SaaS史上最严重供应链攻击：Salesloft Drift数据泄露事件深度剖析，700+企业遭殃
内容提要
2025年8月，Salesloft Drift数据泄露事件成为SaaS历史上严重的供应链攻击。攻击者UNC6395利用OAuth令牌漏洞，获取700多家企业的敏感数据。初始入侵源于GitHub账户失陷，攻击者长期潜伏，导致安全失效。事件揭示了第三方应用安全的关键弱点，企业需加强OAuth令牌管理和供应链风险控制。
关键要点
-
2025年8月，Salesloft Drift数据泄露事件是SaaS历史上最严重的供应链攻击之一。
-
攻击者UNC6395利用OAuth令牌漏洞，获取700多家企业的敏感数据。
-
初始入侵源于GitHub账户失陷，攻击者长期潜伏，导致安全监测失效。
-
事件揭示了第三方应用安全的关键弱点，企业需加强OAuth令牌管理和供应链风险控制。
-
攻击者通过窃取OAuth令牌绕过传统安全控制，获得同等信任权限。
-
攻击者在2025年8月8日至18日期间发起系统性数据外泄攻击，主要目标是凭证收集。
-
受影响企业包括Cloudflare、Palo Alto Networks和Zscaler等知名网络安全厂商。
-
泄露事件揭示了多个相互关联的安全失效，包括GitHub入侵和OAuth令牌管理不足。
-
企业应实施全面缓解策略，包括强化OAuth令牌安全和第三方集成审查。
-
事件表明复杂威胁组织如何利用信任关系对数百家企业造成广泛影响。
延伸解读
OAuth令牌管理的重要性
Salesloft Drift事件突显了OAuth令牌管理的关键性。攻击者通过窃取令牌绕过传统安全控制，获得了与用户相同的访问权限。企业应加强对OAuth令牌的保护，实施实时监控和异常检测，以防止类似事件的再次发生。
供应链安全的复杂性
此次数据泄露事件显示，单一的供应链漏洞可能导致广泛的影响。企业在选择第三方服务时，需进行严格的安全评估，并建立持续的监控机制，以降低潜在风险。供应链安全不仅关乎自身，还涉及到整个生态系统的安全。
长期潜伏的威胁
攻击者UNC6395的长期潜伏策略使其能够深入了解目标环境，识别攻击路径。这一策略提醒企业重视安全监测，及时发现异常活动，防止攻击者在系统内长期潜伏，造成更大损失。
延伸问答
Salesloft Drift数据泄露事件的主要原因是什么？
主要原因是攻击者UNC6395利用OAuth令牌漏洞，并通过GitHub账户失陷进行长期潜伏。
此次数据泄露事件影响了哪些知名企业？
受影响的企业包括Cloudflare、Palo Alto Networks和Zscaler等。
攻击者是如何绕过传统安全控制的？
攻击者通过窃取OAuth令牌获得同等信任权限，从而绕过传统安全控制。
企业应如何加强OAuth令牌的管理？
企业应实施基于mTLS或DPoP的访问令牌发送方约束，建立令牌轮换策略，并实时监控异常使用。
Salesloft Drift事件揭示了哪些安全弱点？
事件揭示了第三方应用安全、OAuth令牌管理不足和开发环境监控缺失等关键弱点。
如何防范类似的供应链攻击？
企业应实施全面的第三方风险管理计划，进行严格的供应商安全评估，并建立零信任架构。
