Lühidalt: Reco tuvastas, et alates 2025. aastast aktiivse Salesforce’i ja ServiceNow’i portaalide vastu suunatud andmekraapimiskampaania taga on üksainus server (158.220.87.79).
Agenditurbe pakkuja Reco uurimistulemuste kohaselt on üksainus infrastruktuur juba üle aasta kogunud andmestikke mitme sektori Salesforce’i ja ServiceNow’i kliendiportaalidest. Kampaania, mida on nimetatud “City Forumiks” ründaja IP-aadressiga seotud domeeni järgi, on jälgitav tagasi ühe ainsa serverini.
Reco seostas selle tegevuse IP-aadressiga 158.220.87.79, mida haldab üks majutusteenuse pakkuja. Kampaania nimi “City Forum” pärineb domeenilt, mis turvateadlaste sõnul on selle IP-aadressiga seotud. Reco andmetel on juurdepääsud toimunud pidevalt alates 2025. aastast ja puudutavad mitme sektori Salesforce’i ning ServiceNow’i kliendiportaale.
Turbejuhtide jaoks on oluline, et tegemist ei ole üksikute klientide juures aset leidnud üksikjuhtumitega, vaid süstemaatilise, pikema aja jooksul samast infrastruktuurist juhitud andmekraapimiskampaaniaga, mis on suunatud kahe laialt levinud SaaS-platvormi vastu — üks kliendisuhete halduseks ja teine IT-teenuste halduseks. Mõlemad süsteemid sisaldavad sageli tundlikke kliendiandmeid, tugipiletite infot ja sisemisi protsessiandmeid, mida saab loata juurdepääsu korral ära kasutada järelründeteks, näiteks sotsiaalinseneriaks või sihitud andmepüügikampaaniateks.
Käesolev allikas ei too avaldamise hetkel välja täiendavaid tehnilisi üksikasju kasutatud juurdepääsumeetodite, mõjutatud organisatsioonide ega lekkinud andmete mahu kohta. Turbevastutavad isikud peaksid lisama nimetatud IP-aadressi 158.220.87.79 ning “City Forum” kampaaniaga seotud indikaatorid oma ohuluure allikatesse ja kontrollima oma Salesforce’i ning ServiceNow’i keskkondade juurdepääsulogisid vastavate mustrite suhtes.
Allikas: thehackernews.com · Avaldatud 18. august 2026
Lumi AI News — tehisintellekti abil kureeritud vastavalt tehisintellektimääruse artiklile 50. Parafraseerimine ja klassifitseerimine Lumi News Pipeline v1.8.3 poolt.