Cyberkriminelle trenger ikke alltid avanserte hackerverktøy eller ukjente programvarefeil for å få tilgang til verdifulle data. En ny internasjonal kampanje viser hvordan angripere i økende grad utnytter funksjoner som allerede finnes i populære skytjenester. For små og mellomstore bedrifter (SMB-er) er dette en viktig påminnelse om at sikkerhet handler like mye om riktig oppsett og kontroll som om tekniske sikkerhetsløsninger.

En global kampanje mot forretningskritiske systemer

Forskere har avdekket en langvarig datainnhentingskampanje rettet mot Salesforce og ServiceNow, to av verdens mest brukte plattformer for kundeoppfølging, saksbehandling og tjenesteadministrasjon. Kampanjen har fått navnet «City-Forum» og har vært aktiv siden minst mars 2025. Ofrene finnes i Nord-Amerika, Europa og Asia, og omfatter alt fra finans- og telekomselskaper til teknologibedrifter og offentlige virksomheter.

Det oppsiktsvekkende er at angriperne ikke først og fremst har benyttet tradisjonelle sikkerhetshull. I stedet har de utnyttet funksjoner og tilgangsmekanismer som allerede finnes i løsningene, men som enkelte virksomheter kan ha konfigurert for å være mer åpne enn de burde være.

Angriperne har gjort hjemmeleksen sin

Ifølge forskerne bak rapporten har aktøren brukt betydelig tid på å forstå hvordan Salesforce og ServiceNow fungerer i praksis. De har utviklet egne verktøy for å kartlegge hvilke data som kan være tilgjengelige for gjestebrukere og andre brukere med begrenset tilgang.

Dette skiller kampanjen fra mange tidligere angrep, hvor kriminelle ofte baserer seg på offentlig tilgjengelige verktøy og kjente fremgangsmåter. Her har angriperne identifisert mindre kjente funksjoner og grensesnitt som få virksomheter er klar over at kan eksponere informasjon. Forskerne beskriver derfor aktøren som mer avansert enn mange andre grupper som tidligere har rettet seg mot de samme plattformene.

Hvilken informasjon kan være utsatt?

I Salesforce-miljøer har angriperne potensielt kunnet hente ut kundeinformasjon, kontaktlister, salgsmuligheter, brukerkontoer og ulike dokumenter. Tidligere undersøkelser av lignende eksponeringer har vist at slike data i enkelte tilfeller kan inkludere personopplysninger, økonomisk informasjon, supporthenvendelser og intern kommunikasjon.

For ServiceNow er kunnskapsbaser, hjelpedokumentasjon og tjenestekataloger blant de typene informasjon som kan bli tilgjengelige dersom tilgangskontrollene ikke er satt opp riktig. Siden ServiceNow kan tilpasses svært mye, vil konsekvensene variere fra virksomhet til virksomhet.

Hvorfor er dette relevant for norske SMB-er?

Mange norske SMB-er har de siste årene flyttet stadig flere forretningsprosesser til skybaserte tjenester. Dette gir fleksibilitet, reduserer behovet for lokal drift og gjør det enklere å samarbeide med kunder og partnere.

Samtidig oppstår en utfordring: Ansvarsforholdene kan bli uklare. Mange antar at leverandøren automatisk håndterer alle sikkerhetsaspekter, men i praksis har virksomheten selv ansvar for hvordan tjenestene konfigureres, hvilke data som gjøres tilgjengelige, og hvem som får tilgang.

Denne kampanjen viser at selv anerkjente skytjenester kan bli en risiko dersom tilgangsstyringen ikke følges opp over tid.

En del av en større trend

Saken er også et eksempel på en utvikling sikkerhetsbransjen har observert i flere år. Angripere går stadig oftere etter tredjepartsleverandører og forretningskritiske skytjenester fordi disse kan gi tilgang til store mengder informasjon gjennom ett enkelt system.

Parallelt ser vi at trusselaktører blir mer profesjonelle. De kombinerer kartlegging, automatisering og i enkelte tilfeller kunstig intelligens for å effektivisere både rekognosering og datainnhenting. Målet er ikke nødvendigvis å bryte seg inn gjennom avanserte sikkerhetshull, men å identifisere informasjon som allerede er tilgjengelig på grunn av feil eller mangelfulle innstillinger.

Hva bør SMB-er gjøre nå?

For ledere i små og mellomstore virksomheter er budskapet klart: Sikkerhet handler ikke lenger bare om antivirusprogrammer og brannmurer. Like viktig er kontroll over skytjenestene virksomheten bruker hver dag.

Virksomheter som benytter Salesforce eller ServiceNow bør:

• Gjennomgå hvilke områder som kan nås uten innlogging.
• Kontrollere hvilke data gjestebrukere kan se.
• Revidere brukerrettigheter og delingsregler jevnlig.
• Fjerne tilganger som ikke lenger er nødvendige.
• Sørge for at sikkerhetsgjennomganger av skytjenester inngår i ordinær risikostyring.

Forskerne understreker at de observerte hendelsene primært skyldes feilkonfigurasjoner og ikke svakheter i standardinstallasjonene av produktene. Derfor er regelmessige sikkerhetsgjennomganger avgjørende.

Den viktigste lærdommen

Tradisjonelt har mange tenkt på cyberangrep som noe som skjer når en hacker finner et avansert sikkerhetshull og bryter seg inn. Dagens trusselbilde ser ofte annerledes ut. I mange tilfeller handler det om å finne informasjon som ligger tilgjengelig fordi ingen har oppdaget at en digital dør står på gløtt.

For norske SMB-er er dette en viktig påminnelse om at oversikt over egne skytjenester er blitt en del av virksomhetens grunnleggende risikostyring. Kundeinformasjon, interne dokumenter og forretningskritiske data er verdifulle ressurser. Å sikre at disse ikke er tilgjengelige for uvedkommende, er i dag like viktig som å låse ytterdøren til kontoret.

Kilder:  Næringslivets Sikkerhetsråd – Heimdal, Dark Reading, «Long-running Data Theft Campaign Targets Salesforce, ServiceNow» (12. august 2026) og analyse fra Reco Cybersecurity.