Sécuriser vos portails SaaS est devenu une urgence : une campagne de vol de données baptisée « City-Forum » cible depuis des mois les portails clients et partenaires exposés par Salesforce et ServiceNow. Les attaquants n’exploitent aucune faille du logiciel : ils abusent de configurations trop permissives pour aspirer des tables entières de données clients. Ce tutoriel vous donne les étapes concrètes pour auditer et durcir vos portails SaaS en PME-ETI.
Comprendre l’attaque contre les portails SaaS
La campagne repose sur un principe simple : un portail public (Experience Cloud côté Salesforce, portail de service côté ServiceNow) sert des données au navigateur du visiteur. Si les contrôles d’accès au niveau des objets et des enregistrements sont mal calibrés, l’utilisateur invité — donc n’importe qui — peut interroger des objets qui ne lui étaient pas destinés.
Les opérateurs de City-Forum utilisent un outillage sur mesure qui énumère automatiquement les objets accessibles, pagine les résultats et exfiltre les enregistrements en tâche de fond. Le trafic ressemble à celui d’un utilisateur légitime, ce qui explique la durée de la campagne avant sa détection.
Pourquoi les PME-ETI sont concernées
- Un portail partenaire ouvert lors d’un projet ponctuel et jamais refermé.
- Des profils Guest User héritant de permissions larges par confort d’intégration.
- L’absence de journalisation des requêtes API côté SaaS, donc aucune alerte.
- Une responsabilité partagée mal comprise : l’éditeur sécurise la plateforme, vous sécurisez la configuration.
Tutoriel : auditer et sécuriser vos portails SaaS en 6 étapes
1. Inventorier les portails réellement exposés
Listez toutes les communautés, sites et portails publiés, y compris ceux créés pour un partenaire ou un salon. Pour chaque entrée, notez l’URL publique, le propriétaire métier et la date de dernière revue. Tout portail sans propriétaire identifié doit être dépublié.
2. Réduire les droits de l’utilisateur invité
Repartez d’un principe de moindre privilège strict : retirez tous les accès objets au profil invité, puis rajoutez uniquement ceux nécessaires à un parcours utilisateur validé. Côté Salesforce, activez le paramètre de sécurisation des enregistrements invités et forcez le partage par règle explicite. Côté ServiceNow, vérifiez les ACL read sur chaque table exposée au rôle public.
3. Fermer les API et les vues de liste
Une page peut être verrouillée alors que l’API REST sous-jacente reste ouverte. Testez vos endpoints en session non authentifiée et vérifiez qu’aucune requête n’énumère plus d’enregistrements que le parcours ne l’exige. Limitez la taille de page et interdisez les requêtes génériques.
4. Instrumenter la détection
Activez les journaux d’événements de la plateforme et exportez-les vers votre SIEM. Les signaux utiles pour repérer un vol de données : volumétrie de lecture anormale sur un objet, pagination continue depuis une même session, accès hors horaires ouvrés, adresses IP de sortie de VPN commercial.
5. Poser des seuils et des alertes
Définissez un seuil de lecture par session et par heure, puis alertez au-delà. Une exfiltration lente reste détectable dès lors que vous corrélez le cumul sur 24 heures et non la requête unitaire.
6. Rejouer l’audit tous les trimestres
Chaque déploiement, chaque nouveau flux d’intégration peut rouvrir un objet. Inscrivez la revue des portails SaaS dans votre plan de contrôle trimestriel, au même titre que la revue des comptes à privilèges.
Sécuriser vos portails SaaS : les erreurs à éviter
- Croire que le MFA protège : l’utilisateur invité n’a pas de compte, donc pas de MFA à appliquer.
- Se fier au WAF : le trafic est fonctionnellement légitime et chiffré côté application.
- Oublier les environnements de recette : ils contiennent souvent une copie des données de production.
- Ne pas conserver les journaux : sans rétention suffisante, l’analyse d’impact devient impossible.
Ce que la campagne change pour votre feuille de route
Le vol de données via SaaS déplace la surface d’attaque du réseau vers la configuration. Il ne s’agit plus de patcher un serveur mais de gouverner des droits qui évoluent à chaque sprint. Une démarche continue, outillée et pilotée par un SOC capable de consommer les journaux SaaS, est aujourd’hui le seul moyen de détecter ces campagnes longues et discrètes. C’est exactement la logique que nous appliquons chez ucyber.ai avec notre approche Agentic SOC : corréler en continu les signaux applicatifs plutôt que d’attendre l’alerte d’un antivirus.
Pour aller plus loin sur la gouvernance des accès et la détection d’intrusion en amont du chiffrement, lisez également Attaques par identité : la nouvelle porte des ransomwares et SOC saturé par l’IA : réduire le bruit des alertes.
Sécuriser vos portails SaaS ne demande ni budget exceptionnel ni projet de six mois : un inventaire honnête, un profil invité réduit au strict nécessaire et une détection sur la volumétrie de lecture suffisent à fermer la porte que City-Forum a empruntée pendant des mois.