja rahoituspalveluyritykset
• Yritysohjelmistotoimittajat (mukaan lukien tietoturva- ja tietosuojayritykset)
• Julkishallinnon portaalit

Miksi tavanomaiset audit-lokit eivät paljasta, mitä tietoja vietiin

ServiceNow'n osalta: Alustan tapahtumalokit (syslog_transaction) eivät tallenna POST-pyyntöjen runkoa /api/now/sp/search-pyynnöistä. Puolustajat voivat nähdä, että automatisoituja hakuja on tapahtunut ja kuinka paljon tietoa on palautettu (tulosteen pituussarakkeen perusteella), mutta eivät pysty määrittämään tarkkoja hakusanoja tai sitä, mitkä tietyt tietueet noudettiin.

Salesforcen osalta: Vieraan luettelointiliikenne koostuu laillisista, protokollan mukaisista API-kutsuista, jotka näyttävät normaalilta sivustoliikenteeltä. Vaikka tapahtumavalvonta (Event Monitoring) voi näyttää AuraRequest- ja Sites-tapahtumien määrän vieraskäyttäjiltä, lokit osoittavat, että tietoja on pyydetty, mutta eivät paljasta GraphQL- tai Aura-vastausten tarkkaa sisältöä.

Toisin sanoen voit nähdä, että hyökkääjä oli paikalla ja kuinka paljon he hakivat, mutta et pysty rekonstruoimaan tarkalleen, mitkä tietueet tai kentät he veivät.

Suositellut korjaustoimenpiteet

Salesforce (Reco-suositukset):

1. Tiukenna vierasjakosääntöjä — yksittäinen tehokkain hallintatoimenpide. Poista kaikki jakosäännöt, jotka jakavat tietueita vieraskäyttäjälle laajemmin kuin sivusto todella tarvitsee julkisesti palvella.
2. Poista objekti- ja kenttätason oikeudet vierasprofiilista. Poista lukuoikeus objekteista, joita sivusto ei tarvitse anonyymeille vierailijoille.
3. Poista "Access Activities" -oikeus vierasprofiilista (paljastaa Tehtävät ja Tapahtumat).
4. Poista "API Enabled" vieraskäyttäjältä.
5. Poista oma rekisteröityminen käytöstä, ellei sivusto sitä todella tarvitse.
6. Poista vieraan tiedostopääsy ja jäsenten näkyvyys, jotta vieraat eivät voi hakea ContentDocument-tiedostoja tai luetteloida muita sivuston jäseniä.
7. Vain LWR-sivustoille: Valitse Experience Builderissa Työtilat → Hallinto → Asetukset → poista valinta "Salli vieraskäyttäjien käyttää julkisia API-rajapintoja." Tämä sulkee GraphQL- ja UI-API-REST-päätepisteet yhdellä liikkeellä.

ServiceNow (Reco-suositukset):

1. Kartoita vieraille avoimet portaalit niiden hakulähteisiin. Tarkista taulut sp_portal, m2m_sp_portal_search_source ja sp_search_source. Irrota kaikki hakulähteet, joita julkinen portaali ei tarvitse.
2. Tarkista jokaisen hakulähteen logiikka — erityisesti is_scripted_source, data_fetch_script ja se, käyttääkö se GlideRecordSecure-metodia (ACL-toteuttava) vai tavallista GlideRecord-metodia (joka ei ole).
3. Tarkista tietämyskannan "Can Read" -käyttäjäkriteerit — etsi rajoittamaton "Any User" -pääsy, joka paljastaa arkaluontoisia tietämyskantoja vierashakujen kautta.
4. Irrota huonot kb_uc_can_read_mtom-linkit, sen sijaan että muokkaisit jakosääntöjä sokeasti.

Tunnistusohjeet:

• Salesforce Event Monitoring: Etsi suuria määriä getItems- ja getConfigData-tapahtumia, joiden USER_TYPE = 'Guest', /webruntime/.../vNN.0/graphql-versioskannauksia ja osumia /SiteRegister- ja /CommunitiesSelfReg-päätepisteisiin.
• ServiceNow syslog_transaction: Etsi /api/now/sp/search-pyyntöjä, jotka on tehty vieraana. Järjestä tulosjoukon pituuden mukaan — rivit, jotka palauttavat selvästi enemmän kuin pienen tyhjän tuloksen perustason, osoittavat hakuja, jotka ovat palauttaneet sisältöä.