Uma investigação recente conduzida pela empresa de cibersegurança Reco revelou a existência de uma campanha automatizada e contínua que coleta registros confidenciais em portais das plataformas Salesforce e ServiceNow em escala global.
Batizada pelos pesquisadores como “City-Forum”, a operação foi identificada a partir do rastreamento de um domínio registrado originalmente em 2002, que permaneceu abandonado por anos e recentemente passou a responder no endereço IP de um servidor alugado na Alemanha.
A partir dessa infraestrutura, requisitantes anônimos mantêm consultas sistemáticas e ininterruptas aos ambientes de atendimento ao cliente, bases de conhecimento e portais públicos mantidos por grandes organizações.
O aspecto singular da campanha City-Forum reside no fato de que os agentes por trás da ação não utilizaram explorações de vulnerabilidades de dia zero, nem necessitaram de credenciais roubadas para obter acesso aos bancos de dados.
Certamente, o fluxo de dados coletados ocorreu através do uso estritamente regular dos sistemas, operando exatamente conforme foram projetados para funcionar.
O vetor de extração baseia-se na exploração de permissões excessivas atribuídas ao perfil de usuário convidado (Guest User), uma conta padrão e não removível presente nas arquiteturas do Salesforce Experience Cloud e do ServiceNow.
O papel do perfil Guest User na exposição de dados
Nas plataformas de gestão de clientes e serviços em nuvem, o perfil de Guest User é atribuído automaticamente a qualquer visitante não autenticado que acesse uma página pública de suporte ou portal corporativo.
No ambiente Salesforce, essa conta genérica vincula-se a regras de compartilhamento, perfis de visibilidade e APIs de interface do usuário, tais como os frameworks Aura e Lightning Web Runtime (LWR).
No entanto, quando as configurações de visibilidade de objetos e registros são definidas com permissões amplas pelos administradores do sistema, o perfil de convidado passa a ter capacidade de leitura sobre informações institucionais sensíveis.
No ecossistema ServiceNow, a estrutura opera de maneira análoga, onde o usuário visitante pode realizar consultas em tabelas e dados através de APIs como NowGraphQLService e NowTableService, caso a instância não restrinja rigorosamente os privilégios.
Pesquisadores de segurança destacam que o problema central não é uma falha de código no software do fornecedor, mas sim a discrepância entre o que as organizações pretendem manter público e o que efetivamente configuram como acessível na internet.
Como esse usuário convidado não pode ser excluído da plataforma, a simples manutenção de regras frouxas de compartilhamento expõe o conteúdo a qualquer entidade na rede.
Ferramental customizado e escopo das organizações impactadas
Análises técnicas indicam que a campanha utilizou um ferramental próprio e multiplataforma desenvolvido na linguagem Go, capaz de consolidar varreduras contra diferentes arquiteturas.
A ferramenta realiza requisições integradas tanto contra ambientes legados Salesforce Aura quanto contra implementações recentes baseadas em LWR, além de interagir simultaneamente com instâncias do ServiceNow a partir do mesmo servidor.
A operação se distingue de varreduras convencionais por utilizar chamadas de API direcionadas para enumerar e extrair registros em massa sem levantar alertas imediatos de intrusão.
Os dados levantados por análise de DNS passivo e registros de tráfego demonstram que a infraestrutura ligada ao domínio City-Forum permanece ativa desde pelo menos março de 2025, totalizando 17 meses de leitura ininterrupta nos portais afetados. O alcance das organizações consultadas abrange setores críticos da economia global, incluindo:
- Operadoras de telecomunicações e prestadoras de serviços de infraestrutura de rede;
- Instituições bancárias, corretoras e empresas do segmento de serviços financeiros;
- Desenvolvedores de software corporativo, incluindo provedores de segurança cibernética e privacidade de dados;
- Portais governamentais e sistemas de atendimento ao público do setor estatal.
Implicações para a gestão de acessos e visibilidade de dados
A continuidade das atividades da campanha evidencia os desafios associados à governança de dados em plataformas SaaS complexas.
Embora os fornecedores de tecnologia publiquem periodicamente guias de endurecimento de segurança e atualizações na matriz de permissões de visitantes, a responsabilidade final pela definição dos modelos de compartilhamento permanece com as empresas contratantes.
Certamente, a atividade observada destaca como a visibilidade da API de interface (UI API) pode ser explorada para mapear objetos internos quando a camada de controle de acesso não reflete adequadamente as políticas de privacidade da empresa.
Diante dos achados expostos pela comunidade de pesquisa, a análise de logs de auditoria e a revisão de regras de compartilhamento de objetos externos tornam-se elementos centrais na mitigação de exposições não intencionais.
No entanto, o encerramento de vetores de extração passiva exige uma auditoria contínua das permissões atreladas aos perfis de convidados, garantindo que a entrega de serviços públicos de suporte não comprometa o sigilo das informações corporativas armazenadas na nuvem.
