In sintesi
Il 12 agosto 2026 la società di sicurezza SaaS Reco ha divulgato City-Forum, una campagna di furto dati attiva che colpisce Salesforce Experience Cloud e i portali ServiceNow esposti a Internet con impostazioni utente ospite eccessivamente permissive. L'operatore — identificato da un indirizzo IP costante (158.220.87.79) e dal dominio city-forum.com, attivo da marzo 2025 — invia richieste API non autenticate ad alto volume per enumerare e scaricare qualsiasi record leggibile dagli account ospite. L'organizzazione più colpita ha registrato oltre 560.000 eventi da un singolo indirizzo. I settori presi di mira includono telecomunicazioni, banche, servizi finanziari, fornitori di software enterprise e portali del settore pubblico.
Questa non è una CVE. Salesforce e ServiceNow non sono compromesse. Ciò che è compromessa è la configurazione dei portali che vi si appoggiano. Per i team che gestiscono integrazioni Salesforce Experience Cloud o deployment del portale ServiceNow Service Portal, l'azione richiesta è un audit delle autorizzazioni ospite — non un ciclo di patch.
Cos'è City-Forum?
Reco, un'azienda di sicurezza SaaS, ha tracciato una campagna di scraping persistente che ha denominato City-Forum dal nome dell'infrastruttura dell'attaccante: il dominio city-forum.com, che punta all'IP 158.220.87.79 sulla rete VPS tedesca di Contabo da marzo 2025. Tutte le richieste osservate utilizzano lo user agent predefinito Go-http-client/1.1, il che suggerisce un singolo operatore che esegue strumenti Go personalizzati senza alcun tentativo di mimetizzarsi con il traffico legittimo.
La premessa della campagna è semplice: se un portale Salesforce o ServiceNow consente agli utenti ospite — visitatori non autenticati — di leggere determinati record, tali record sono accessibili a chiunque conosca gli endpoint giusti. City-Forum individua e raccoglie sistematicamente tali record su larga scala. Secondo il ricercatore di Reco Nitay Bachrach, "Se l'ospite può leggere un record, chiunque su Internet può farlo. Non si tratta di una vulnerabilità della piattaforma."
La campagna è in corso da almeno un anno senza documentazione pubblica fino a questo mese. Il basso profilo dello user agent e l'assenza di una CVE hanno fatto sì che non comparisse nei tipici scanner di vulnerabilità o negli avvisi di patch, lasciando le organizzazioni colpite ignare che i loro portali venissero sfruttati.
Come funziona l'attacco su Salesforce
Salesforce Experience Cloud, in precedenza Community Cloud, consente alle organizzazioni di costruire portali rivolti a clienti e partner sui dati del proprio org. Gli utenti ospite — persone che accedono al portale senza effettuare il login — possono ottenere accesso a oggetti e record specifici tramite regole di condivisione. Quando tali regole sono troppo ampie, un utente ospite vede di fatto ciò che vede qualsiasi visitatore Internet: una porzione selezionata dei dati CRM.
City-Forum prende di mira due runtime del portale Salesforce. Sui siti che eseguono il framework Aura legacy, l'attaccante invia richieste POST ad alto volume agli endpoint /aura e /s/sfsites/aura, invocando controller come HostConfigController.getConfigData per mappare il modello di dati accessibile e SelectableListDataProviderController.getItems per estrarre record in blocco. Sui siti Lightning Web Runtime (LWR) più recenti, l'attaccante interroga il livello GraphQL a /webruntime/api/services/data/{version}/graphql — una tecnica che Reco descrive come assente dalla ricerca e dagli strumenti pubblicati in precedenza.
Un controllo aggiuntivo verifica se il portale consente la self-registrazione tramite /SiteRegister o /CommunitiesSelfReg. In tal caso, l'attaccante potrebbe escalare dall'accesso anonimo ospite a un account esterno legittimo, ampliando significativamente l'ambito di ciò che è accessibile.
Come funziona l'attacco su ServiceNow
Il Service Portal di ServiceNow è un'interfaccia comune per il supporto clienti e il self-service IT. Il suo endpoint di ricerca nativo, POST /api/now/sp/search?sysparm_cancelable=true, accetta query e restituisce record corrispondenti dalle fonti configurate. In molti deployment predefiniti del Service Portal, questo endpoint non richiede autenticazione — un fatto che City-Forum sfrutta interrogandolo per qualsiasi dato esposto agli utenti anonimi.
Reco osserva che questo endpoint "ha ricevuto scarsa attenzione pubblica", il che spiega in parte perché è rimasto una superficie di attacco attiva per oltre un anno. Le regole WAF e i rilevamenti SIEM focalizzati sugli endpoint Salesforce noti non avrebbero segnalato il traffico di ricerca del portale ServiceNow.
Chi viene preso di mira?
Reco ha osservato l'attività di City-Forum in cinque categorie: aziende di telecomunicazioni, banche e istituti di servizi finanziari, fornitori di software enterprise, aziende di cybersicurezza e portali del settore pubblico. Il filo conduttore è un portale esposto a Internet con impostazioni ospite permissive — il settore specifico è secondario. Qualsiasi organizzazione che ha distribuito un sito Salesforce Experience Cloud o un ServiceNow Service Portal lasciando le autorizzazioni ospite predefinite è un potenziale bersaglio.
Il volume può essere sostanziale. Il singolo target Salesforce più colpito ha registrato oltre 560.000 eventi dall'IP dell'attaccante. A quella scala, l'esfiltrazione dei dati non è incidentale — è sistematica. Per i settori regolamentati, l'esposizione non si limita all'inconveniente operativo: se i record raccolti contengono dati personali, un rilevamento di Reco costituisce anche un obbligo di notifica dell'incidente ai sensi dell'articolo 33 del GDPR e, per i dati sanitari statunitensi, potenzialmente della normativa di notifica delle violazioni HIPAA.
Cosa significa per i team software IT & UE
La prima implicazione è che la postura di sicurezza SaaS non coincide con la gestione delle patch SaaS. City-Forum non ha richiesto alcuna CVE e non ne riceverà alcuna. Ha sfruttato la deriva della configurazione — il lento accumulo di impostazioni permissive che spesso non viene revisionato dopo la configurazione iniziale del portale. I team che tracciano le CVE ed eseguono cicli di patch in modo puntuale non intercetteranno questa classe di esposizione senza un processo separato di audit delle autorizzazioni ospite.
La seconda implicazione è di natura regolamentare. Ai sensi del GDPR, le organizzazioni sono tenute ad adottare misure tecniche e organizzative adeguate per proteggere i dati personali (articolo 32). Le regole di condivisione ospite che espongono nomi dei clienti, recapiti, casi di supporto o dati finanziari a chiunque su Internet difficilmente soddisfano tale requisito. Un audit che chiude l'esposizione a City-Forum rappresenta anche un elemento di prova della postura di conformità, non soltanto una risposta agli incidenti.
In Italia, la campagna City-Forum colpisce settori particolarmente esposti: banche, telecomunicazioni e pubblica amministrazione sono tra i principali utenti di Salesforce Experience Cloud e ServiceNow Service Portal nel Paese. Il Garante per la protezione dei dati personali ha già dimostrato la propria incisività nell'applicazione del GDPR con sanzioni significative. In caso di violazione che coinvolga dati personali, l'obbligo di notifica all'autorità entro 72 ore (art. 33 GDPR) scatta immediatamente. Con l'entrata in vigore della NIS2 in Italia (D.Lgs. 138/2024), i soggetti nei settori critici devono inoltre rispettare obblighi di sicurezza più stringenti per le proprie applicazioni rivolte ai clienti. Un audit di configurazione non è solo una best practice: per molte organizzazioni italiane è già un requisito di conformità.
La terza implicazione è operativa. Gli strumenti di City-Forum enumerano gli oggetti disponibili prima di estrarli. In Salesforce, ciò significa che l'attaccante mappa il modello di dati accessibile prima di decidere cosa raccogliere. Se il portale espone record oltre a quelli di cui un ospite ha legittimamente bisogno, tale eccesso è visibile a qualsiasi operatore sufficientemente motivato. Il principio del privilegio minimo, standard nella progettazione del controllo degli accessi, si applica ugualmente agli account ospite dei portali.
Checklist di configurazione
Di seguito le azioni immediate raccomandate da Reco, con il relativo contesto operativo per ciascuna:
- Verificare le regole di condivisione degli utenti ospite in Salesforce. In Setup, revisionare le autorizzazioni del profilo Guest User e le regole di condivisione a livello di oggetto. Applicare il principio del privilegio minimo: un ospite dovrebbe leggere solo ciò di cui ha genuinamente bisogno come visitatore anonimo. Revocare l'accesso a qualsiasi oggetto non necessario allo scopo pubblico del portale.
- Disabilitare o limitare l'accesso agli endpoint Aura e LWR. Se il portale è basato su Aura e non richiede richieste API Aura non autenticate, limitare l'accesso tramite il profilo utente ospite di Salesforce. Per i siti LWR, revisionare l'esposizione delle query GraphQL in Experience Builder.
- Disabilitare la self-registrazione se non necessaria. Verificare se
/SiteRegistero/CommunitiesSelfRegsono attivi. Se la registrazione ospite non è una funzionalità necessaria del portale, disattivarla — elimina il vettore di escalation dei privilegi che City-Forum sonda. - Limitare la ricerca nel Service Portal di ServiceNow agli utenti autenticati. Revisionare le ACL delle fonti di ricerca del Service Portal. Assicurarsi che l'endpoint
/api/now/sp/searchrichieda una sessione autenticata prima di restituire risultati. - Limitare la velocità o bloccare 158.220.87.79. L'IP dell'attaccante noto è una mitigazione a breve termine mentre vengono applicate le correzioni di configurazione. Aggiungerlo alla blocklist WAF e monitorare i pattern di traffico Go-http-client sugli endpoint del portale.
- Revisionare le regole WAF del portale per i pattern Aura e LWR. I ruleset WAF standard potrebbero non segnalare richieste Aura o GraphQL dall'aspetto legittimo ad alto volume. Aggiungere regole di limitazione della velocità per questi endpoint basate sull'IP ospite anziché sulla sessione autenticata.
Domande frequenti
Cos'è la campagna City-Forum?
City-Forum è un'operazione di furto dati in corso smascherata dai ricercatori di Reco il 12 agosto 2026, che estrae sistematicamente record da Salesforce Experience Cloud e dai portali ServiceNow. La campagna sfrutta account utente ospite con regole di condivisione eccessivamente ampie, non vulnerabilità software. Tutta l'attività osservata proviene dall'IP 158.220.87.79 sulla rete VPS tedesca di Contabo, utilizzando lo user agent predefinito Go-http-client/1.1.
Come attacca City-Forum Salesforce?
L'attaccante invia richieste POST non autenticate agli endpoint Salesforce Aura (/aura, /s/sfsites/aura) per enumerare gli oggetti accessibili ed estrarre record, e interroga i siti Lightning Web Runtime (LWR) tramite GraphQL. Verifica inoltre la presenza di endpoint di self-registrazione che potrebbero consentire l'escalation dall'ospite a un account esterno autenticato.
Come attacca City-Forum ServiceNow?
L'attaccante invia richieste POST all'endpoint di ricerca nativo del Service Portal (/api/now/sp/search?sysparm_cancelable=true), che accetta query non autenticate in molte configurazioni predefinite del portale, restituendo qualsiasi record a cui la fonte di ricerca dell'utente anonimo ha accesso.
Esiste una patch per questa vulnerabilità?
Non esiste alcuna patch perché City-Forum non sfrutta una vulnerabilità software — sfrutta autorizzazioni ospite configurate in modo errato. Salesforce e ServiceNow non sono compromesse. La soluzione è la configurazione: limitare le regole di condivisione ospite, disabilitare l'accesso API anonimo non necessario e limitare la ricerca nel portale ServiceNow agli utenti autenticati.
Quali settori sono a rischio?
Reco ha osservato il targeting di telecomunicazioni, banche e servizi finanziari, fornitori di software enterprise, aziende di cybersicurezza e portali del settore pubblico. Qualsiasi organizzazione che gestisce un portale Salesforce Experience Cloud o ServiceNow Service Portal esposto a Internet con impostazioni ospite permissive è a rischio, indipendentemente dal settore.
Fonti
BleepingComputer — Attacchi di furto dati City-Forum prendono di mira portali Salesforce e ServiceNow, 12 agosto 2026 (copertura primaria)
The Register — Un attaccante misterioso ha passato un anno a saccheggiare i portali Salesforce e ServiceNow, 13 agosto 2026
Dark Reading — Campagna di furto dati di lunga durata che prende di mira Salesforce e ServiceNow, agosto 2026