'City Forum' הוא קמפיין ongoing ששואב נתונים מפורטלי Salesforce Experience Cloud ו ServiceNow (Service Portals) מאז לפחות מרץ 2025, תוך ניצול הרשאת גישת אורח (Guest User) ברירת מחדל — ללא ניצול פרצות אבטחה, גניבת אישי... התוקף השתמש בכלי ייעודי (Custom Toolset) הכולל בינארי Go אחד שתוקף גם את מסגרת Aura ו LWR (Light...
'City Forum' הוא קמפיין ongoing ששואב נתונים מפורטלי Salesforce Experience Cloud ו ServiceNow (Service Portals) מאז לפחות מרץ 2025, תוך ניצול הרשאת גישת אורח (Guest User) ברירת מחדל — ללא ניצול פרצות אבטחה, גניבת אישי...
התוקף השתמש בכלי ייעודי (Custom Toolset) הכולל בינארי Go אחד שתוקף גם את מסגרת Aura ו LWR (Lightning Web Runtime) של Salesforce וגם נקודת קצה חיפוש (Search Endpoint) של ServiceNow.
רישומי ביקורת (Audit Logs) סטנדרטיים לא חושפים אילו נתונים ספציפיים נגנבו: ב ServiceNow הגוף (Body) של בקשת ה POST נעלם מהלוגים, וב Salesforce התעבורה נראית לגיטימית, והלוגים מתעדים בקשות אך לא את תכולת התשובות.
What was the "City-Forum" campaign reported by Reco, how did it exploit default guest access in Salesforce and ServiceNow portals over at leConceptual depiction of the City-Forum campaign's data extraction via guest user access on Salesforce and ServiceNow.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the "City-Forum" campaign reported by Reco, how did it exploit default guest access in Salesforce and ServiceNow portals over at le. Article summary: Let me read Reco's original blog post and the detailed reporting for complete answersNow let me get the remaining details from a couple more sources to fill in the remediation and audit log gapsNow I have comprehensive i. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
openai.com
במשך 17 חודשים לפחות, תוקף לא ידוע שאב נתונים מפורטלי Salesforce Experience Cloud ו-ServiceNow Service Portals ברחבי העולם — מבלי לנצל אף פרצת אבטחה, לגנוב אישי גישה (Credentials) או לעקוף מנגנון הזדהות . כל מה שהתוקף עשה היה להשתמש במה שהארגונים כבר הגדירו כנגיש לציבור דרך מנגנון גישת האורח המובנה (Guest User).
חברת האבטחה Reco כינתה את הקמפיין City-Forum, על שם הדומיין city-forum.com שרשום לתשתיות התוקף. מאז מרץ 2025, שרת שכור יחיד בגרמניה (VPS של Contabo) שואב נתונים באופן שיטתי מספקי תקשורת, בנקים, חברות שירותים פיננסיים, ספקי תוכנה ארגונית ופורטלים ציבוריים .
איך זה עובד: לא צריך פרצת אבטחה
גם Salesforce וגם ServiceNow מגיעות עם חשבונות אורח (Guest User) קבועים עבור מבקרים לא מזוהים. לא ניתן למחוק חשבונות אלה. ההרשאות שלהם — לאילו רשומות ואובייקטים יש להם גישת קריאה — נקבעות על ידי כל ארגון. אם לפרופיל האורח יש הרשאת קריאה לרשומה מסוימת, כל אחד באינטרנט יכול לשלוף אותה דרך נקודות קצה API לגיטימיות לחלוטין .
ב-Salesforce (מסגרת Aura):
הכלי שולח בקשת POST ל-/aura או /s/sfsites/aura.
תחילה הוא קורא HostConfigController.getConfigData כדי למצוא אילו אובייקטים (Account, Contact, Case, Lead, User, ContentDocument וכו') נגישים לאורח .
לאחר מכן הוא משתמש ב-SelectableListDataProviderController.getItems כדי לעבור על כל הרשומות בכל אובייקט נגיש. ביעד העמוס ביותר תועדו מעל 560,000 אירועים מכתובת ה-IP של התוקף .
ב-Salesforce (מסגרת LWR — Lightning Web Runtime):
זוהי התקיפה הראשונה בזירה (In-the-wild) שמנצלת את שכבת ה-UI-API של Salesforce באתרי LWR .
הכלי תוקף נקודת קצה GraphQL בכתובת
POST /webruntime/api/services/data/{version}/graphql?asGuest=true
. תחילה הוא ממפה את הסכמה דרך EntityDefinition ואז קורא רשומות תוך שימוש בדפדוף מבוסס Cursor .
הוא סורק גרסאות API v56.0 עד v66.0 ברצף מול כל אתר LWR שגילה .
ב-ServiceNow:
הכלי תוקף נקודת קצה
POST /api/now/sp/search
— API חיפוש מובנה של Service Portal. זוהי נקודת קצה בלתי מתועדת במידה רבה ואין לה תיעוד או כלים בקוד פתוח המפנים אליה .
נקודת קצה זו ציבורית מעצם עיצובה. הנתונים שהיא מחזירה תלויים לחלוטין באילו מקורות חיפוש (Search Sources) מחוברים לפורטל ועד כמה הם אוכפים בקרות גישה .
פריצת רישום עצמי (Salesforce):
הכלי מוסיף /SiteRegister ו-/CommunitiesSelfReg לכל נתיב אתר Experience Cloud שגילה כדי לבדוק אם רישום עצמי מופעל. אם כן, אורח יכול להפוך למשתמש חיצוני מאומת, ולקבל גישה להרבה יותר נתונים .
ארגונים שהותקפו
על פי דו"ח Reco, היעדים העיקריים כללו :
מפעילי תקשורת (Telecom operators)
בנקים וחברות שירותים פיננסיים
ספקי תוכנה ארגונית (כולל חברות אבטחה ופרטיות מידע)
פורטלים ציבוריים (Public-sector portals)
למה רישומי ביקורת סטנדרטיים לא יכולים לחשוף מה נגנב
ב-ServiceNow: רישומי העסקאות (syslog_transaction) לא מתעדים את גוף בקשת ה-POST של /api/now/sp/search. מגיני סייבר יכולים לראות שהתרחשו חיפושים אוטומטיים וכמה נתונים הוחזרו (עמודת output length), אך לא יכולים לדעת את מונחי החיפוש המדויקים או אילו רשומות נשלפו.
ב-Salesforce: תעבורת איתור האורחים מורכבת מקריאות API לגיטימיות ותואמות פרוטוקול שנראות כמו תעבורת אתר רגילה. Event Monitoring יכול להראות את הנפח של אירועי AuraRequest ו-Sites ממשתמשי אורח, אך הלוגים מראים שנתונים נדרשו — לא את התוכן הספציפי של מה שהוחזר בתשובות GraphQL או Aura .
במילים אחרות: אפשר לראות שהתוקף היה שם וכמה הוא שאב, אבל אי אפשר לשחזר אילו רשומות או שדות בדיוק הוא חילץ.
המלצות לתיקון
ל-Salesforce (המלצות Reco):
הדקו את כללי השיתוף של האורח (Guest Sharing Rules) — הבקרה בעלת ההשפעה הגבוהה ביותר. הסירו כל כלל שיתוף המשתף רשומות עם האורח מעבר למה שהאתר צריך לשרת בפומבי.
הסירו הרשאות אובייקט ושדה מפרופיל האורח. בטלו גישת קריאה באובייקטים שהאתר לא צריך למבקרים אנונימיים.
בטלו רישום עצמי (Self-Registration) אלא אם כן האתר באמת דורש זאת.
בטלו גישת קבצים לאורחים (Guest File Access) ונראות חברים — לאורחים לא תהיה גישה לקבצי ContentDocument ולא יוכלו לאתר חברי אתר אחרים.
לאתרי LWR בלבד: ב-Experience Builder → Workspaces → Administration → Preferences, בטלו את הסימון "Allow guest users to access public APIs." פעולה זו סוגרת את GraphQL ואת נקודות הקצה REST של ה-UI-API בתנועה אחת .
ל-ServiceNow (המלצות Reco):
מפו פורטלים עם גישת אורח למקורות החיפוש (Search Sources) שלהם. בדקו את הטבלאות sp_portal, m2m_sp_portal_search_source ו-sp_search_source. נתקו כל מקור חיפוש שפורטל ציבורי לא צריך.
בדקו את הלוגיקה של כל מקור חיפוש — במיוחד is_scripted_source, data_fetch_script והאם הוא משתמש ב-GlideRecordSecure (אוכף ACLs) לעומת GlideRecord רגיל (שלא אוכף).
בדקו קריטריות "Can Read" של מאגר הידע (Knowledge Base) — חפשו גישה בלתי מוגבלת של "Any User" החושפת KBs רגישים דרך חיפוש אורח.
נתקו קישורים kb_uc_can_read_mtom רעים במקום לערוך כללי שיתוף באופן עיוור.
הדרכה לזיהוי:
Salesforce Event Monitoring: חפשו נפחים גבוהים של getItems ו-getConfigData מ-
USER_TYPE = 'Guest'
, סריקות גרסאות /webruntime/.../vNN.0/graphql ופניות ל-/SiteRegister ו-/CommunitiesSelfReg.
ServiceNow syslog_transaction: חפשו בקשות /api/now/sp/search שבוצעו כאורח. מינו לפי output length — שורות שמחזירות הרבה יותר מהבסיס הקטן של תוצאות ריקות מעידות על חיפושים שהחזירו תוכן .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "קמפיין "City-Forum" חושף פרצת אבטחה חמורה: גישה לאורחים (Guest Access) ב-Salesforce ו-ServiceNow"?
'City Forum' הוא קמפיין ongoing ששואב נתונים מפורטלי Salesforce Experience Cloud ו ServiceNow (Service Portals) מאז לפחות מרץ 2025, תוך ניצול הרשאת גישת אורח (Guest User) ברירת מחדל — ללא ניצול פרצות אבטחה, גניבת אישי...
What are the key points to validate first?
'City Forum' הוא קמפיין ongoing ששואב נתונים מפורטלי Salesforce Experience Cloud ו ServiceNow (Service Portals) מאז לפחות מרץ 2025, תוך ניצול הרשאת גישת אורח (Guest User) ברירת מחדל — ללא ניצול פרצות אבטחה, גניבת אישי... התוקף השתמש בכלי ייעודי (Custom Toolset) הכולל בינארי Go אחד שתוקף גם את מסגרת Aura ו LWR (Lightning Web Runtime) של Salesforce וגם נקודת קצה חיפוש (Search Endpoint) של ServiceNow.
What should I do next in practice?
רישומי ביקורת (Audit Logs) סטנדרטיים לא חושפים אילו נתונים ספציפיים נגנבו: ב ServiceNow הגוף (Body) של בקשת ה POST נעלם מהלוגים, וב Salesforce התעבורה נראית לגיטימית, והלוגים מתעדים בקשות אך לא את תכולת התשובות.
