CRM近来Salesloft Drift聊天机器人引发数据外流事件持续扩散，美国云计算安全企业Zscaler上周发布公告遭到和Salesloft Drift相关的供应链攻击，导致Salesforce系统客户数据外流。

Salesloft Drift为和知名CRM系统Salesforce数据库集成的第三方聊天机器人，可用于自动化销售流程，管理潜在客户及联系资讯。

根据Zscaler公告，该公司得知使用的Salesloft Drift遭到攻击，原因出在它串联的OAuth权限被窃。这使攻击者得以访问与Salesloft Drift集成的Salesforce环境，包括外部客户使用的Salesforce系统。Zscaler经过调查，相信非授权攻击者成功访问了其Salesforce系统内的部分客户数据。

外流的客户数据形态包括姓名、公司电子邮件信箱、职称、电话、Zscaler产品授权和商业资讯、特定支持案件的明文内容，但不包含附件、文件和图片。该公司也强调，本事件影响仅限Salesforce系统，不影响Zscaler产品、服务或底层系统和基础架构。

Zscaler得知事件后，已撤销了Salesloft Drift对该公司Salesforce数据的访问权，为谨慎起见，他们也轮换了其他API访问权限，并和Salesforce启动详细调查。Zscaler说没有发现这批客户资讯遭滥用的证据。

此外该公司也将提升内部安全协议及防护机制，并展开所有使用的第三方服务供应商的风险评估，并且强化客服部门的客户验证流程，防范攻击者假冒客户进行社交工程攻击。

这是Salesloft Drift权限被窃引发的最新客户灾情。上周Google公告 ，除了Salesloft Drift和Salesforce的集成外，其他与Drift相连的系统，包含Drift Email都可能遭到滥用，进而影响了部分Google Workspace账号的邮件。Google建议所有Drift客户尽快撤销或轮换Drift的权限。