Una nueva falla en Salesforce permite robar cuentas mediante Slack
El entusiasmo que despiertan las plataformas de inteligencia artificial interconectadas entre clientes e inversionistas suele dejar en segundo plano dos problemas críticos: la seguridad y la visibilidad. Una prueba reciente de ello es Salesbleed, un conjunto de tres vulnerabilidades descubiertas por investigadores de Zenity en Agentforce, el ecosistema de agentes inteligentes de Salesforce.
Estas fallas no solo permiten extraer información corporativa a cuentagotas por medio de formularios web, además, abren la puerta a algo mucho más peligroso, como engañar a los usuarios con ataques de phishing lanzados desde sus propios canales internos de Slack.
El origen de esta brecha de seguridad se remonta hasta hace un año (2025), cuando diversos analistas demostraron cómo robar datos corporativos aprovechando los formularios de captación de clientes o Web-to-Lead de Salesforce.
Estos registros representan uno de los pocos rincones de Internet donde las organizaciones aceptan e importan de forma voluntaria a sus sistemas datos casi arbitrarios, enviados por completos desconocidos.
Mientras que en el pasado un ciberdelincuente habría intentado colar código malicioso tradicional, en la era de los agentes autónomos basta con camuflar instrucciones en lenguaje natural. Al procesar el formulario, la IA asimila esa orden oculta y la ejecuta desde adentro, filtrando información confidencial hacia una dirección web controlada por el adversario.
En aquellos momentos, Salesforce intentó contener el problema puliendo sus reglas sobre URLs permitidas, sin embargo, como advirtieron entonces varios medios especializados, quedaron pendientes las correcciones estructurales sobre cómo la IA procesa las instrucciones.
La era de la inteligencia artificial ha llegado y, si bien se pueden solucionar diversos problemas de ciberseguridad con rapidez, pasa lo mismo con los atacantes, quienes diseñan malware a la misma velocidad. Ante esto, TIC Defense tiene para las empresas un conjunto de herramientas y servicios especializados en la prevención y en la respuesta rápida a todo tipo de incidentes potencialmente maliciosos.
Un año después, diversos equipos han comprobado que ese parche superficial no ha curado la infección de fondo y ha logrado replicar el ciberataque sorteando filtros con maniobras sencillas. Para los hackers maliciosos, el método resultaba muy cómodo; los formularios públicos impiden identificar o bloquear al autor, mientras el bot hace el trabajo sucio valiéndose de los generosos permisos que las corporaciones suelen concederles.
Hasta ese punto, la maniobra tenía un límite práctico, en donde cada instrucción solo sustraía los datos que entraran en el texto de un subdominio, algo menor salvo que se automatizaran miles de peticiones. No obstante, los agentes de Agentforce hacen mucho más que leer y enviar información.
Múltiples compañías los integran en Slack por medio de subagentes con permisos de lectura y escritura. Aunque suelen exigir confirmación humana e identifican al usuario responsable, estas protecciones no existían al responder dentro de un hilo.
De esta manera, un adversario podía ordenar desde un formulario web que el bot respondiera una conversación interna de Slack utilizando ingeniería social y enlaces fraudulentos, haciéndose pasar por un empleado o soporte técnico.
Luego del reporte, Salesforce ha asegurado que no hay rastro de ataques reales y ha actualizado Slack para exigir confirmación humana antes de enviar mensajes.
