Google suffers data breach in ongoing Salesforce data theft attacks

ShinyHunters cible les données Salesforce de Google et d’autres entreprises

Des attaques persistantes de vol de données ciblant les instances Salesforce d’entreprises majeures sont menées par le groupe ShinyHunters. Google a récemment révélé avoir été victime de ces mêmes attaques en juin, où un accès non autorisé à l’une de ses instances Salesforce a permis le vol de données clients relatives aux petites et moyennes entreprises. Les informations dérobées se limitaient à des données commerciales de base et largement publiques, telles que les noms d’entreprises et les coordonnées.

Les auteurs de ces attaques, que Google identifie comme ‘UNC6040’ ou ‘UNC6240’, sont en réalité le groupe de menace connu sous le nom de ShinyHunters. Ce groupe est réputé pour de nombreuses autres violations de données impliquant des entreprises comme PowerSchool, Oracle Cloud, AT&T, NitroPDF, Wattpad, MathWay, Snowflake, et récemment Adidas, Qantas, Allianz Life, Cisco, ainsi que les filiales de LVMH : Louis Vuitton, Dior et Tiffany & Co.

La méthode d’attaque principale repose sur des techniques d’ingénierie sociale, notamment le “vishing” (hameçonnage par la voix), visant les employés pour obtenir un accès aux environnements Salesforce. Une fois l’accès obtenu, les attaquants téléchargent des données clients dans le but d’extorquer les entreprises par le biais de rançons. Le non-paiement de ces rançons entraîne une fuite publique ou une vente des données sur des forums clandestins. Il est rapporté qu’une entreprise a déjà versé environ 400 000 dollars en Bitcoin pour empêcher la divulgation de ses données.

Points clés :

• Acteur de la menace : ShinyHunters (également identifié par Google comme ‘UNC6040’/’UNC6240’).
• Cible : Instances Salesforce d’entreprises.
• Méthode d’attaque : Ingénierie sociale, notamment le vishing.
• Victimes notables : Google, Adidas, Qantas, Allianz Life, Cisco, Louis Vuitton, Dior, Tiffany & Co.
• Données volées : Informations de contact et notes relatives aux entreprises (pour Google), potentiellement des données clients plus sensibles pour d’autres.
• Objectif : Extorsion de fonds par menace de fuite de données.
• Stratégie post-extorsion : Fuite publique ou vente des données.

Vulnérabilités :

• L’article ne mentionne pas de CVE spécifiques. Cependant, la vulnérabilité exploitable réside dans les processus d’ingénierie sociale permettant d’obtenir des accès non autorisés aux plateformes Salesforce et dans la configuration ou la sécurité des instances Salesforce elles-mêmes.

Recommandations :

• Les entreprises doivent renforcer leurs mesures de sécurité pour leurs instances Salesforce.
• La formation et la sensibilisation des employés aux techniques d’ingénierie sociale, en particulier le vishing, sont cruciales.
• Une surveillance proactive des activités suspectes au sein des plateformes CRM est nécessaire.
• La mise en place de contrôles d’accès stricts et d’une authentification forte est recommandée.

Source