Microsoft, ShinyHunters grubununYEAR-Long Salesforce Veri Hırsızlığını Haritaladı. Saldırganlar, Salesforce ortamına girmek için platformda bir güvenlik açığından yararlanmadı.
Bunun yerine, şirketlerin zaten kurduğu güveni kullandılar. Genellikle Salesforce'i çevreleyen uygulamalara ve üçüncü taraf satıcılara bağlanan OAuth bağlantıları aracılığıyla giriş yaptılar.
13 Temmuz'da yayınlanan bir araştırmada, Microsoft, 2025 ortasından 2026 ortasına kadar süren kampanyaları üç ayrı teknikle eşleştirdi. Ayrıca, faaliyeti adreslemek amacıyla kimlik doğrulama günlüklerini kaçıran yeni algılama ve yönetim araçlarını tanıtmak için Salesforce ile işbirliği yaptı.
Bu, nedenini yakalamayı zor kılıyor. Bağlantı, halihazırda onaylanmış bir bağlı uygulama veya şirketin zaten güvendiği bir entegrasyon aracılığıyla geldiğinde, trafik normal kullanım olarak okunur ve oturum açma ve kimlik doğrulama izleme neredeyse hiç kaydedilmez.
Önemli olan, uygulama veya hesabın içeri girdikten sonra neler yaptığıdır ve bu, Salesforce günlüklerinin büyük çoğunluğunun göstermediği şeydir.
Microsoft, faaliyeti üç ayrı saldırı yoluna ayırıyor:
- Vishing aramaları ile çalışanları kötü niyetli bir bağlı uygulamayı onaylamaya kandırmak,
- Çalıntı OAuth tokenleri ile tehlikeye atılan yazılım satıcılarından ve
- Yanlış yapılandırılmış konuk erişimi ile Salesforce sitelerine erişim.
Her biri, geçen yılın bir Salesforce olayına karşılık geliyor ve Microsoft, faaliyeti perakende, eğitim ve imalat dahil olmak üzere çeşitli sektörlerde kiracılar arasında gördüğünü söylüyor.
