Check Point® Software Technologies Ltd., empresa global en soluciones de ciberseguridad, advierte sobre un ataque sofisticado que ha expuesto una vulnerabilidad crítica en las integraciones SaaS. Según el Google Threat Intelligence Group, el grupo UNC6395 ha aprovechado tokens OAuth legítimos de la integración del chatbot Drift con Salesforce para extraer de forma silenciosa datos de clientes.

El incidente, ocurrido entre el 8 y el 18 de agosto de 2025, puso de manifiesto un punto ciego en la mayoría de las estrategias de ciberseguridad: las conexiones SaaS a SaaS. Miles de equipos de ventas dependen de la conexión entre Drift y Salesforce para sincronizar conversaciones y datos de clientes potenciales. Los tokens OAuth, que funcionan como llaves digitales entre aplicaciones SaaS, se convirtieron en el objetivo. Una vez comprometidos, permiten acceso sostenido sin disparar alertas típicas de autenticación.

Lo que preocupa de este ataque es el uso exclusivo de herramientas legítimas: sin patrones de inicio de sesión extraños, sin descargas sospechosas, solo llamadas API normales con tokens válidos. Salesforce y Salesloft han revocado los tokens de acceso y actualización de activos vinculados a Drift, mientras que Salesforce ha retirado la aplicación de AppExchange para su investigación.

La mayoría de las soluciones de seguridad SaaS monitorizan accesos de usuarios o inicios de sesión inusuales, pero no contemplan que los datos circulan continuamente entre aplicaciones. Una única integración comprometida puede abrir la puerta a información sensible de múltiples plataformas.

El ataque Drift–Salesforce se convierte en un caso de estudio perfecto de cómo debería ser la seguridad SaaS moderna. Para afrontarlo, resulta clave la monitorización en tiempo real de integraciones, que permita identificar y supervisar las conexiones SaaS a SaaS mediante integración por API, descubriendo todas las aplicaciones, servicios y tokens, y señalando volúmenes inusuales de exportación de datos, incluso cuando las llamadas API parezcan legítimas. A ello se suma la necesidad de aplicar analítica de comportamiento a los tokens OAuth, estableciendo líneas base de cómo se comporta cada integración y activando alertas o mecanismos de contención automatizada en caso de desviaciones. Igualmente, la visibilidad del movimiento de datos se vuelve esencial para rastrear transferencias masivas y detectar con rapidez intentos de exfiltración.

Más allá de la detección, el incidente Drift–Salesforce pone de relieve por qué las organizaciones deben replantearse su enfoque de seguridad SaaS. No basta con asegurar aplicaciones individuales; es imprescindible contar con visibilidad y control sobre todo el ecosistema SaaS.

SaaS Security, parte de Check Point SASE, aborda tres áreas críticas:

• Descubrimiento completo de SaaS: permite descubrir automáticamente todas las aplicaciones SaaS, shadow IT y puntos de integración en toda la compañía. Antes de asegurar un entorno SaaS, es necesario conocer exactamente qué existe en él.
• Evaluación de riesgos de integraciones: no todas las conexiones SaaS implican el mismo nivel de riesgo. La solución prioriza amenazas en función de la sensibilidad de los datos, el alcance del acceso y los patrones de comportamiento. Por ejemplo, la integración entre Salesforce y un sistema financiero requiere una monitorización distinta a la de la conexión entre Slack y un calendario.
• Automatización del cumplimiento: con regulaciones de privacidad de datos como RGPD que exigen a las organizaciones rastrear los flujos de datos, Check Point SaaS Security ofrece gestión automatizada del cumplimiento. Esto incluye capacidades de gestión de postura de seguridad SaaS (SSPM) que evalúan continuamente las configuraciones frente a las mejores prácticas de seguridad y los marcos regulatorios aplicables.

“Este incidente demuestra que proteger aplicaciones de forma aislada ya no es suficiente. Las empresas deben entender la seguridad SaaS como un desafío del ecosistema”, afirma Mario García, director general de Check Point Software para España y Portugal.