Salesloft 데이터 침해

대규모 사이버 공격으로 Salesloft와 Drift AI 채팅 에이전트의 통합이 손상되어 해커가 OAuth를 훔치고 토큰을 갱신할 수 있게 되었습니다. UNC6395로 추적된 이 위협 행위자는 이렇게 훔친 토큰을 악용하여 Salesforce 고객 환경에 침투했습니다. 보안 전문가들은 700개 이상의 조직이 잠재적으로 영향을 받을 수 있다고 파악했습니다.

침해 타임라인

조사 결과, 악성 활동은 2025년 8월 8일부터 8월 18일까지 진행된 것으로 밝혀졌습니다. 이 기간 동안 공격자는 Drift에 연결된 손상된 OAuth 토큰을 활용하여 Salesforce 인스턴스에 침투했습니다. 침투 후, 공격자는 다음과 같은 민감한 자격 증명을 수집하기 위해 막대한 양의 기업 데이터를 유출했습니다.

• Amazon Web Services(AWS) 액세스 키
• 비밀번호
• 눈송이 관련 토큰

공격 방법 및 기술

이 캠페인의 가장 큰 특징은 UNC6395의 체계적인 정밀성입니다. 이들은 일회성 침입을 수행하지 않고 수백 개의 Salesforce 테넌트에 대해 체계적이고 반복적인 공격을 감행했습니다. 주요 관찰 결과는 다음과 같습니다.

엄격한 실행 – 자격 증명을 식별하고 추출하기 위해 체계적으로 쿼리를 실행했습니다.

운영 인식 – 공격자는 자신의 활동 흔적을 숨기기 위해 쿼리 작업을 삭제했습니다.

대상 선택 – 침해를 당한 조직 중 다수가 기술 및 보안 제공업체였으며, 이는 공급망 침투 시도일 가능성이 있음을 시사합니다.

이 그룹은 공급업체와 서비스 제공업체를 침해함으로써 고객 및 파트너 생태계로 공격을 확대할 수 있는 입지를 굳혔습니다.

Salesloft 및 Salesforce의 응답

Salesloft는 2025년 8월 20일, 침해 사실을 인정하고 Drift와 Salesforce의 모든 연결을 해제했음을 알리는 공지를 발표했습니다. Salesforce는 이에 이어 자체 성명을 발표하며 '소수의 고객'만 직접적인 영향을 받았다고 밝혔습니다. 두 회사 모두 사고 발생 후 즉각적인 조치를 취했습니다.

• 무효화된 활성 액세스 및 새로 고침 토큰
• AppExchange에서 Drift 제거
• 공격을 억제하고 영향을 평가하기 위해 협력했습니다.

Salesloft는 이 사건이 Salesforce 통합이 없는 조직에는 영향을 미치지 않는다고 강조했습니다.

더 광범위한 위협 환경

Salesforce 환경은 재정적으로 이득을 보는 집단에게 점점 더 수익성이 높은 공격 대상이 되고 있습니다. UNC6040과 UNC6240(ShinyHunters)과 같은 다른 클러스터는 SaaS 환경을 악용하는 것으로 알려져 있으며, UNC6240은 초기 접근 캠페인을 위해 Scattered Spider(UNC3944)와 파트너십을 맺기도 했습니다.

현재 UNC6395가 이러한 조직들과 연관되어 있다는 증거는 없으며, 이는 새롭고 독특한 위협 집단으로 분류됩니다. 그러나 그 활동의 규모, 집중도, 그리고 정교함은 UNC6395를 고위험 적대 세력과 동등한 수준으로 분류합니다.

완화 및 다음 단계

Salesloft는 조사 및 복구 작업을 지원하기 위해 타사 보안 업체와 협력하고 있습니다. Salesloft는 관리자에게 Salesforce 연결을 재인증하여 통합을 복원하고 추가적인 보안 조치를 취할 것을 촉구하고 있습니다.

주요 권장 사항은 다음과 같습니다.

• 기존 API 키 취소 및 순환
• 새로운 키로 Drift 통합 다시 연결
• 의심스러운 쿼리 및 잠재적인 데이터 노출에 대한 로그 검토
• 영향을 확인하기 위해 더 심층적인 조사를 수행합니다.

API 키를 통해 Drift 연결을 관리하는 조직의 경우, 사전 키 순환을 강력히 권장합니다. 하지만 Salesloft는 이미 OAuth 통합을 직접 지원하고 있습니다.

마지막 테이크어웨이

이 캠페인은 SaaS 생태계 내 서드파티 통합의 위험성이 커지고 있음을 보여줍니다. UNC6395는 도난된 OAuth 토큰을 악용하여 표적화된 은밀하고 공급망 중심적인 작전을 수행할 수 있는 역량을 보여주었습니다. 이 사건은 클라우드 기반 플랫폼이 강력함에도 불구하고 디지털 공급망 전반의 신뢰 관계를 악용하려는 위협 행위자들의 주요 표적이 여전히 남아 있음을 다시 한번 일깨워줍니다.