O ataque, atribuído ao grupo UNC6395, utilizou tokens OAuth para extrair silenciosamente informações de clientes. Estes tokens, que funcionam como chaves digitais, permitiram que os cibercriminosos acedessem aos dados através de chamadas API legítimas, tornando a atividade praticamente indetetável para as ferramentas de segurança tradicionais. A Palo Alto Networks confirmou que a violação ficou limitada à sua instância de Salesforce, usada para gestão de suporte, sem afetar os seus produtos ou serviços.

A Cloudflare também reportou um incidente semelhante, confirmando o acesso a uma instância interna da Salesforce.

A Google elevou o alerta ao revelar que o ataque também permitiu o acesso a um pequeno número de contas de email do Google Workspace, recomendando a todos os administradores que revoguem os tokens OAuth da aplicação Drift. Após a deteção, tanto a Salesloft como a Salesforce revogaram os tokens associados e a aplicação foi temporariamente removida da AppExchange.

O incidente serve como um caso de estudo sobre os riscos das interligações no ecossistema SaaS, onde o compromisso de uma única aplicação pode criar um efeito dominó, expondo dados sensíveis em múltiplas plataformas.