Nach Darstellung von Reco nutzt der Angreifer übermäßig großzügige Freigaberegeln, Berechtigungen oder Portal-Konfigurationen aus. Sowohl Salesforce Experience Cloud als auch ServiceNow arbeiten mit Gastkonten für nicht angemeldete Besucher. Erhalten diese Konten Zugriff auf Datensätze, können diese Informationen über verschiedene API-Endpunkte grundsätzlich von jedem im Internet abgerufen werden.
Bei Salesforce zielt der Großteil der beobachteten Aktivität auf das ältere Aura-Framework. Dabei werden Anfragen an die Endpunkte /aura oder /s/sfsites/aura geschickt, um festzustellen, welche Objekte wie Accounts, Contacts oder Cases öffentlich erreichbar sind. Reco zufolge ruft der Angreifer zunächst HostConfigController.getConfigData auf, um für das Gastkonto verfügbare Objekte aufzulisten, und nutzt danach SelectableListDataProviderController.getItems, um Datensätze aus zugänglichen Objekten abzurufen.
Das aktivste beobachtete Ziel verzeichnete laut Reco mehr als 560.000 Ereignisse von der Angreifer-IP-Adresse; fast alle standen im Zusammenhang mit der Aura-Aufzählung durch Gastnutzer. Solcher Missbrauch von Salesforce-Gastkonten ist nach Angaben der Forscher nicht neu und wurde bereits in Datendiebstahl-Kampagnen von ShinyHunters eingesetzt. ShinyHunters verwendete demnach zuvor eine modifizierte Version des Werkzeugs AuraInspector, um offengelegte Datensätze aus falsch konfigurierten Experience-Cloud-Portalen zu stehlen.
Der aktuelle Angreifer beschränkt sich jedoch nicht auf diese Aura-Endpunkte. Reco beobachtete auch Zugriffe auf mit dem neueren Lightning Web Runtime (LWR) aufgebauten Salesforce-Seiten. Dort werde die UI-API von Salesforce genutzt, um über Gastkonten freigegebene Daten per GraphQL-Anfragen an /webruntime/api/services/data/{version}/graphql abzuziehen. Reco erklärt, bislang keine öffentlich verfügbaren Angriffswerkzeuge gesehen zu haben, die diese Technik nutzen; bestehende Werkzeuge wie AuraInspector, S-RET und CirrusGo verwendeten die webruntime-Schnittstelle nicht.
Zusätzlich prüft der Angreifer bei Experience-Cloud-Seiten die Endpunkte /SiteRegister und /CommunitiesSelfReg, um festzustellen, ob Selbstregistrierung aktiviert ist. Das könnte es einem Gast erlauben, ein authentifiziertes externes Konto mit weiterreichendem Zugriff anzulegen.
Auch ServiceNow Service Portals stehen im Fokus. Hier missbraucht derselbe Angreifer nach Angaben von Reco den nativen Endpunkt POST /api/now/sp/search?sysparm_cancelable=true, dessen Missbrauch in Angriffen dem Unternehmen bislang nicht bekannt war. Der für die Suchfunktion der Portale vorgesehene Endpunkt akzeptiert anonyme Anfragen und kann Daten zurückgeben, wenn Suchquellen für Gastzugriff freigeschaltet sind. Durch variierte Suchbegriffe lasse sich offengelegte Information schrittweise auflisten; in einer untersuchten Umgebung stieg die Zahl solcher Anfragen von einigen Dutzend auf mehrere Hundert pro Tag.
Erschwert wird die Analyse laut Reco dadurch, dass ServiceNow-Transaktionsprotokolle den Inhalt der POST-Anfragen nicht speichern. Verteidiger könnten daher zwar erkennen, dass automatisierte Suchen stattgefunden haben und wie viele Daten zurückgegeben wurden, nicht aber die genauen vom Angreifer verwendeten Suchbegriffe.
Eine Verbindung zur Gruppe ShinyHunters sieht Reco trotz technischer Überschneidungen nicht belegt. Frühere Kampagnen wie jene von ShinyHunters hätten typischerweise mehrere Systeme und unterschiedliche IP-Adressen genutzt, während die „City-Forum“-Infrastruktur seit März 2025 auf derselben IP-Adresse verblieben sei. Reco rät Salesforce-Administratoren, Freigaberegeln für Gastnutzer, Objekt- und Feldberechtigungen, Dateizugriffe, Sichtbarkeit von Mitgliedern sowie Einstellungen zur Selbstregistrierung zu überprüfen. Für LWR-Seiten empfiehlt das Unternehmen außerdem, die Experience-Builder-Option zu deaktivieren, die Gastnutzern den Zugriff auf öffentliche APIs erlaubt, wenn diese nicht benötigt wird. ServiceNow-Administratoren sollten prüfen, welche Suchquellen über Service Portals offengelegt sind, und für sensible Datenquellen strikte Authentifizierung und Zugriffskontrollen durchsetzen.