SalesBleed roba tu CRM en silencio
¿Sabías que tu CRM puede filtrarse sin que nadie haga clic en nada?
Agentforce tenía una brecha que vaciaba datos de clientes en silencio.
La plataforma de inteligencia artificial de Salesforce permite que cualquiera envíe un formulario público de captación de leads y cuele dentro instrucciones maliciosas sin autenticación ni permiso previo.
Esas instrucciones quedan dormidas en el CRM hasta que un empleado activa al agente con una pregunta rutinaria y desencadena la exfiltración de datos de cuentas.
El ataque no necesita víctima activa ni contraseña robada.
Todo empieza con un formulario Web-to-Lead que cualquier empresa expone para captar clientes. Un atacante rellena ese formulario con instrucciones ocultas en un campo aparentemente inofensivo, y Agentforce las almacena como un lead legítimo. Cuando un comercial pide al agente revisar sus contactos, el payload se activa: el subagente de CRM extrae nombres de cuentas y cifras de negocio, y los codifica en un subdominio controlado por el atacante.
Los datos salen antes de que nadie abra ningún enlace.
Cuando el chat de Agentforce renderiza esa imagen, el navegador resuelve el nombre de dominio. En ese instante, la consulta DNS llega al servidor del atacante con los datos codificados, sin petición HTTP visible. El robo ya está consumado. En despliegues integrados con Slack, la previsualización automática de enlaces disparaba la misma resolución DNS sin que el usuario tocara absolutamente nada.
Un solo formulario malicioso puede reactivarse una y otra vez indefinidamente.
El lead contaminado permanece en el CRM mientras nadie lo elimine, convirtiendo cada consulta rutinaria del empleado en una nueva exfiltración silenciosa. Salesforce ha reforzado las listas de URLs de confianza y actualizado la configuración de Agentforce en Slack para exigir confirmación explícita del usuario antes de ejecutar cualquier acción.
Este caso no es exclusivo de Salesforce.
Cualquier plataforma de IA con acceso a datos corporativos y capacidad de hacer peticiones externas comparte esta misma superficie de ataque.
Los agentes heredan permisos amplios y ejecutan instrucciones sin distinguir su origen real.
El impacto potencial abarca cuentas, contactos y pipelines completos: en empresas medianas eso puede representar miles de registros expuestos de golpe.
Filtrar no siempre requiere explotar un fallo complejo.
SalesBleed demuestra que basta con combinar un formulario abierto, un agente con permisos amplios y un canal de salida legítimo como DNS para extraer datos sin levantar ninguna alarma. Y eso abre una conversación más amplia sobre cómo están configurados estos sistemas.
El filtrado de salida no basta solo.
Salesforce intentó bloquear URLs maliciosas con su mecanismo de Trusted URLs, pero los investigadores sortearon el filtro combinando un dominio desconocido para el redactor con caracteres de terminación específicos. El sistema lo consideró malformado y lo dejó pasar, mientras el navegador resolvía el nombre igualmente. Este bypass demuestra que confiar únicamente en el filtrado de salida deja expuesta cualquier arquitectura de IA que procese contenido externo.
El prompt injection no necesitó escalar privilegios en ningún momento.
El ataque abusó de los permisos que el subagente de CRM ya tenía asignados por diseño. No hubo escalada, no hubo movimiento lateral clásico: el agente hizo lo que estaba autorizado a hacer, pero siguiendo instrucciones inyectadas por un tercero externo. Eso convierte la configuración de permisos mínimos en la defensa más crítica.
La persistencia del lead infectado multiplica el riesgo real.
A diferencia de un ataque puntual, aquí el payload vive en el CRM mientras nadie lo elimine. Cada consulta rutinaria de un empleado puede reactivarlo, convirtiendo un único formulario malicioso en una fuente continua de exfiltración silenciosa.
Salesforce no ha detectado explotación activa todavía.
La compañía confirmó haber reforzado los mecanismos afectados y actualizado configuraciones por defecto en Agentforce para Slack. Por el momento no hay evidencia de explotación in the wild, pero la ventana entre el descubrimiento de una técnica y su adopción por actores maliciosos suele ser muy corta.
Audita ya los permisos de tus agentes.
Si tu empresa usa Agentforce u otra plataforma similar con acceso a datos de clientes, audita qué objetos puede consultar el agente y qué canales de salida tiene habilitados.
Qué puedes hacer
- ✓Limita los objetos CRM que tu agente de IA puede consultar.
- ✓Activa confirmación de usuario en acciones de Agentforce con Slack.
- ✓Revisa leads almacenados y elimina registros con contenido sospechoso.
¿Sabes realmente qué datos puede ver y enviar tu agente de IA?
La seguridad no se improvisa, se audita. En Nacata Security detectamos vulnerabilidades y protegemos tu empresa, porque un solo fallo puede costarte todo lo que has construido.
Artículos relacionados
Zero-day desnuda Cisco ISE
Zimbra atrapada en espionaje ruso
Shodan escanea sin que lo notes
ShinyHunters asalta Cl0p
eMAPT conquista lo móvil
Nacata Security, contáctanos cuando quieras
Somos Nacata Security, conócenos
web: nacata.io
email: info@nacata.io
Teléfono: 919930793
LinkedIn: Nacata Security
Riesgos y ataques que están ocurriendo justo ahora: vulnerabilidades siendo explotadas activamente, alertas oficiales de organismos de ciberseguridad, campañas de phishing o malware en marcha.
Información pensada para actuar y protegerte antes de que el problema te llegue a afectar.
RATING
8.9
¿Quiénes somos?
En Nacata Security somos una empresa de ciberseguridad ofensiva especializada en auditorías y test de intrusión.
Detectamos, evaluamos y ayudamos a mitigar las vulnerabilidades de tus sistemas, redes y aplicaciones antes de que un atacante real las explote, ofreciendo una defensa 360º adaptada a cada cliente.
Estamos encantados de contactar contigo para lo que quieras.