Salesforce

O grupo de extorsão ShinyHunters vazou dados de 13,5 milhões de contas de usuários da McGraw Hill, uma editora educacional global com receita anual de US$ 2,2 bilhões. O incidente ocorreu após uma violação no ambiente Salesforce da empresa, onde os atacantes exploraram uma configuração inadequada. A McGraw Hill confirmou a violação, mas assegurou que os dados internos e sistemas não foram afetados. O vazamento inclui informações pessoais, como nomes, endereços físicos, números de telefone e e-mails, que podem ser utilizados em ataques de phishing direcionados. O serviço de notificação de vazamentos Have I Been Pwned indicou que mais de 100GB de arquivos foram expostos, com dados de 13,5 milhões de contas. Além disso, o grupo ShinyHunters também está envolvido em vazamentos de dados de outras empresas, como a Rockstar Games. Este incidente destaca a vulnerabilidade de grandes organizações a ataques cibernéticos e a importância de uma configuração adequada de sistemas de segurança.

A empresa de educação McGraw-Hill confirmou que hackers exploraram uma configuração inadequada na plataforma Salesforce, resultando em acesso não autorizado a um conjunto limitado de dados internos. Em declaração ao BleepingComputer, a empresa afirmou que a violação não afetou suas contas do Salesforce, bancos de dados de clientes ou sistemas internos, e que os dados expostos são limitados e não sensíveis. A investigação, realizada com a ajuda de especialistas em cibersegurança, revelou que as informações não incluem números de Seguro Social, dados financeiros ou informações de estudantes. A McGraw-Hill tomou medidas imediatas para proteger as páginas afetadas e está colaborando com a Salesforce para reforçar as proteções. A situação se agrava com a ameaça do grupo de extorsão ShinyHunters, que afirma ter 45 milhões de registros do Salesforce com informações pessoais e ameaça divulgar os dados até 14 de abril, a menos que um resgate seja pago. Este incidente destaca a vulnerabilidade de organizações que utilizam plataformas amplamente adotadas, como a Salesforce, e a necessidade de vigilância contínua em relação a configurações de segurança.

A Gainsight, empresa de software de gestão de clientes, anunciou que um ataque cibernético afetou mais clientes do que o inicialmente reportado. A Salesforce, parceira da Gainsight, detectou atividades suspeitas em aplicações publicadas pela Gainsight, levando à revogação de acessos e tokens. O grupo de cibercrime ShinyHunters reivindicou a responsabilidade pelo ataque. Embora a Gainsight não tenha divulgado o número exato de clientes afetados, seu CEO mencionou que apenas alguns tiveram dados comprometidos. Como medida de precaução, empresas como Zendesk e HubSpot suspenderam integrações com a Gainsight. A Gainsight também listou produtos que estão temporariamente sem acesso ao Salesforce, como Customer Success e Community. Para mitigar riscos, a Gainsight recomenda que seus clientes rotacionem chaves de acesso e reautorizem aplicações conectadas. O incidente ocorre em um contexto de crescente atividade de ransomware, com o surgimento de uma nova plataforma chamada ShinySp1d3r, que apresenta características inovadoras e potencializa as ameaças cibernéticas. O ataque destaca a necessidade de vigilância constante e ações proativas para proteger dados sensíveis.

Recentemente, a Salesforce revogou todos os acessos ativos e tokens do aplicativo Gainsight após detectar atividade suspeita que resultou em acesso não autorizado a dados de usuários. Estima-se que até 200 instâncias da Salesforce tenham sido afetadas por uma campanha emergente que comprometeu tokens de autenticação OAuth de terceiros. O grupo hacker ShinyHunters, que já havia atacado outras plataformas, reivindicou a autoria do ataque, afirmando ter roubado dados de quase 1.000 organizações. A Gainsight, um dos aplicativos afetados, já havia sido alvo de um ataque anterior, mas não está claro se os incidentes estão interligados. A Salesforce, por precaução, removeu o Gainsight do AppExchange e revogou conexões com o Zendesk. Embora a empresa não tenha identificado vulnerabilidades em sua plataforma, a situação destaca a importância de monitorar aplicativos de terceiros e a segurança dos tokens de autenticação utilizados.

A Salesforce emitiu um alerta sobre atividades incomuns relacionadas a aplicativos publicados pela Gainsight que estão conectados à sua plataforma. A investigação preliminar sugere que essa atividade pode ter possibilitado o acesso não autorizado a dados de clientes da Salesforce através da conexão com esses aplicativos. Como medida de precaução, a empresa revogou todos os tokens de acesso e atualização associados a esses aplicativos e os removeu temporariamente do AppExchange. Embora a Salesforce não tenha revelado quantos clientes foram afetados, informou que todos foram notificados. A empresa enfatizou que não há indícios de que a vulnerabilidade tenha origem na plataforma Salesforce, mas sim na conexão externa dos aplicativos. O analista Austin Larsen, do Google Threat Intelligence Group, classificou a situação como uma campanha emergente, possivelmente ligada ao grupo de ameaças ShinyHunters, que já havia realizado ataques semelhantes anteriormente. Organizações são aconselhadas a revisar aplicativos de terceiros conectados à Salesforce e a revogar tokens de acesso para aplicações suspeitas.

Recentemente, o FBI, em colaboração com autoridades francesas, desativou domínios utilizados pelo grupo de hackers Scattered Lapsus$ Hunters, que estavam prestes a vazar dados roubados da violação de segurança envolvendo a Salesforce e a Salesloft. Apesar da ação, os vazamentos continuaram, com informações de mais de 40 empresas, incluindo grandes nomes como Qantas, Toyota e Disney, sendo expostas. O domínio breachforums.hn, que servia como um fórum de troca de informações entre cibercriminosos, foi um dos alvos da operação, sendo substituído rapidamente por um novo site no Tor. O grupo de hackers declarou que a era dos fóruns está chegando ao fim, sugerindo uma migração para grupos no Telegram, que oferecem maior resistência a ações de desmantelamento. Além disso, afirmaram que novos fóruns devem ser vistos como armadilhas criadas por pesquisadores de segurança e autoridades. A operação do FBI não resultou em prisões, permitindo que o grupo continuasse suas atividades. Essa situação destaca a evolução das táticas de grupos de hackers e a necessidade de vigilância constante por parte das empresas.

Um novo grupo de cibercrime, denominado Scattered Lapsus$ Hunters, lançou uma campanha de extorsão visando inquilinos corporativos da Salesforce em todo o mundo. Este grupo, associado a uma aliança chamada ‘Trinity of Chaos’, afirma ter roubado mais de um bilhão de registros da Salesforce entre maio e setembro de 2025, afetando grandes organizações como Toyota, FedEx e Disney. A campanha utiliza um modelo de extorsão como serviço (EaaS), onde os atacantes não criptografam dados, mas ameaçam divulgar informações sensíveis se o resgate não for pago. A técnica de phishing por voz (vishing) foi uma das principais táticas utilizadas, enganando as vítimas para que autorizassem integrações maliciosas em seus portais Salesforce. Embora o FBI tenha conseguido apreender a infraestrutura do grupo na superfície da web, a operação ainda está ativa no darknet. Especialistas em segurança alertam que essa mudança de foco para a monetização de dados representa um novo desafio para as organizações, que devem adotar controles de acesso rigorosos e monitorar continuamente suas credenciais expostas.

Um novo site de vazamento foi lançado pelo grupo de hackers conhecido como Scattered Lapsus$ Hunters, visando a extorsão de empresas que utilizam a plataforma Salesforce. O site, hospedado na rede Tor, exige pagamentos de resgate em troca da remoção de dados roubados. A origem desse ataque remonta ao final de 2024, quando os hackers utilizaram táticas de engenharia social, como o vishing, para obter acesso a ambientes corporativos da Salesforce. Eles conseguiram comprometer a plataforma Salesloft, extraindo credenciais e chaves de acesso armazenadas em repositórios de código. Isso permitiu que os atacantes acessassem o ambiente de nuvem da Salesloft, coletando tokens OAuth que possibilitaram a movimentação lateral em sistemas integrados. O site de extorsão foi lançado em 3 de outubro de 2025, listando clientes afetados e a quantidade de dados roubados, com um prazo para pagamento até 10 de outubro. Embora a Salesforce tenha afirmado que sua plataforma principal não foi comprometida, a flexibilidade de integração da plataforma apresenta riscos significativos. Especialistas em segurança recomendam a implementação de controles rigorosos sobre permissões de API e a adoção de autenticação multifator para mitigar esses riscos.

O Google, através de seu Grupo de Inteligência de Ameaças (GTIG), divulgou novas diretrizes técnicas para combater o grupo de ameaças UNC6040, que utiliza phishing por voz (vishing) para comprometer ambientes Salesforce. Em vez de explorar vulnerabilidades de aplicativos, os atacantes têm se baseado em engenharia social convincente para induzir funcionários a autorizarem aplicativos maliciosos conectados, obtendo acesso a dados corporativos valiosos. As operações do UNC6040 geralmente começam com chamadas que se fazem passar por suporte técnico, persuadindo os funcionários a autorizar ferramentas que parecem legítimas, como uma versão modificada do aplicativo Data Loader. Uma vez dentro, os atacantes podem acessar dados sensíveis rapidamente, incluindo informações de clientes e dados financeiros. O Google recomenda a implementação de autenticação multifatorial resistente a phishing, centralização de acessos via plataformas de Single Sign-On e verificação rigorosa em procedimentos de help desk. Além disso, sugere configurações rigorosas no Salesforce, como restrições de IP e permissões limitadas. O monitoramento em tempo real é essencial para detectar atividades suspeitas, e a correlação de dados entre plataformas como Salesforce, Okta e Microsoft 365 pode ajudar a identificar movimentos laterais de atacantes. Com a mudança de foco dos atacantes para manipulação baseada em confiança, as organizações são incentivadas a modernizar sua postura de segurança em SaaS.

Uma vulnerabilidade crítica, classificada com CVSS 9.4, foi descoberta na plataforma Agentforce AI da Salesforce, permitindo que atacantes realizem injeções de comandos maliciosos através de formulários Web-to-Lead. Essa falha, chamada ‘ForcedLeak’, pode resultar na exfiltração de dados sensíveis de clientes. O problema foi identificado por pesquisadores da Noma Labs, que alertaram os usuários da Salesforce sobre a necessidade urgente de aplicar patches. A vulnerabilidade afeta a funcionalidade Web-to-Lead, que captura automaticamente informações de leads durante campanhas de marketing. Os atacantes exploram a falha inserindo instruções maliciosas em campos aparentemente inofensivos, que são posteriormente executadas pelo agente AI da Salesforce. A falha se deve a falhas de validação de contexto, comportamento permissivo do modelo e uma política de segurança de conteúdo que permitiu o uso de um domínio expirado para a transmissão de dados. A Salesforce já lançou correções e recomenda medidas de mitigação, como a validação rigorosa de entradas e a auditoria de dados existentes. Este incidente destaca os desafios de segurança únicos apresentados por agentes de IA em ambientes empresariais, exigindo que as organizações adotem estruturas de segurança centradas em IA para proteger contra novos vetores de ataque.

Pesquisadores de cibersegurança revelaram uma falha crítica no Salesforce Agentforce, uma plataforma para criação de agentes de inteligência artificial (IA), que pode permitir que atacantes exfiltratem dados sensíveis do sistema de gerenciamento de relacionamento com o cliente (CRM) da empresa. Nomeada de ForcedLeak, a vulnerabilidade possui uma pontuação CVSS de 9.4 e afeta organizações que utilizam a funcionalidade Web-to-Lead do Salesforce. O ataque ocorre por meio de uma injeção de prompt indireta, onde instruções maliciosas são inseridas em campos de dados externos, levando o sistema a gerar conteúdos proibidos ou a realizar ações não intencionais. O processo envolve cinco etapas, começando com o envio de um formulário Web-to-Lead contendo uma descrição maliciosa, seguido pelo processamento desse lead por um funcionário interno que utiliza um comando padrão de IA. A falha permite que dados sensíveis sejam transmitidos para um domínio controlado pelo atacante. A Salesforce já tomou medidas para mitigar a vulnerabilidade, resegurando o domínio expirado e implementando um mecanismo de lista de URLs confiáveis. Os usuários são aconselhados a auditar dados existentes e implementar validações rigorosas de entrada para detectar possíveis injeções de prompt.

A SolarWinds emitiu um aviso urgente em resposta a um incidente de violação de dados que afetou clientes da Salesforce, relacionado a tokens OAuth comprometidos da integração Salesloft Drift. Os atacantes conseguiram acessar informações sensíveis de várias contas da Salesforce, explorando uma falha no processo de autenticação OAuth. Embora a SolarWinds não utilize essa integração e, portanto, não tenha sido diretamente impactada, a empresa tratou o incidente como uma preocupação de segurança prioritária, reforçando seus protocolos internos. A investigação interna da SolarWinds confirmou que não havia tokens OAuth da Salesloft Drift em sua infraestrutura, e a empresa não encontrou evidências de acesso não autorizado. Para aumentar a segurança, a SolarWinds implementou ferramentas adicionais de monitoramento e está acelerando sua iniciativa de zero-trust, exigindo autenticação multifatorial em pontos de acesso críticos. O incidente destaca a necessidade de práticas de segurança vigilantes em todas as integrações na cadeia de suprimentos digital.

O FBI emitiu um alerta sobre dois grupos cibercriminosos, UNC6040 e UNC6395, que têm realizado ataques de roubo de dados e extorsão, visando plataformas Salesforce. O grupo UNC6395 foi responsável por uma campanha de roubo de dados em agosto de 2025, explorando tokens OAuth comprometidos do aplicativo Salesloft Drift, que teve sua conta do GitHub violada entre março e junho de 2025. Em resposta, a Salesloft isolou sua infraestrutura e desativou o aplicativo. O grupo UNC6040, ativo desde outubro de 2024, tem utilizado campanhas de vishing para obter acesso inicial e roubar dados em larga escala, utilizando uma versão modificada do aplicativo Data Loader do Salesforce. Após as intrusões, o grupo também se envolveu em atividades de extorsão, que foram atribuídas a um outro grupo chamado UNC6240, que se identifica como ShinyHunters. Recentemente, houve uma união entre ShinyHunters, Scattered Spider e LAPSUS$, que anunciaram a suspensão de suas atividades, embora especialistas alertem que isso pode ser uma estratégia para evitar a atenção das autoridades. As organizações devem permanecer vigilantes, pois o silêncio de um grupo de ameaças não significa que o risco desapareceu.

A HackerOne confirmou que seu ambiente Salesforce foi comprometido após hackers explorarem uma vulnerabilidade no aplicativo Drift, fornecido pela Salesloft. O incidente foi inicialmente sinalizado pela Salesforce em 22 de agosto e confirmado pela Salesloft no dia seguinte, afetando um subconjunto de registros dentro do ambiente da HackerOne. A empresa assegurou que controles rigorosos de segmentação impediram a exposição de dados sensíveis de vulnerabilidades dos clientes. A equipe de segurança da HackerOne ativou imediatamente os protocolos de resposta a incidentes, colaborando com a Salesforce e a Salesloft para conter a intrusão e isolar a integração comprometida. A investigação preliminar revelou que os atacantes exploraram uma falha desconhecida no mecanismo de autenticação do Drift, permitindo o sequestro de sessões e acesso a dados adjacentes no CRM. Embora registros básicos de conta e informações de contato tenham sido expostos, dados críticos como códigos proprietários e relatórios de vulnerabilidade não foram afetados. A HackerOne está auditando todas as integrações existentes e implementou verificações adicionais para mitigar riscos futuros. Clientes afetados serão notificados diretamente, e um relatório detalhado do incidente será publicado após a conclusão da investigação.

A Dynatrace confirmou que dados de clientes armazenados em seu ambiente Salesforce foram comprometidos após um ataque cibernético que visou a aplicação Drift da Salesloft. O incidente permitiu acesso não autorizado a dados do CRM da Salesforce em várias organizações, levando a medidas imediatas de resposta por parte da Salesloft e da Salesforce, que desativaram integrações comprometidas e notificaram os clientes afetados. Os atacantes exploraram a plataforma de comunicação e engajamento de vendas Drift, que mantinha conexões com diversas instâncias do Salesforce. Embora a Dynatrace tenha sido uma das empresas afetadas, a companhia assegurou que o incidente se restringiu a seus sistemas de operações comerciais no Salesforce, sem impacto em produtos ou serviços principais. Os dados comprometidos incluíam informações básicas de contato comercial, como nomes de representantes e identificadores de empresas, mas não houve exposição de casos de suporte ao cliente, uma vez que a Dynatrace não utiliza a funcionalidade de gerenciamento de casos do Salesforce. Após detectar atividades suspeitas, a Dynatrace desativou imediatamente a conexão e iniciou uma investigação interna, colaborando com especialistas em cibersegurança. A empresa continua monitorando atividades suspeitas relacionadas ao incidente e aconselha os clientes a permanecerem vigilantes contra tentativas de phishing e engenharia social que possam explorar os dados comprometidos.

A empresa de cibersegurança Tenable confirmou um grande vazamento de dados que afetou informações de contato de seus clientes. O incidente ocorreu devido a uma exploração de vulnerabilidades em integrações de aplicativos de terceiros, especificamente entre o Salesforce e a plataforma de marketing conversacional Drift da Salesloft. Dados de suporte ao cliente, como descrições de problemas e informações de contato, foram acessados por agentes não autorizados. Apesar do vazamento, a Tenable assegurou que seus produtos principais de avaliação de vulnerabilidades não foram comprometidos. A resposta da empresa incluiu a revogação imediata de credenciais, a remoção da aplicação Drift e a implementação de controles de segurança adicionais. Este incidente ressalta a crescente preocupação com a segurança em ambientes de Software como Serviço (SaaS), onde as integrações de APIs podem aumentar a superfície de ataque. A Tenable também reforçou a importância da gestão de riscos de terceiros e da necessidade de soluções robustas de gerenciamento de postura de segurança em SaaS para prevenir acessos não autorizados e manter a conformidade com normas de proteção de dados.

A PagerDuty confirmou uma violação de segurança que permitiu o acesso não autorizado a contas do Salesforce, devido a uma vulnerabilidade na integração OAuth do aplicativo Drift da Salesloft. Embora as credenciais principais da PagerDuty não tenham sido comprometidas, a empresa desativou proativamente a integração para proteger os dados dos clientes. O incidente começou em 20 de agosto de 2025, quando a PagerDuty foi notificada sobre uma falha de segurança. Em 23 de agosto, a Salesloft confirmou que atacantes haviam explorado essa falha, permitindo o sequestro do processo de troca de tokens no fluxo de autorização OAuth 2.0. A PagerDuty tomou medidas imediatas, revogando todos os tokens de acesso ativos e realizando uma auditoria em seus logs do Salesforce. Apesar de não haver exposição de senhas ou credenciais da plataforma, dados de clientes armazenados no Salesforce podem ter sido revelados. A PagerDuty recomenda que os usuários verifiquem solicitações de dados e reforcem a autenticação multifatorial em contas críticas, dada a possibilidade de tentativas de phishing e engenharia social.

A Palo Alto Networks, através da sua unidade de resposta a incidentes, Unit 42, confirmou um ataque à cadeia de suprimentos que resultou na exposição de dados de clientes por meio da integração Drift da Salesloft com o Salesforce. O ataque foi identificado após o uso não autorizado de tokens de API, levando a equipe de segurança a revogar credenciais de fornecedores e isolar a aplicação comprometida. Embora centenas de organizações tenham sido afetadas, a resposta rápida da Palo Alto garantiu a resiliência operacional e a ausência de impacto em seus produtos principais.

A Salesforce lançou um guia de investigação forense em resposta a uma série de ataques cibernéticos, enfatizando a importância de as organizações que utilizam sua plataforma estarem preparadas para investigar e remediar incidentes de segurança rapidamente. O guia sugere a combinação de logs de atividade, análise de permissões e dados de backup para reconstruir eventos, avaliar impactos e fortalecer a resiliência contra ameaças futuras. Para uma análise forense mais profunda, recomenda-se habilitar o Shield Event Monitoring, que oferece três fontes de log distintas: Real Time Event Monitoring (RTEM), Event Log Objects (ELO) e Event Log Files (ELF). A análise inicial do impacto deve considerar o acesso e as permissões dos usuários comprometidos, utilizando ferramentas como o Who Sees What (WsW) Explorer. Além disso, a automação de respostas em tempo real através de Transaction Security Policies (TSP) é sugerida para bloquear ameaças imediatamente. O guia destaca a importância de monitorar continuamente as permissões e os logs para reduzir o tempo de permanência de incidentes e minimizar a perda de dados, garantindo a recuperação rápida de ambientes críticos da Salesforce.

Recentemente, o Google revelou que uma série de ataques direcionados a instâncias do Salesforce por meio da plataforma Salesloft Drift é mais abrangente do que se pensava inicialmente. O Google Threat Intelligence Group (GTIG) e a Mandiant aconselharam todos os clientes do Salesloft Drift a considerarem todos os tokens de autenticação armazenados ou conectados à plataforma como potencialmente comprometidos. Os atacantes utilizaram tokens OAuth roubados para acessar e-mails de algumas contas do Google Workspace, especificamente aquelas integradas ao Salesloft Drift. Após a descoberta, o Google notificou os usuários afetados, revogou os tokens OAuth específicos e desativou a funcionalidade de integração entre o Google Workspace e o Salesloft Drift enquanto a investigação estava em andamento. A Salesloft, por sua vez, informou que a integração entre Salesforce e Drift foi temporariamente desativada, embora não haja evidências de atividade maliciosa nas integrações do Salesloft relacionadas ao incidente. Essa situação destaca a importância de revisar todas as integrações de terceiros conectadas ao Drift e de tomar medidas proativas para proteger as credenciais e sistemas conectados.

Um alerta foi emitido para organizações em todo o mundo após a divulgação de uma campanha de exfiltração de dados em larga escala, atribuída ao grupo de hackers UNC6395. O ataque, que começou em 8 de agosto de 2025, explorou tokens OAuth comprometidos do aplicativo Salesloft Drift para acessar e extrair informações sensíveis de instâncias do Salesforce. Os hackers conseguiram exportar grandes volumes de dados, incluindo informações de contas, usuários e oportunidades, além de buscar segredos valiosos como chaves de acesso da Amazon Web Services (AWS) e senhas em texto claro. A Salesloft confirmou que apenas clientes que integraram o Drift com o Salesforce foram afetados. Em resposta, a empresa revogou todos os tokens de acesso e a Salesforce removeu o aplicativo do AppExchange. As organizações afetadas foram notificadas diretamente. Especialistas recomendam que as empresas revisem seus ambientes Salesforce, revoguem e rotacionem chaves descobertas e ajustem as configurações de segurança para mitigar riscos futuros.

Uma campanha de roubo de dados em larga escala comprometeu a plataforma de automação de vendas Salesloft, permitindo que hackers acessassem tokens OAuth e de atualização associados ao agente de chat de inteligência artificial Drift. A atividade, atribuída ao grupo de ameaças UNC6395, ocorreu entre 8 e 18 de agosto de 2025, visando instâncias de clientes do Salesforce através de tokens OAuth comprometidos. Os atacantes exportaram grandes volumes de dados, possivelmente para coletar credenciais que poderiam ser usadas para comprometer ambientes das vítimas, incluindo chaves de acesso da Amazon Web Services (AWS) e tokens de acesso relacionados ao Snowflake. A Salesloft identificou a questão de segurança e revogou proativamente as conexões entre Drift e Salesforce, enquanto a Salesforce confirmou que um número restrito de clientes foi impactado. Especialistas destacam a disciplina operacional dos atacantes, que deletaram registros de consultas para cobrir seus rastros, sugerindo uma estratégia de ataque mais ampla que poderia afetar a cadeia de suprimentos de tecnologia. As organizações são aconselhadas a revisar logs, revogar chaves de API e realizar investigações adicionais para determinar a extensão da violação.