단 하나의 서버가 Salesforce와 ServiceNow에서 17개월간 데이터를 훔친 방법

보안 취약점을 하나도 악용하지 않고, 자격 증명을 훔치지 않으며, 인증을 우회하지 않은 채로, 17개월 넘게 전 세계 Salesforce Experience Cloud 사이트와 ServiceNow 서비스 포털에서 데이터를 빼내온 미확인 위협 행위자가 있습니다. 공격자는 조직이 해당 플랫폼의 기본 게스트 사용자(익명) 접근을 통해 이미 공개적으로 접근 가능하게 해놓은 정보를 그대로 활용했을 뿐입니다.

보안 업체 Reco는 이 캠페인을 **시티-포럼(City-Forum)**이라고 명명했습니다. 공격자 인프라와 연결된 도메인 city-forum.com에서 이름을 따왔습니다. 2025년 3월부터 단일 임대 서버(독일 소재)를 이용해 통신사, 은행, 금융 서비스 기업, 엔터프라이즈 소프트웨어 업체, 공공 부문 포털에서 조직적으로 데이터를 수집해왔습니다.

취약점 없이 작동하는 방식

Salesforce와 ServiceNow는 모두 인증되지 않은 방문자를 위한 영구 게스트 사용자 계정을 기본으로 제공합니다. 이 게스트 사용자는 삭제할 수 없습니다. 각 조직이 게스트 사용자의 권한(읽기 가능한 레코드 및 개체)을 설정합니다. 게스트 프로필에 특정 레코드에 대한 읽기 권한이 있다면, 인터넷상의 누구든지 합법적인 API 엔드포인트를 통해 해당 레코드를 가져올 수 있습니다.

Salesforce (Aura 프레임워크):

• 공격 도구는 /aura 또는 /s/sfsites/aura 엔드포인트에 POST 요청을 보냅니다.
• 먼저 HostConfigController.getConfigData를 호출하여 게스트가 접근할 수 있는 개체(Account, Contact, Case, Lead, User, ContentDocument 등)를 열거합니다.
• 그런 다음 SelectableListDataProviderController.getItems를 사용하여 접근 가능한 각 개체의 모든 레코드를 페이지 단위로 가져옵니다.
• 가장 바쁜 단일 표적에서는 공격자 IP로부터 560,000건 이상의 이벤트가 기록되었으며, 거의 모두 게스트 Aura 열거 활동이었습니다.

Salesforce (LWR 프레임워크 — Lightning Web Runtime):

• 이는 야생에서 처음 관찰된 Salesforce UI-API 게스트 표면에 대한 공격입니다.
• 공격 도구는

  POST /webruntime/api/services/data/{version}/graphql?asGuest=true

  GraphQL 엔드포인트를 표적으로 삼아, 먼저 EntityDefinition으로 스키마를 열거한 다음 커서 기반 페이지네이션으로 레코드를 읽습니다.
• 발견된 각 LWR 사이트에 대해 API 버전 v56.0부터 v66.0까지 순차적으로 스캔합니다.

ServiceNow:

• 공격 도구는 /api/now/sp/search 엔드포인트를 표적으로 삼습니다. 이는 거의 문서화되지 않은 ServiceNow 서비스 포털 검색 API로, 온라인 문서나 오픈소스 도구에서 거의 언급되지 않습니다.
• 이 엔드포인트는 설계상 공개되어 있습니다. 어떤 데이터가 반환되는지는 전적으로 게스트 포털에 연결된 검색 소스와 해당 소스가 접근 제어를 적용하는지 여부에 달려 있습니다.

자가 등록 프로빙 (Salesforce):

• 공격 도구는 발견된 모든 Experience Cloud 사이트 경로에 /SiteRegister와 /CommunitiesSelfReg를 추가하여 자가 등록이 활성화되어 있는지 테스트합니다. 활성화된 경우, 게스트는 인증된 외부 사용자로 전환하여 훨씬 더 많은 데이터에 접근할 수 있습니다.

커스텀 툴셋과 인프라

• 출발 IP: 158.220.87.79, 독일 호스팅 제공업체 Contabo의 VPS에서 호스팅되며, 도메인 city-forum.com으로 확인됩니다(2002년에 등록되었다가 폐기된 후 재사용된 도메인).
• 동일한 IP가 2025년 3월부터 회전 없이 동일한 도메인을 유지하고 있습니다.
• 커스텀 Go 바이너리: 단일 Go 컴파일 도구로, 동일한 서버에서 Salesforce(Aura 및 LWR 모두)와 ServiceNow를 동시에 공격합니다. 이는 AuraInspector 같은 기성 도구가 아닌 커스텀 멀티플랫폼 툴셋입니다.
• 이 도구는 Go의 기본 Go-http-client User-Agent 문자열을 사용하므로 로그에서 쉽게 식별할 수 있습니다.

표적이 된 조직

Reco는 주요 표적을 다음과 같이 보고했습니다:

• 통신 사업자
• 은행 및 금융 서비스 기업
• 엔터프라이즈 소프트웨어 업체 (보안 및 데이터 개인정보 보호 회사 포함)
• 공공 부문 포털

표준 감사 로그로는 어떤 데이터가 유출됐는지 알 수 없는 이유

ServiceNow: 플랫폼의 트랜잭션 로그(syslog_transaction)는 /api/now/sp/search 요청의 POST 본문을 기록하지 않습니다. 방어자는 자동화된 검색이 발생했고 얼마나 많은 데이터가 반환되었는지(출력 길이 열을 통해) 확인할 수 있지만, 정확한 검색어나 어떤 특정 레코드가 검색되었는지는 확인할 수 없습니다.

Salesforce: 게스트 열거 트래픽은 정상 사이트 트래픽처럼 보이는 합법적이고 프로토콜을 준수하는 API 호출로 구성됩니다. 이벤트 모니터링은 게스트 사용자의 AuraRequest 및 Sites 이벤트 볼륨을 보여줄 수 있지만, 로그는 데이터가 요청되었음을 보여줄 뿐 GraphQL 또는 Aura 응답에서 반환된 구체적인 내용은 알 수 없습니다.

즉, 공격자가 있었고 얼마나 많은 데이터를 가져갔는지는 확인할 수 있지만, 정확히 어떤 레코드나 필드를 추출했는지는 재구성할 수 없습니다.

권장 대응 조치

Salesforce (Reco 권장 사항):

1. 게스트 공유 규칙 강화 — 가장 영향력이 큰 통제 항목입니다. 사이트가 공개적으로 제공하는 데 실제로 필요한 것 이상으로 게스트 사용자와 레코드를 공유하는 모든 공유 규칙을 제거하십시오.
2. 게스트 프로필에서 개체 및 필드 수준 권한 제거 — 익명 방문자에게 필요하지 않은 개체에 대한 읽기 액세스를 제거하십시오.
3. 게스트 프로필에서 "Access Activities" 권한 제거 (Tasks 및 Events 노출).
4. 게스트 사용자에 대해 "API Enabled" 비활성화.
5. 사이트가 실제로 필요하지 않은 한 자가 등록 비활성화.
6. 게스트 파일 액세스 및 구성원 표시 비활성화 — 게스트가 ContentDocument 파일을 검색하거나 다른 사이트 구성원을 열거할 수 없도록 합니다.
7. LWR 사이트 전용: Experience Builder → Workspaces → Administration → Preferences에서 "Allow guest users to access public APIs"를 선택 해제하십시오. 이렇게 하면 GraphQL 및 UI-API REST 엔드포인트가 한 번에 차단됩니다.

ServiceNow (Reco 권장 사항):

1. 게스트 포털을 해당 검색 소스에 매핑하십시오. sp_portal, m2m_sp_portal_search_source 및 sp_search_source 테이블을 확인하십시오. 공개 포털에 필요하지 않은 검색 소스를 분리하십시오.
2. 각 검색 소스의 로직 검토 — 특히 is_scripted_source, data_fetch_script 및 GlideRecordSecure(ACL 적용)를 사용하는지 일반 GlideRecord(적용 안 함)를 사용하는지 확인하십시오.
3. 지식 베이스 "Can Read" 사용자 기준 검토 — 게스트 검색을 통해 민감한 KB를 노출하는 "모든 사용자" 액세스가 있는지 확인하십시오.
4. 공유 규칙을 맹목적으로 편집하지 말고 잘못된 kb_uc_can_read_mtom 링크를 분리하십시오.

탐지 지침:

• Salesforce 이벤트 모니터링:

  USER_TYPE = 'Guest'

  의 다량의 getItems 및 getConfigData, /webruntime/.../vNN.0/graphql 버전 스위프, /SiteRegister 및 /CommunitiesSelfReg에 대한 히트를 찾으십시오.
• ServiceNow syslog_transaction: 게스트로 이루어진 /api/now/sp/search 요청을 찾으십시오. 출력 길이를 기준으로 정렬하십시오. 작은 빈 결과 기준선보다 훨씬 더 많이 반환되는 행은 콘텐츠를 반환한 검색을 나타냅니다.