Kampanye City-Forum: Pencuri Data 'Halus' yang Mengincar Salesforce dan ServiceNow

Selama setidaknya 17 bulan, seorang aktor ancaman yang tidak dikenal secara diam-diam mengambil data dari situs Salesforce Experience Cloud dan ServiceNow Service Portal di seluruh dunia—tanpa mengeksploitasi satu kerentanan perangkat lunak pun, mencuri kredensial, atau melewati autentikasi. Penyerang hanya memanfaatkan apa yang telah dibuat oleh organisasi agar dapat diakses oleh publik melalui fitur guest user (akses anonim) bawaan platform.

Perusahaan keamanan Reco menamai kampanye yang sedang berlangsung ini City-Forum, diambil dari nama domain city-forum.com yang terdaftar di infrastruktur penyerang. Sejak setidaknya Maret 2025, satu server sewaan di Jerman secara sistematis mengambil data dari penyedia telekomunikasi, bank, perusahaan jasa keuangan, vendor perangkat lunak enterprise, dan portal sektor publik.

Cara Kerja Eksploitasi: Tanpa Kerentanan, Murni Konfigurasi

Baik Salesforce maupun ServiceNow memiliki akun guest user permanen untuk pengunjung yang tidak terautentikasi. Akun guest user ini tidak bisa dihapus. Izin mereka—data dan objek apa yang bisa mereka baca—dikonfigurasi oleh masing-masing organisasi. Jika profil guest memiliki akses baca ke suatu data, siapa pun di internet bisa mengambilnya melalui titik akhir API yang sepenuhnya sah.

Di Salesforce (framework Aura):

• Alat ini mengirim permintaan POST ke titik akhir /aura atau /s/sfsites/aura.
• Pertama, ia memanggil HostConfigController.getConfigData untuk mendata objek mana (Account, Contact, Case, Lead, User, ContentDocument, dll.) yang dapat diakses oleh guest.
• Kemudian, ia menggunakan SelectableListDataProviderController.getItems untuk mengambil semua data pada setiap objek yang dapat diakses.
• Target tersibuk mencatat lebih dari 560.000 event dari IP penyerang, hampir semuanya adalah enumerasi Aura sebagai guest.

Di Salesforce (framework LWR — Lightning Web Runtime):

• Ini adalah eksploitasi pertama yang teramati di lapangan terhadap permukaan guest UI-API Salesforce di situs LWR.
• Alat ini menargetkan titik akhir GraphQL di

  POST /webruntime/api/services/data/{version}/graphql?asGuest=true

  , pertama-tama mendata skema melalui EntityDefinition, kemudian membaca data dengan pagination berbasis kursor.
• Alat ini memindai versi API v56.0 hingga v66.0 secara berurutan terhadap setiap situs LWR yang ditemukan.

Di ServiceNow:

• Alat ini menargetkan titik akhir /api/now/sp/search—API pencarian Service Portal bawaan yang sebagian besar tidak terdokumentasi dan hampir tidak ada dokumentasi online atau alat sumber terbuka yang merujuknya.
• Titik akhir ini memang didesain untuk publik. Data apa yang dikembalikan sepenuhnya tergantung pada sumber pencarian mana yang terhubung ke portal yang menghadap guest dan apakah sumber tersebut memberlakukan kontrol akses.

Pengintaian pendaftaran mandiri (Salesforce):

• Alat ini menambahkan /SiteRegister dan /CommunitiesSelfReg ke setiap jalur situs experience yang ditemukan untuk menguji apakah pendaftaran mandiri diaktifkan. Jika ya, seorang guest dapat mempromosikan dirinya menjadi pengguna eksternal yang terautentikasi, mendapatkan akses ke lebih banyak data.

Alat Khusus dan Infrastruktur

• IP Sumber: 158.220.87.79, dihosting di VPS Contabo (penyedia hosting Jerman), meresolusi ke domain city-forum.com (domain yang didaftarkan pada tahun 2002, ditinggalkan, lalu digunakan kembali).
• IP yang sama telah membawa domain yang sama sejak Maret 2025 tanpa rotasi—setidaknya 17 bulan pada satu alamat.
• Custom Go binary: Satu alat yang dikompilasi dengan Go yang mengenai Salesforce melalui framework Aura dan LWR dan juga mengenai ServiceNow—semua dari server yang sama. Ini adalah perangkat alat multi-platform khusus, bukan alat siap pakai seperti AuraInspector.
• Alat ini menggunakan string User-Agent Go-http-client default Go, membuatnya mudah diidentifikasi di log.

Organisasi yang Ditargetkan

Reco melaporkan bahwa target utama meliputi:

• Operator telekomunikasi
• Bank dan perusahaan jasa keuangan
• Vendor perangkat lunak enterprise (termasuk perusahaan keamanan dan privasi data)
• Portal sektor publik

Mengapa Log Audit Standar Tidak Dapat Mengungkap Data yang Dicuri

Untuk ServiceNow: Log transaksi platform (syslog_transaction) tidak mencatat body POST dari permintaan /api/now/sp/search. Pembela hanya dapat melihat bahwa pencarian otomatis terjadi dan berapa banyak data yang dikembalikan (melalui kolom panjang output), tetapi tidak dapat menentukan istilah pencarian yang tepat atau data spesifik mana yang diambil.

Untuk Salesforce: Lalu lintas enumerasi guest terdiri dari panggilan API yang sah dan sesuai protokol. Meskipun Event Monitoring dapat menunjukkan volume event AuraRequest dan Sites dari pengguna guest, log hanya menunjukkan bahwa data diminta tetapi bukan konten spesifik dari apa yang dikembalikan dalam respons GraphQL atau Aura.

Dengan kata lain, Anda bisa melihat penyerang ada di sana dan berapa banyak yang mereka ambil, tetapi Anda tidak dapat merekonstruksi secara tepat data atau bidang mana yang mereka ekstrak.

Langkah Mitigasi yang Direkomendasikan

Untuk Salesforce (rekomendasi Reco):

1. Perketat aturan berbagi (sharing rules) guest—ini kontrol dengan dampak tertinggi. Hapus aturan berbagi apa pun yang membagikan data dengan Guest User di luar kebutuhan situs untuk melayani publik.
2. Hapus izin objek dan bidang (object- and field-level permissions) dari profil guest. Hapus akses baca pada objek yang tidak diperlukan situs untuk pengunjung anonim.
3. Hapus izin "Access Activities" dari profil guest (ini mengekspos Tugas dan Acara).
4. Nonaktifkan "API Enabled" pada pengguna guest.
5. Nonaktifkan pendaftaran mandiri (self-registration) kecuali situs benar-benar membutuhkannya.
6. Nonaktifkan akses file guest dan visibilitas anggota sehingga guest tidak dapat mengambil file ContentDocument atau mendata anggota situs lainnya.
7. Untuk situs LWR saja: Di Experience Builder → Workspaces → Administration → Preferences, hapus centang "Allow guest users to access public APIs." Ini akan menutup GraphQL dan titik akhir REST UI-API dalam satu langkah.

Untuk ServiceNow (rekomendasi Reco):

1. Petakan portal yang menghadap guest ke sumber pencarian mereka. Periksa tabel sp_portal, m2m_sp_portal_search_source, dan sp_search_source. Lepaskan sumber pencarian apa pun yang tidak diperlukan portal publik.
2. Tinjau logika setiap sumber pencarian—terutama is_scripted_source, data_fetch_script, dan apakah ia menggunakan GlideRecordSecure (pemberlakuan ACL) vs. GlideRecord biasa (yang tidak).
3. Tinjau kriteria pengguna "Can Read" basis pengetahuan—cari akses "Any User" yang tidak terkendali yang mengekspos KB sensitif melalui pencarian guest.
4. Lepaskan tautan kb_uc_can_read_mtom yang buruk daripada mengedit aturan berbagi secara membabi buta.

Panduan Deteksi:

• Salesforce Event Monitoring: Cari volume tinggi getItems dan getConfigData dari

  USER_TYPE = 'Guest'

  , pemindaian versi /webruntime/.../vNN.0/graphql, dan klik pada /SiteRegister dan /CommunitiesSelfReg.
• ServiceNow syslog_transaction: Cari permintaan /api/now/sp/search yang dilakukan sebagai guest. Urutkan berdasarkan panjang output—baris yang mengembalikan secara signifikan lebih banyak dari baseline hasil kosong kecil menunjukkan pencarian yang mengembalikan konten.