Ένα κύμα παραβιάσεων δεδομένων που επηρεάζει εταιρείες όπως οι Qantas, Allianz Life, LVMH και Adidas έχει συνδεθεί με την ομάδα ShinyHunters, η οποία χρησιμοποιεί επιθέσεις φωνητικού phishing (vishing) για την κλοπή δεδομένων από συστήματα Salesforce CRM.
Δείτε επίσης: Ελαττώματα του Salesforce Tableau επιτρέπουν εκτέλεση κώδικα
Τον Ιούνιο, η Ομάδα Πληροφοριών Απειλών της Google (GTIG) προειδοποίησε ότι κυβερνοεγκληματίες με την κωδική ονομασία UNC6040 στοχεύουν πελάτες της Salesforce μέσω επιθέσεων social engineering.
Σε αυτές τις επιθέσεις, οι δράστες προσποιούνται ότι είναι τεχνικοί υποστήριξης σε τηλεφωνικές κλήσεις προς υπαλλήλους των στοχευμένων εταιρειών, προσπαθώντας να τους πείσουν να επισκεφθούν τη σελίδα ρυθμίσεων συνδεδεμένων εφαρμογών της Salesforce. Εκεί, τους ζητείται να εισάγουν έναν “κωδικό σύνδεσης”, ο οποίος συνδέει μια κακόβουλη έκδοση της εφαρμογής Data Loader (που χρησιμοποιεί OAuth) με το περιβάλλον Salesforce του στόχου. Σε ορισμένες περιπτώσεις, το εξάρτημα Data Loader είχε μετονομαστεί σε “My Ticket Portal“, ώστε να φαίνεται πιο πειστικό.
Η GTIG αναφέρει ότι οι επιθέσεις αυτές πραγματοποιούνταν κυρίως μέσω vishing (φωνητικού phishing), ωστόσο διαπιστώθηκε επίσης κλοπή διαπιστευτηρίων και κωδικών MFA μέσω παραπλανητικών ιστοσελίδων που προσποιούνταν τις σελίδες εισόδου της Okta.
Περίπου την ίδια χρονική περίοδο, πολλές εταιρείες ανέφεραν παραβιάσεις δεδομένων που σχετίζονται με εξωτερικούς παρόχους υπηρεσιών εξυπηρέτησης πελατών ή με συστήματα CRM που βασίζονται στο cloud.
Δείτε ακόμα: Allianz Life: Παραβίαση δεδομένων επηρεάζει πελάτες
Θυγατρικές της LVMH όπως οι Louis Vuitton, Dior και Tiffany & Co. γνωστοποίησαν μη εξουσιοδοτημένη πρόσβαση σε βάσεις δεδομένων με πληροφορίες πελατών, ενώ η Tiffany Korea ενημέρωσε τους πελάτες της ότι οι επιτιθέμενοι παραβίασαν μια «πλατφόρμα προμηθευτή που χρησιμοποιείται για τη διαχείριση δεδομένων πελατών».
Οι Adidas, Qantas και Allianz Life ανέφεραν επίσης περιστατικά παραβίασης που σχετίζονται με εξωτερικά συστήματα, με την Allianz να επιβεβαιώνει ότι επρόκειτο για μια πλατφόρμα διαχείρισης πελατειακών σχέσεων τρίτου παρόχου.
Σύμφωνα με πληροφορίες του BleepingComputer, η παραβίαση δεδομένων της Qantas σχετίζεται επίσης με πλατφόρμα διαχείρισης πελατειακών σχέσεων τρίτου παρόχου, ωστόσο η εταιρεία δεν επιβεβαιώνει αν πρόκειται για τη Salesforce. Παρ’ όλα αυτά, προηγούμενα δημοσιεύματα τοπικών μέσων υποστηρίζουν ότι τα δεδομένα εκλάπησαν από το περιβάλλον Salesforce της Qantas.
Επιπλέον, δικαστικά έγγραφα αποκαλύπτουν ότι οι κυβερνοεγκληματίες στόχευσαν τους πίνακες δεδομένων “Accounts” και “Contacts“, οι οποίοι αποτελούν αντικείμενα εντός της Salesforce. Αν και καμία από τις εταιρείες δεν έχει κατονομάσει δημόσια τη Salesforce, το BleepingComputer επιβεβαιώνει ότι όλες αποτέλεσαν στόχους της ίδιας εκστρατείας, όπως έχει περιγραφεί από την Google.
Μέχρι στιγμής, οι επιθέσεις δεν έχουν οδηγήσει σε δημόσιο εκβιασμό ή διαρροή δεδομένων. Ωστόσο, το BleepingComputer αναφέρει ότι οι δράστες προσπαθούν να εκβιάσουν τις εταιρείες ιδιωτικά μέσω email, παρουσιάζοντας τον εαυτό τους ως ShinyHunters.
Δείτε επίσης: Χάκερ στοχεύουν λογαριασμούς Salesforce σε επιθέσεις εκβιασμού
Εκτιμάται ότι, σε περίπτωση που οι απόπειρες εκβιασμού αποτύχουν, οι δράστες θα προχωρήσουν σε μαζική δημοσιοποίηση των κλεμμένων δεδομένων, ακολουθώντας την ίδια τακτική που χρησιμοποίησαν στις προηγούμενες επιθέσεις τους μέσω της Snowflake.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Πηγή: bleepingcomputer
