Cientos de empresas que usan Salesforce, en el punto de mira de una nueva campaña de robo de datos – CYBERDEFENSA.MX
Cientos de organizaciones que utilizan la plataforma de gestión de clientes Salesforce están en el punto de mira de una nueva campaña de robo de datos y extorsión atribuida al grupo de ciberdelincuentes ShinyHunters.
Los atacantes han estado buscando portales configurados de forma incorrecta, especialmente aquellos en los que los perfiles de usuario invitados disponen de permisos excesivos.
Cuando encuentran estas configuraciones débiles, pueden consultar y descargar información almacenada en el software de gestión sin necesidad de autenticarse, lo que facilita el acceso a bases de datos con datos de clientes, contactos o registros comerciales.
Para automatizar el proceso, los cibermalos estarían usando una versión modificada de AuraInspector, una herramienta originalmente desarrollada para analizar la seguridad de aplicaciones en Salesforce.
Según los propios atacantes, la campaña habría permitido acceder a información de cerca de un centenar de grandes empresas a través de unas 400 páginas web conectadas a Salesforce.
Entre las organizaciones mencionadas por el grupo figuran compañías tecnológicas como Snowflake, Okta, LastPass, AMD o Sony, aunque muchas de ellas aún no han confirmado públicamente el alcance del incidente.
Salesforce se ha guardado las espaldas recalcando que estos ataques no se deben a una vulnerabilidad en su plataforma, sino a errores de configuración en portales públicos o integraciones externas que pueden dejar datos accesibles si no se gestionan correctamente.
Además del robo de información, los hackers estarían utilizando los datos obtenidos para presionar a las organizaciones con amenazas de filtración pública.
Los cibermalos la han cogido con Salesforce
La campaña actual se suma a una serie de ataques contra entornos de Salesforce registrados desde 2024, que han utilizado distintos métodos para acceder a los sistemas de las empresas.
Uno de los más conocidos fue atribuido al grupo UNC6040, vinculado posteriormente con la actividad de ShinyHunters. En esa campaña, los atacantes empleaban vishing (phishing telefónico) para hacerse pasar por personal de soporte técnico y convencer a empleados de que autorizaran aplicaciones maliciosas dentro de su entorno Salesforce.
Estas aplicaciones, disfrazadas como herramientas legítimas de integración otorgaban a los atacantes permisos para consultar y exportar información directamente desde el CRM. Una vez autorizadas, podían acceder a los datos sin necesidad de vulnerar contraseñas o sistemas de autenticación multifactor.
Otra campaña identificada por las autoridades estadounidenses fue atribuida al grupo UNC6395, que logró acceder a instancias de Salesforce explotando tokens OAuth comprometidos de aplicaciones externas, como la plataforma Salesloft Drift. Con esos tokens, los cibermalos pudieron descargar grandes volúmenes de datos desde los entornos corporativos.
En octubre del año pasado, la llamada “Triada del Caos” —formada por los grupos de ransomware Lapsus$, Scattered Spider y el mencionado ShinyHunters— listó en su página de filtraciones a 39 organizaciones, entre ellas Adidas, Google, Disney, Cisco, Air France/KLM, Allianz Life, Qantas o Louis Vuitton, asegurando haberse hecho con aproximadamente 1.000 millones de registros de sus instancias de Salesforce, amenazando con liberarlos si la compañía no accedía a sus demandas de pago.
