„City-Forum“: Angreifer lesen Daten aus falsch konfigurierten Experience-Cloud-Sites

Eine seit Monaten laufende Kampagne fragt über Gastzugänge Daten aus Salesforce-Portalen und ServiceNow ab. Eine Plattform-Lücke ist es nicht.

Das Sicherheitsunternehmen Reco hat eine Kampagne aufgedeckt, die Daten aus Salesforce Experience Cloud-Sites und ServiceNow-Serviceportalen abzieht. Reco nennt sie nach der zugehörigen Domain „City-Forum“. Die Infrastruktur ist seit März 2025 aktiv.

Wie die Angreifer vorgehen

Ausgenutzt wird keine Schwachstelle der Plattformen, sondern falsch konfigurierte Gastzugänge: Was nicht angemeldete Besucher sehen dürfen, fragen die Angreifer systematisch ab.

In Aura-basierten Sites ermitteln sie über den Controller HostConfigController.getConfigData, welche Objekte für den Gastnutzer sichtbar sind, und lesen dann über SelectableListDataProviderController.getItems Datensätze aus.
Auch Sites auf Lightning Web Runtime sind betroffen; hier nutzen die Angreifer die UI API und GraphQL-Anfragen.
Bei ServiceNow wird der Suchendpunkt des Serviceportals abgefragt.

Alle Zugriffe stammen laut Reco von einer einzigen IP-Adresse (158.220.87.79) bei einem deutschen VPS-Anbieter. In der am stärksten betroffenen Salesforce-Umgebung wurden mehr als 560.000 Ereignisse gezählt, fast alle Aura-Abfragen über den Gastnutzer. Zu den Zielen gehören Telekommunikationsanbieter, Banken, Softwarehersteller und Behördenportale.

Was Admins prüfen sollten

Welche Objekte und Felder sind für den Gastnutzer jeder Site lesbar? Alles, was nicht öffentlich sein muss, entziehen.
Sharing-Regeln für Gastnutzer und die Einstellung „Secure guest user record access“ überprüfen.
In den Logs nach Zugriffen der genannten IP-Adresse und nach auffällig vielen Aura-Aufrufen suchen.