O Efeito Dominó Digital: De Salesforce para Google Workspace

A premissa da tecnologia moderna é a integração. Se um serviço A se conecta ao serviço B, então a sua vida se torna mais fácil. O problema, como demonstra o caso recente envolvendo a Salesloft, é quando essa lógica é explorada por agentes maliciosos. O Google Threat Intelligence Group (GTIG) acaba de soar o alarme: uma falha de segurança no agente de IA Salesloft Drift, que inicialmente parecia restrita a integrações com o Salesforce, agora se provou maior, atingindo contas do Google Workspace.

De acordo com o comunicado oficial do Google, a investigação revelou um novo vetor de ataque. No dia 9 de agosto de 2025, um ator de ameaças, rastreado como UNC6395, utilizou tokens de autenticação OAuth comprometidos da integração "Drift Email" para acessar o conteúdo de e-mails de um "número muito pequeno" de contas do Google Workspace. A lógica é implacável: se uma conta do Workspace foi configurada para se integrar ao Salesloft Drift, então ela se tornou um alvo em potencial. O Google faz questão de ressaltar que o invasor não teria como acessar outras contas no domínio de um cliente, apenas aquelas diretamente conectadas à ferramenta.

A campanha de roubo de dados, segundo o GTIG, começou por volta de 8 de agosto e se estendeu pelo menos até o dia 18. O objetivo principal do grupo UNC6395 parece ser a colheita de credenciais, vasculhando os dados exfiltrados em busca de chaves de acesso para outros serviços valiosos, como Amazon Web Services (AWS) e Snowflake.

A Resposta do Google: Contenção de Danos e Alerta Máximo

Diante da nova descoberta, a reação do Google foi imediata e drástica. A empresa revogou os tokens OAuth específicos usados no ataque e desativou completamente a funcionalidade de integração entre o Google Workspace e o Salesloft Drift, enquanto a investigação prossegue. Todos os administradores das contas impactadas foram notificados.

A mensagem do Google, conforme detalhado pela Ars Technica, evoluiu de um aviso direcionado para um alerta geral. A recomendação anterior, que focava em usuários com integração Salesforce, foi atualizada. Agora, o conselho é um imperativo de segurança: "trate qualquer e todos os tokens de autenticação armazenados ou conectados à plataforma Drift como potencialmente comprometidos." Em outras palavras, na dúvida, a presunção é de que a segurança foi violada. Para adicionar uma camada extra à investigação, a Salesloft contratou os serviços da Mandiant, uma empresa de resposta a incidentes que, ironicamente, pertence ao próprio Google.

O Que Fazer Agora? Um Guia de Sobrevivência Digital

Para as empresas que utilizam a plataforma Salesloft Drift, o momento não é de pânico, mas de ação lógica e metódica. As recomendações do Google são claras e devem ser tratadas como prioridade máxima para evitar que o efeito dominó continue.

• Revisão Imediata: Analise todas as integrações de aplicativos de terceiros conectadas à sua instância do Drift. O painel de administração da ferramenta é o seu ponto de partida.
• Revogar e Rotacionar: Se um aplicativo estava conectado ao Drift, então suas credenciais devem ser revogadas e rotacionadas. Isso inclui chaves de API, senhas de contas de serviço e quaisquer tokens de autenticação. Não há margem para exceções.
• Investigação Forense: Verifique os logs de todos os sistemas conectados em busca de sinais de acesso não autorizado. O Google forneceu uma lista de endereços IP e strings de User-Agent associados ao grupo UNC6395, que podem ser usados como indicadores de comprometimento.
• Caça aos Segredos: Realize uma varredura ativa nos dados de suas plataformas integradas, como o Salesforce, em busca de segredos que possam ter sido expostos. Procure por padrões como chaves de acesso da AWS (que começam com 'AKIA'), credenciais do Snowflake ou simplesmente termos como 'password' e 'secret'.

Este incidente é um lembrete contundente de que, no ecossistema de nuvem interconectado, a segurança é tão forte quanto o seu elo mais fraco. Uma falha em um aplicativo de terceiros pode abrir portas para os ativos mais sensíveis de uma organização. A investigação da Mandiant ainda está em andamento, mas a lição já está clara: a conveniência da integração exige uma diligência de segurança constante e implacável.