Pemerasan SaaS lewat Token OAuth: Kasus Salesloft Drift, Gainsight, dan Klue

Serangan OAuth SaaS menjadi pola pemerasan data yang berulang sejak Agustus 2025, ketika penyerang memakai token akses milik aplikasi pihak ketiga seperti Salesloft Drift, aplikasi Gainsight, dan Klue untuk menarik data Salesforce banyak organisasi tanpa memanfaatkan celah pada platform Salesforce itu sendiri. Per 29 Oktober 2026, rangkaian kasus ini menunjukkan bahwa token integrasi adalah akses istimewa yang harus dikelola seperti akun administrator.

Ringkasan Tiga Kasus

• Salesloft Drift (Agustus 2025): token OAuth dan refresh dari integrasi chat Drift dicuri. Google Threat Intelligence Group (GTIG) menyebut lebih dari 700 organisasi berpotensi terdampak dan melacak klaster ini sebagai UNC6395.
• Aplikasi Gainsight (November 2025): Salesforce mendeteksi aktivitas tidak wajar dan mencabut token aplikasi terkait; GTIG menyebut lebih dari 200 instance Salesforce berpotensi terdampak, sementara CEO Gainsight menyebut hanya segelintir pelanggan yang datanya terdampak.
• Klue (Juni 2026): kredensial integrasi lama yang tidak pernah dinonaktifkan dipakai masuk; TechCrunch melaporkan hampir 200 perusahaan terdampak, sedangkan Klue belum merilis angka resmi.
• Kerentanan platform: pada kasus Gainsight dan Klue, Salesforce menyatakan tidak ada indikasi bahwa masalahnya berasal dari kerentanan platform Salesforce; pada kasus Drift, jalur masuknya adalah token yang dicuri dari lingkungan Salesloft.

Serangan OAuth SaaS: Tiga Kasus Berurutan

Pada kasus Salesloft Drift, menurut hasil investigasi yang diumumkan Salesloft bersama Mandiant, penyerang mengakses akun GitHub Salesloft antara Maret dan Juni 2025, lalu masuk ke lingkungan AWS milik Drift dan mengambil token OAuth integrasi pelanggan. Menurut analisis GTIG, pada 8 sampai setidaknya 18 Agustus 2025 token itu dipakai untuk mengekspor data Salesforce dalam jumlah besar, lalu data itu disisir untuk mencari rahasia seperti kunci akses AWS, kata sandi, dan token Snowflake. Perusahaan yang mengonfirmasi data Salesforce mereka diakses antara lain Cloudflare, Palo Alto Networks, Proofpoint, PagerDuty, dan Tanium. Pada 20 Agustus 2025 Salesloft dan Salesforce bersama-sama mencabut seluruh token Drift yang aktif, dan Salesforce menarik Drift dari AppExchange selama investigasi.

Pada November 2025 Salesforce mengumumkan aktivitas tidak lazim yang melibatkan aplikasi terbitan Gainsight, mencabut semua token akses dan refresh aplikasi tersebut, dan untuk sementara menariknya dari AppExchange. Cara token itu awalnya diperoleh penyerang belum dijelaskan secara terbuka, sehingga dugaan apa pun soal asal-usulnya sebaiknya dibaca sebagai spekulasi.

Kasus Klue pada Juni 2026 paling memberi pelajaran. CEO Klue menyebut penyerang masuk lewat kredensial lama yang terkait sebuah layanan integrasi. Menurut Huntress, kredensial itu dibuat untuk menguji purwarupa integrasi pihak ketiga yang tidak pernah dipakai, sudah lama tidak digunakan, tetapi masih aktif. Penyerang lalu menanam pembaruan kode yang mampu memanen token OAuth pelanggan, dan menurut ReliaQuest menjalankan skrip otomatis ke REST API Salesforce selama kurang lebih 24 jam. Klue mendeteksi aktivitas itu pada 12 Juni 2026, mencabut kredensial OAuth pelanggan, dan menonaktifkan sejumlah integrasi. TechCrunch melaporkan bahwa Klue memberi tahu pelanggan bahwa pihaknya mencapai kesepakatan agar data curian tidak dipublikasikan, yang menurut media itu kuat mengindikasikan adanya pembayaran.

Mengapa Token OAuth Menjadi Jalur Pintas

Token OAuth adalah izin yang sudah disetujui. Ketika aplikasi pihak ketiga memegang token untuk membaca data CRM, penyerang yang mencuri token itu tidak memerlukan kata sandi, tidak memicu MFA, dan tidak muncul sebagai login yang janggal. Aktivitasnya tampak sebagai lalu lintas API dari aplikasi yang sah, sehingga pemantauan login standar tidak melihatnya.

Ada tiga kelemahan yang berulang. Pertama, token berumur panjang dan jarang diputar. Kedua, cakupan izinnya sering lebih luas daripada kebutuhan integrasi. Ketiga, tidak ada pemilik yang jelas: integrasi dipasang untuk sebuah pilot, lalu dilupakan, persis seperti kredensial uji coba pada kasus Klue. Ini adalah pelanggaran prinsip least privilege, yang dijelaskan di artikel kami tentang CIA Triad dan least privilege.

Atribusi: Terkonfirmasi, Diklaim, dan Masih Diperdebatkan

• Terkonfirmasi: sejumlah perusahaan mengumumkan sendiri bahwa data Salesforce mereka diakses, misalnya Cloudflare, Palo Alto Networks, dan PagerDuty pada kasus Drift, serta Huntress dan Recorded Future pada kasus Klue. Angka 700 lebih (Drift) dan 200 lebih (Gainsight) dari GTIG adalah organisasi yang berpotensi terdampak, bukan jumlah korban yang sudah dipastikan.
• Diklaim: ShinyHunters mengklaim kepada BleepingComputer telah mencuri sekitar 1,5 miliar record Salesforce dari 760 perusahaan lewat token Drift; angka itu belum diverifikasi secara independen. Kelompok pemeras bernama Icarus mencantumkan Klue sebagai korbannya.
• Dinilai, belum final: Google melacak kasus Drift sebagai UNC6395 dan saat itu menyatakan belum melihat bukti kuat yang mengaitkannya dengan kelompok lain. Untuk Gainsight, GTIG menilai ShinyHunters kemungkinan berada di baliknya. Keterkaitan kasus Klue dengan ShinyHunters atau UNC6395 belum didukung bukti yang cukup.

Sebagai latar, sejak pertengahan 2025 Google juga melaporkan klaster UNC6040 yang menelepon karyawan sambil menyamar sebagai dukungan TI agar mereka menyetujui versi palsu aplikasi Data Loader sebagai aplikasi terhubung; pemerasan setelahnya kerap memakai nama ShinyHunters. Pelajarannya sejalan dengan artikel kami tentang social engineering: manusia yang menyetujui izin juga bagian dari permukaan serangan.

Cara Bertahan dari Serangan OAuth SaaS

1. Inventarisasi. Daftar semua aplikasi terhubung di Salesforce dan SaaS lain, lengkap dengan pemilik dan alasan bisnisnya. Periksa apakah integrasi yang disebut di atas aktif pada jendela waktu insiden.
2. Cabut dan terbitkan ulang. Jika integrasi terdampak pernah aktif, perlakukan tokennya sebagai bocor: cabut, terbitkan ulang, lalu tinjau log untuk kueri massal.
3. Batasi cakupan dan umur. Beri izin minimum, pisahkan baca dan tulis, dan persingkat masa berlaku token untuk aplikasi yang tidak butuh akses permanen.
4. Pantau API, bukan hanya login. Aktifkan Salesforce Event Monitoring dan tinjau log kueri serta aktivitas autentikasi per aplikasi terhubung, seperti yang dianjurkan GTIG. Batasi juga rentang IP yang boleh dipakai aplikasi terhubung bila memungkinkan. Tanda yang patut dicurigai secara umum: ekspor bervolume besar, kueri dari alamat IP yang tidak biasa, dan aktivitas di luar pola jam normal integrasi.
5. Hapus yang tidak dipakai. Kredensial pilot, uji coba, dan integrasi usang dinonaktifkan dan dihapus sebagai bagian dari siklus hidup vendor.
6. Kelola seperti akun istimewa. Tunjuk pemilik, minta justifikasi tertulis, lakukan resertifikasi berkala, dan cabut otomatis saat integrasi dihentikan. Konsep ini selaras dengan Zero Trust.

Relevansi bagi Organisasi di Indonesia

Banyak perusahaan di Indonesia memakai CRM, helpdesk, dan alat analitik berbasis SaaS yang saling terhubung lewat OAuth. Risikonya sama: data pelanggan dapat keluar lewat vendor tanpa satu pun login karyawan terlihat janggal. Data pelanggan termasuk data pribadi, sehingga kebocorannya menyangkut kewajiban pelindungan data yang diringkas di artikel UU PDP bagi perusahaan. Kerangka risiko penyimpanan data di cloud dibahas di masalah keamanan data pada cloud computing. Jika Anda ingin integrasi SaaS organisasi ditinjau secara independen, tim kami menyediakan layanan asesmen keamanan.

Pertanyaan yang Sering Diajukan

Apakah Salesforce diretas pada kasus ini?

Tidak ada bukti ke arah itu. Salesforce menyatakan kasus Gainsight dan Klue tidak berasal dari kerentanan platformnya, dan pada kasus Drift token dicuri dari lingkungan Salesloft. Jalur masuknya adalah token milik vendor pihak ketiga atau kredensial yang tidak dijaga.

Apakah mengaktifkan MFA cukup untuk mencegahnya?

MFA penting, tetapi tidak menghentikan penggunaan token OAuth yang sudah diterbitkan. Karena itu token harus dibatasi cakupannya, dipersingkat umurnya, dan dipantau lewat log API.

Bagaimana tahu apakah organisasi saya terdampak?

Periksa apakah Drift, aplikasi Gainsight, atau Klue pernah terhubung ke SaaS Anda pada jendela waktu yang disebut di atas, lalu tinjau log API untuk ekspor atau kueri massal. Jika ragu, hubungi vendor dan tim keamanan Anda.

Kesimpulan

Tiga kasus ini memperlihatkan satu pola: penyerang mengincar kunci yang dititipkan ke vendor, bukan pintu depan. Per 29 Oktober 2026, langkah paling berguna tetap sederhana, yaitu inventaris, cakupan minimum, token berumur pendek, dan penghapusan integrasi yang sudah tidak dipakai. Untuk membangun kebiasaan itu di tim Anda, lihat kursus keamanan siber dari Linuxhackingid.