En bref
Le 12 août 2026, la société de sécurité SaaS Reco a divulgué City-Forum, une campagne de vol de données active ciblant les portails Salesforce Experience Cloud et ServiceNow exposés sur Internet avec des paramètres invité trop permissifs. L'opérateur — identifié par une adresse IP constante (158.220.87.79) et le domaine city-forum.com, actif depuis mars 2025 — émet des requêtes API non authentifiées à volume élevé pour énumérer et télécharger tous les enregistrements lisibles par les comptes invités. L'organisation la plus touchée a enregistré plus de 560 000 événements provenant d'une seule adresse. Les secteurs ciblés incluent les télécommunications, les banques, les services financiers, les éditeurs de logiciels d'entreprise et les portails du secteur public.
Il ne s'agit pas d'un CVE. Salesforce et ServiceNow ne sont pas compromis. Ce qui est compromis, c'est la configuration des portails qui les précèdent. Pour les équipes qui gèrent des intégrations Salesforce Experience Cloud ou des déploiements ServiceNow Service Portal, la mesure à prendre est un audit des permissions invité — pas un cycle de correctifs.
Qu'est-ce que City-Forum ?
Reco, une société de sécurité SaaS, a suivi une campagne de scraping soutenue qu'elle a baptisée City-Forum d'après l'infrastructure de l'attaquant : le domaine city-forum.com, qui pointe vers l'IP 158.220.87.79 sur le réseau VPS allemand de Contabo depuis mars 2025. Toutes les requêtes observées utilisent le user agent par défaut Go-http-client/1.1, suggérant un opérateur unique exécutant des outils Go personnalisés sans aucune tentative de se fondre dans le trafic légitime.
La logique de la campagne est simple : si un portail Salesforce ou ServiceNow autorise les utilisateurs invités — des visiteurs non authentifiés — à lire certains enregistrements, ces enregistrements sont accessibles à toute personne connaissant les bons endpoints. City-Forum découvre et collecte systématiquement ces enregistrements à grande échelle. Selon le chercheur de Reco Nitay Bachrach : « Si l'invité peut lire un enregistrement, n'importe qui sur Internet le peut aussi. Ce n'est pas une vulnérabilité de la plateforme. »
La campagne est active depuis au moins un an sans aucune documentation publique jusqu'à ce mois-ci. Le user agent discret et l'absence de CVE ont fait qu'elle n'est pas apparue dans les scanners de vulnérabilités habituels ni dans les alertes de correctifs, laissant les organisations touchées ignorer que leurs portails étaient pillés.
Comment fonctionne l'attaque sur Salesforce
Salesforce Experience Cloud, anciennement Community Cloud, permet aux organisations de créer des portails orientés clients et partenaires basés sur les données de leur organisation. Les utilisateurs invités — des personnes qui accèdent au portail sans se connecter — peuvent se voir accorder l'accès à des objets et enregistrements spécifiques via des règles de partage. Lorsque ces règles sont trop larges, un utilisateur invité voit effectivement ce que tout visiteur Internet voit : une tranche sélectionnée de vos données CRM.
City-Forum cible deux environnements d'exécution de portails Salesforce. Sur les sites utilisant le framework Aura hérité, l'attaquant envoie des requêtes POST à volume élevé vers les endpoints /aura et /s/sfsites/aura, en invoquant des contrôleurs tels que HostConfigController.getConfigData pour cartographier le modèle de données accessible et SelectableListDataProviderController.getItems pour extraire des enregistrements en masse. Sur les sites Lightning Web Runtime (LWR) plus récents, l'attaquant interroge la couche GraphQL à /webruntime/api/services/data/{version}/graphql — une technique que Reco décrit comme absente des recherches et outils publiés précédemment.
Une vérification supplémentaire sonde si le portail autorise l'auto-inscription via /SiteRegister ou /CommunitiesSelfReg. Si c'est le cas, l'attaquant pourrait escalader d'un accès invité anonyme vers un compte externe légitime, élargissant considérablement ce qui est accessible.
Comment fonctionne l'attaque sur ServiceNow
Le Service Portal de ServiceNow est une interface courante pour le support client et le libre-service informatique. Son endpoint de recherche natif, POST /api/now/sp/search?sysparm_cancelable=true, accepte des requêtes et renvoie les enregistrements correspondants à partir des sources configurées. Dans de nombreux déploiements Service Portal par défaut, cet endpoint ne requiert pas d'authentification — un fait que City-Forum exploite en l'interrogeant pour obtenir toutes les données exposées aux utilisateurs anonymes.
Reco note que cet endpoint « a fait l'objet de peu d'attention publique », ce qui explique en partie pourquoi il est resté une surface d'attaque active pendant plus d'un an. Les règles WAF et les détections SIEM axées sur les endpoints Salesforce connus n'auraient pas signalé le trafic de recherche du portail ServiceNow.
Qui est ciblé ?
Reco a observé l'activité City-Forum dans cinq catégories : opérateurs de télécommunications, banques et établissements de services financiers, éditeurs de logiciels d'entreprise, entreprises de cybersécurité et portails du secteur public. Le point commun est un portail exposé sur Internet avec des paramètres invité permissifs — le secteur d'activité spécifique est secondaire. Tout organisme ayant déployé un site Salesforce Experience Cloud ou un Service Portal ServiceNow en conservant les permissions invité par défaut est une cible potentielle.
Le volume peut être considérable. La cible Salesforce la plus active a enregistré plus de 560 000 événements provenant de l'IP de l'attaquant. À cette échelle, l'exfiltration de données n'est pas accessoire — elle est systématique. Pour les secteurs réglementés, l'exposition ne se limite pas à un inconvénient opérationnel : si les enregistrements collectés contiennent des données personnelles, une constatation Reco constitue également une obligation de notification d'incident en vertu de l'article 33 du RGPD et, pour les données de santé américaines, potentiellement de la règle de notification de violation HIPAA.
Ce que cela signifie pour les équipes logicielles en France et en Europe
La première implication est que la posture de sécurité SaaS n'est pas équivalente à la gestion des correctifs SaaS. City-Forum n'a nécessité aucun CVE et n'en recevra aucun. Elle a exploité la dérive de configuration — l'accumulation progressive de paramètres permissifs qui passe souvent inaperçue après la mise en place initiale du portail. Les équipes qui suivent les CVE et respectent les cycles de correctifs selon le calendrier ne détecteront pas cette classe d'exposition sans un processus d'audit des permissions invité distinct.
La deuxième est réglementaire. En vertu du RGPD, les organisations sont tenues de mettre en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles (article 32). Des règles de partage invité qui exposent les noms de clients, coordonnées, dossiers de support ou données financières à toute personne sur Internet satisfont peu à cette exigence. Un audit qui corrige l'exposition City-Forum constitue également une preuve de conformité, et non seulement une réponse à un incident.
Pour le marché français, l'enjeu est particulièrement aigu. Les secteurs des télécommunications et des services financiers — parmi les principaux utilisateurs de Salesforce Experience Cloud et de ServiceNow en France — figurent explicitement parmi les cibles identifiées par Reco. La CNIL, reconnue pour son activité de contrôle et ses sanctions, exige une notification dans les 72 heures suivant la découverte d'une violation impliquant des données personnelles (article 33 du RGPD). L'ANSSI recommande par ailleurs une revue régulière des droits d'accès aux applications SaaS exposées sur Internet. L'absence d'audit des droits invité ne constitue pas seulement un risque opérationnel : c'est une non-conformité que les équipes françaises ont tout intérêt à traiter en priorité.
La troisième est opérationnelle. Les outils de City-Forum énumèrent les objets disponibles avant de les extraire. Dans Salesforce, cela signifie que l'attaquant cartographie votre modèle de données accessible avant de décider quoi collecter. Si votre portail expose des enregistrements au-delà de ce dont un invité a légitimement besoin, cet excédent est visible pour tout opérateur suffisamment motivé. Le principe du moindre privilège, standard en conception du contrôle d'accès, s'applique également aux comptes invités des portails.
Liste de contrôle de configuration
Voici les actions immédiates recommandées par Reco, accompagnées d'un contexte opérationnel pour chacune :
- Auditer les règles de partage invité dans Salesforce. Dans la configuration, passez en revue les autorisations du profil Utilisateur invité et les règles de partage au niveau des objets. Appliquez le principe du moindre privilège : un invité ne doit lire que ce dont il a réellement besoin en tant que visiteur anonyme. Révoquez l'accès à tout objet non requis pour la fonction publique du portail.
- Désactiver ou restreindre l'accès aux endpoints Aura et LWR. Si votre portail est basé sur Aura et ne nécessite pas de requêtes API Aura non authentifiées, restreignez l'accès via le profil invité de Salesforce. Pour les sites LWR, examinez l'exposition des requêtes GraphQL dans Experience Builder.
- Désactiver l'auto-inscription si elle n'est pas nécessaire. Vérifiez si
/SiteRegisterou/CommunitiesSelfRegsont actifs. Si l'inscription des invités n'est pas une fonctionnalité dont votre portail a besoin, désactivez-la — cela élimine le vecteur d'escalade de privilèges que City-Forum sonde. - Restreindre la recherche du Service Portal ServiceNow aux utilisateurs authentifiés. Examinez les ACL de la source de recherche pour votre Service Portal. Assurez-vous que l'endpoint
/api/now/sp/searchexige une session authentifiée avant de renvoyer des résultats. - Limiter les requêtes ou bloquer 158.220.87.79. L'IP de l'attaquant connue est une mesure d'atténuation à court terme pendant que les corrections de configuration sont appliquées. Ajoutez-la à votre liste de blocage WAF et surveillez les patterns de trafic Go-http-client sur les endpoints du portail.
- Examiner les règles WAF pour les patterns Aura et LWR. Les jeux de règles WAF standard peuvent ne pas signaler les requêtes Aura ou GraphQL d'apparence légitime à volume élevé. Ajoutez des règles de limitation de débit pour ces endpoints basées sur l'IP invitée plutôt que sur la session authentifiée.
Questions fréquentes
Qu'est-ce que la campagne City-Forum ?
City-Forum est une opération de vol de données en cours, exposée par les chercheurs de Reco le 12 août 2026, qui extrait systématiquement des enregistrements depuis les portails Salesforce Experience Cloud et ServiceNow. La campagne exploite des comptes invité bénéficiant de règles de partage trop larges, et non des vulnérabilités logicielles. Toute l'activité observée provient de l'IP 158.220.87.79 sur le réseau VPS allemand de Contabo en utilisant le user agent par défaut Go-http-client/1.1.
Comment City-Forum attaque-t-il Salesforce ?
L'attaquant émet des requêtes POST non authentifiées vers les endpoints Salesforce Aura (/aura, /s/sfsites/aura) pour énumérer les objets accessibles et extraire des enregistrements, et interroge les sites Lightning Web Runtime (LWR) via GraphQL. Il vérifie également la présence d'endpoints d'auto-inscription pouvant permettre une escalade d'un accès invité vers un compte externe authentifié.
Comment City-Forum attaque-t-il ServiceNow ?
L'attaquant envoie des requêtes POST à l'endpoint de recherche natif du Service Portal (/api/now/sp/search?sysparm_cancelable=true), qui accepte des requêtes non authentifiées dans de nombreuses configurations de portail par défaut, renvoyant tous les enregistrements que la source de recherche d'utilisateur anonyme est configurée pour accéder.
Existe-t-il un correctif pour cette vulnérabilité ?
Aucun patch n'existe car City-Forum n'exploite pas une vulnérabilité logicielle — il exploite des permissions invité mal configurées. Salesforce et ServiceNow eux-mêmes ne sont pas compromis. Le correctif est une question de configuration : restreindre les règles de partage invité, désactiver l'accès API anonyme non nécessaire, et limiter la recherche du portail ServiceNow aux utilisateurs authentifiés.
Quels secteurs sont exposés ?
Reco a observé le ciblage des télécommunications, des banques et services financiers, des éditeurs de logiciels d'entreprise, des entreprises de cybersécurité et des portails du secteur public. Tout organisme gérant un portail Salesforce Experience Cloud ou ServiceNow Service Portal exposé sur Internet avec des paramètres invité permissifs est potentiellement ciblé, quel que soit son secteur d'activité.
Sources
BleepingComputer — City-Forum data-theft attacks target Salesforce, ServiceNow portals, 12 août 2026 (couverture principale)
The Register — Mystery attacker spent a year raiding Salesforce and ServiceNow portals, 13 août 2026
Dark Reading — Long-running Data Theft Campaign Targeting Salesforce, ServiceNow, août 2026