City-Forum攻击活动：神秘攻击者利用配置失误持续17个月枚举Salesforce与ServiceNow门户数据

安全研究机构Reco于8月12日披露了一项名为City-Forum的持续性网络攻击活动。攻击者基于域名city-forum.com及其关联服务器158.220.87.79，使用自行开发的Go语言工具集，在长达17个月的时间内对全球多个Salesforce与ServiceNow门户实施数据枚举。该基础设施自2025年3月起指向同一服务器，攻击期间未更换IP与域名，显示出明显的长期性与针对性。

在Salesforce平台，攻击者针对Experience Cloud的Aura接口调用HostConfigController.getConfigData与SelectableListDataProviderController.getItems来列举并分页读取访客用户可见的账户、联系人、案例、线索、用户及内容文档，并对Lightning Web Runtime(LWR)站点通过UI API的GraphQL层进行数据枚举，扫描API版本v56至v66以寻找可用端点；在ServiceNow平台，攻击者利用原生服务门户搜索端点/api/now/sp/search在未授权状态下获取知识库与自定义搜索源暴露的敏感信息。

Reco观察到，在攻击最活跃的Salesforce目标上，来自攻击者IP的事件请求超过56万次，几乎全部为枚举访客数据的尝试。该攻击的核心并非利用平台漏洞，而是利用企业自身配置失误——访客用户权限过高、共享规则设置不当、LWR公共API开放、搜索源缺乏登录门槛等。攻击全程无需用户操作、登录或MFA事件，隐蔽性极强。

Reco指出，该攻击者与今年3月利用Experience Cloud访客账户窃取数据的ShinyHunters组织手法不同，目前无法确认其身份。该事件再次警示：在云平台安全责任共担模型下，用户侧的权限配置管理至关重要，企业应定期审计访客用户的最小权限原则、关闭不必要的公共API、限制搜索源读取条件，并对异常高频的枚举行为进行监控与阻断，以防配置失误演变为大规模数据泄露。