FBI Internet Crime Complaint Center (IC3) opublikowało nowy komunikat ostrzegający klientów Salesforce przed trwającymi atakami dwóch grup zagrożeń: UNC6040 (znanej też jako ShinyHunters) oraz UNC6395.
🔍 UNC6040 (ShinyHunters)
- Aktywna od października 2024 r.
- Wykorzystuje inżynierię społeczną i vishing (phishing głosowy)
- Podszywa się pod wsparcie IT, aby nakłonić pracowników call center do:
- Podania poświadczeń lub kodów MFA
- Zainstalowania złośliwych aplikacji Salesforce podszywających się pod Data Loader
- Przyznania atakującym dostępu umożliwiającego wykradanie danych na dużą skalę
- Ofiary często później otrzymują żądania okupu w kryptowalutach
🔍 UNC6395
- Znana z kradzieży tokenów OAuth z integracji Salesforce z Salesloft Drift
- Wykorzystała skradzione tokeny do przejęcia setek środowisk Salesforce
- Salesforce i Salesloft unieważniły tokeny 20 sierpnia; Drift pozostaje wyłączony do odwołania
📌 Co mówi Salesforce
- W samym Salesforce nie ma żadnych luk w zabezpieczeniach
- Kampanie nie ograniczają się do integracji z Drift — dotyczą także innych aplikacji
🔐 Zalecenia FBI:
- Szkol pracowników call center w rozpoznawaniu inżynierii społecznej
- Wymagaj uwierzytelniania wieloskładnikowego odpornego na phishing
- Wdróż systemy uwierzytelniania, autoryzacji i rozliczalności (AAA)
- Egzekwuj kontrolę dostępu opartą na adresach IP
- Monitoruj logi i aktywność w przeglądarkach pod kątem anomalii
- Przeprowadzaj audyt i zabezpieczaj połączenia z podmiotami zewnętrznymi
⚠️ Dlaczego to ważne
To ostrzeżenie pokazuje, że czynnik ludzki (inżynieria społeczna) oraz integracje z aplikacjami firm trzecich nadal są najsłabszymi ogniwami platform chmurowych. Nawet bez luk w samym Salesforce atakujący wykorzystują zaufanie, tokeny dostępu i interakcje z pracownikami, aby wykradać wrażliwe dane klientów.
W Alcaeus Services pomagamy organizacjom zabezpieczać ich środowiska chmurowe, wdrażać solidne mechanizmy kontroli tożsamości i ograniczać ekspozycję na zagrożenia związane z phishingiem i łańcuchem dostaw.
