La brecha Zscaler: OAuth, SaaS y responsabilidad del desarrollador
El 31 de agosto de 2025, Zscaler confirmó una brecha de datos que no dependió de un firewall roto, una zero day o un endpoint comprometido. Los atacantes fueron a por algo más sutil y, en muchos entornos, más peligroso: tokens OAuth procedentes de una integración SaaS.
La intrusión expuso datos de clientes alojados en el entorno de Salesforce de Zscaler y formó parte de una campaña más amplia que afectó a más de 700 organizaciones. El punto de entrada fue el robo de tokens OAuth vinculados a la conexión entre Salesforce y Salesloft Drift.
Si eres desarrollador, ingeniero DevOps o construyes aplicaciones cloud nativas, este incidente debería hacerte frenar y replantear cómo integras y proteges tus sistemas.
OAuth, la espada de doble filo de las integraciones modernas
OAuth es brillante porque permite acceso delegado entre aplicaciones sin compartir contraseñas. Pero esa conveniencia tiene un coste. Cuando se implementa sin rigor o se dejan tokens activos indefinidamente, OAuth puede convertirse en una puerta trasera sin supervisión. Si un token se roba, el atacante no necesita MFA ni contraseñas. Solo necesita el token. Eso fue exactamente lo que pasó en el caso de Zscaler.
Resumen rápido de la brecha
Qué ocurrió: un grupo de atacantes identificado como UNC6395 utilizó tokens OAuth robados para acceder a instancias de Salesforce a través de integraciones con Salesloft Drift.
Cuándo: entre el 8 y el 18 de agosto de 2025.
Cómo: eludieron MFA aprovechando los tokens, emplearon scripts automatizados y exfiltraron datos de clientes.
A quién afectó: a más de 700 organizaciones, incluida Zscaler.
Qué se expuso: contactos, cargos, direcciones de correo, teléfonos, información de licencias y texto de casos de soporte en Salesforce. No se expusieron contraseñas ni datos financieros.
Por qué importa: el acceso basado en OAuth se explotó a escala, esquivando controles de seguridad tradicionales.
Por qué esto debe preocupar a desarrolladores e ingenieros
Ya no basta con asegurar el backend. Las conexiones entre aplicaciones, sobre todo a través de servicios de terceros, se están convirtiendo en el vector preferido por los atacantes. Y los equipos de desarrollo influyen directamente en cómo se construyen y operan estas integraciones.
Riesgos reales que vemos cada día
Muchos tokens no caducan salvo revocación explícita. Las scopes suelen ser demasiado amplias, por ejemplo full_access en vez de un simple read_contacts. Casi nunca se automatizan los flujos de revocación. Los registros de auditoría para accesos mediante token son inconsistentes o inexistentes. Y las integraciones se tratan como algo que se configura una vez y se olvida.
Anatomía técnica del incidente de Zscaler
Los atacantes reutilizaron tokens OAuth con permisos sobre datos de Salesforce. Con esos tokens pudieron eludir MFA, automatizar el ataque mediante scripts en Python para operar en cientos de organizaciones, y extraer metadatos y texto en claro de casos de soporte de Salesforce. No hizo falta fuerza bruta ni una vulnerabilidad de día cero. Fue abuso de credenciales a gran escala.
El patrón que se repite en la industria
Los atacantes no tuvieron que hackear el sistema en sentido clásico. Usaron un acceso que ya estaba concedido.
Errores habituales de desarrollo que pasan desapercibidos
Con frecuencia no se percibe OAuth como un riesgo activo. Errores comunes incluyen almacenar tokens de forma insegura en archivos .env subidos a repositorios, en localStorage del navegador o credenciales hardcodeadas; no implementar flujos de revocación; ignorar el principio de mínimo privilegio en las scopes por rapidez; y carecer de auditorías del uso de APIs de terceros.
Zero Trust no detiene lo que no monitorizas
Zscaler es pionera en Zero Trust. Paradójicamente, su brecha demuestra que Zero Trust falla si las apps de terceros se confían de forma implícita. Los tokens OAuth introducen una capa de confianza entre servicios que a menudo es permanente. No hay reverificación del usuario o del dispositivo tras emitir el token. Salvo revocación o rotación, ese token otorga acceso prolongado. Confiar en nada y verificar todo solo funciona si realmente verificas.
Qué deben cambiar los equipos de desarrollo
1. Audita periódicamente todas las integraciones OAuth. Revisa si siguen siendo necesarias, si las scopes son mínimas y cuándo se rotó el token por última vez.
2. Limita agresivamente las scopes. Pide solo los permisos imprescindibles. Si solo necesitas lectura de contactos, no solicites escritura ni privilegios administrativos.
3. Establece políticas de expiración. Usa tokens de corta duración y flujos de refresco con reautenticación cuando sea posible.
4. Monitoriza el consumo de APIs. Detecta patrones anómalos como nuevos dispositivos o IPs, descargas de alto volumen o accesos fuera de horario.
5. Gestiona secretos de forma segura. No almacenes tokens en código ni en configuraciones versionadas. Emplea bóvedas cifradas y almacenes de claves.
6. Crea flujos de revocación. Facilita que usuarios y equipos de seguridad revoquen el acceso de apps de terceros en cualquier momento.
Para DevOps y SecOps: amplía la visibilidad
No basta con observar la infraestructura. Necesitas trazabilidad de emisión y uso de tokens OAuth, comportamiento de apps de terceros dentro de plataformas core, movimientos de datos entre plataformas vía API y logs de acceso en SaaS conectados. Si tu SIEM no recoge actividad relacionada con OAuth, el punto ciego es mayor de lo que crees.
Hacia dónde va la seguridad SaaS
Lo ocurrido acelerará estándares sobre higiene de tokens y expiración, diligencia debida con proveedores de integraciones, notificación obligatoria de brechas en servicios de terceros y autorización continua frente a autenticaciones puntuales. Veremos más regulación que responsabilice tanto a proveedores SaaS como a sus clientes. La responsabilidad compartida se está convirtiendo en una realidad legal además de una buena práctica.
Si estás construyendo un producto SaaS
Recuerda que tus usuarios te confían sus datos y también los servicios a los que los conectas. Implanta un ciclo de vida estricto de tokens, registra y expón a los usuarios el historial de accesos, ofrece interfaces de revocación y auditoría de permisos, educa sobre riesgos y mejores prácticas de OAuth y prepara runbooks para responder a ataques basados en tokens. Las integraciones no son accesorias, forman parte de tu superficie de ataque.
Reflexión personal como desarrollador
He trabajado con integraciones de Salesforce, APIs de Google y CRMs internos. He reutilizado tokens, he concedido acceso total para que algo funcione y he escrito scripts que extraen datos para paneles sin pensar lo suficiente en seguridad. Esta brecha me hizo replantearlo todo. Las decisiones de desarrollo tienen consecuencias directas en seguridad. Tu configuración OAuth, tus scopes y tu lógica de refresco importan.
Conclusión: asegura lo invisible
Las brechas más peligrosas son las que no ves venir. Zscaler no cayó por malware ni ransomware, cayó por exceso de confianza. Como desarrolladores e ingenieros debemos aprender a proteger lo invisible: tokens, APIs, integraciones y procesos en segundo plano. Es ahí donde están apuntando los atacantes.
La próxima vez que implementes una integración, plantéate preguntas clave. Cuál es el acceso mínimo imprescindible. Qué ocurre si el token se filtra. Quién lo notará si se abusa de él.
Cómo puede ayudarte Q2BSTUDIO
En Q2BSTUDIO impulsamos la seguridad y la eficiencia de tus integraciones con un enfoque integral que combina aplicaciones a medida, software a medida, inteligencia artificial, ciberseguridad, servicios cloud AWS y Azure, servicios inteligencia de negocio y agentes IA. Nuestro equipo diseña arquitecturas seguras de extremo a extremo, aplica principios de mínimo privilegio, token lifecycle management y monitoreo continuo, y ejecuta pruebas de seguridad y hardening de integraciones. Si necesitas reforzar tu postura de ciberseguridad en entornos SaaS o cloud, o diseñar una estrategia multi cuenta con segmentación y automatización, podemos acompañarte.
Además, ayudamos a modernizar tus pipelines de datos y reporting con power bi y analítica avanzada, y a incorporar ia para empresas y agentes IA en tus flujos para detectar anomalías de uso de API en tiempo real. Si operas sobre AWS o Azure, contamos con prácticas especializadas y landing zones seguras para acelerar tus servicios cloud AWS y Azure.
Da el siguiente paso para que tus integraciones sean tan seguras como tu código. Tu negocio y tus usuarios lo agradecerán.