Microsoft: קמפיינים בסגנון ShinyHunters שאבו נתוני Salesforce בלי פרצה בה
Microsoft מתארת קמפיינים בני שנה שבהם תוקפים שאבו נתוני CRM מ-Salesforce דרך שיחות פישינג ואפליקציה מחוברת מתחזה, ודרך ספקים שפרצו להם. מה הגדרות Salesforce שכדאי לבדוק.
TL;DR בקצרה
- ב-13 ביולי 2026 פירסמה Microsoft ממצאים על קמפיינים בסגנון ShinyHunters מאמצע 2025 עד אמצע 2026, בקמעונאות, בחינוך ובתעשייה.
- בשיחת פישינג התוקף מנחה עובד לאשר אפליקציה מחוברת שמתחזה ל-Data Loader. האפליקציה פועלת בהרשאות העובד, בלי התחברות חריגה.
- מסלול נוסף הוא פריצה לספקים: Salesloft Drift באוגוסט 2025, Gainsight בנובמבר 2025 ו-Klue ביוני 2026.
- Microsoft מדגישה: אין פרצה ב-Salesforce עצמה. ההמלצות: מלאי אפליקציות מחוברות, ביטול חיבורים לא בשימוש וניטור יומנים.
לפי Microsoft, קמפיינים בסגנון ShinyHunters שאבו נתוני לקוחות מ-Salesforce במשך כשנה, בלי לנצל פרצה ב-Salesforce. הפרסום של Microsoft ב-13 ביולי 2026 מתאר שני מסלולים. הראשון הוא שיחות פישינג שגרמו לעובדים לאשר אפליקציה זדונית. השני הוא פריצה לספקי צד שלישי שמחוברים ל-Salesforce. בשני המקרים התוקפים נכנסו דרך הרשאות OAuth לגיטימיות.
איך עובדת התקיפה בסגנון ShinyHunters
Microsoft עקבה אחרי קמפיינים בסגנון ShinyHunters מאמצע 2025 ועד אמצע 2026. הם פגעו בארגוני קמעונאות, חינוך ותעשייה. בשיחה, התוקף מציג את עצמו כתמיכה טכנית ומנחה את העובד לאשר ״אפליקציה מחוברת״ בחשבון Salesforce. האפליקציה מתחזה לכלי Data Loader של Salesforce.
אחרי האישור האפליקציה מקבלת את ההרשאות של העובד. היא יכולה לפנות ל-API של Salesforce בשמו, בלי להזדהות שוב. לכן לעיתים אין התחברות חריגה שאפשר לזהות. התוקף סורק את המערכת, מחזיק גישה קבועה לנתוני ה-CRM, ויכול לנסות להתקדם לשירותי SaaS אחרים.
Microsoft מדגישה שלא הייתה כאן פרצה ב-Salesforce עצמה. התוקפים ניצלו את תהליך האישור הרגיל. את ה-OAuth אפשר לדמיין כמפתח שנותן לאפליקציה לפעול בחשבון בלי סיסמה. מי שמקבל את המפתח לא צריך עוד אימות.
המסלול השני בסגנון ShinyHunters: ספקים שמחוברים ל-Salesforce
בפרשות השרשרת התוקפים פרצו לספק, ומשם הגיעו ללקוחותיו. באוגוסט 2025 אישורי כניסה גנובים של Salesloft Drift חשפו אסימוני OAuth. האסימונים שימשו בכמה סביבות של לקוחות. בנובמבר 2025 שימשו חיבורים אמינים של אפליקציות Gainsight לגישה קבועה ל-API.
ביוני 2026 הגיע תורו של Klue. לפי Microsoft, התוקף Storm-3138 פרץ למערכת של Klue. אישורי כניסה שימשו אחר כך נגד סביבות Salesforce של לקוחות. בכל המקרים התוקפים מיפו את הסביבה והריצו שאילתות בכמות גדולה. הם שאבו חשבונות, אנשי קשר ופניות שירות. לעיתים קרובות זה קרה בלי חריגות התחברות.
Microsoft מזכירה גם משתמשי אורח ב-Experience Cloud. היא ממליצה לאבטח את הגישה שלהם, ולהסיר הרשאות שאין בהן צורך לאובייקטים, לשדות ולרשומות.
מה Microsoft ו-Google ממליצות לעשות ב-Salesforce
Microsoft ממליצה לרשום את כל האפליקציות המחוברות והחיצוניות, ולבדוק את ההרשאות שקיבלו. צריך לבטל חיבורים שאינם בשימוש, ולנטר את יומני האירועים. הכלי של Microsoft מסמן אפליקציות שלא פעלו תקופה ארוכה, למשל 90 ימים ומעלה, לבדיקה וביטול.
Google פירסמה ב-1 באוקטובר 2025 הנחיית הקשחה, בשיתוף Salesforce. היא עוסקת בקמפיין דומה של הקבוצה UNC6040. ההנחיה ממליצה להפעיל את ההגדרה ״limit API access to only allowed connected apps״. היא ממליצה גם על ״Enforce login IP ranges on every request״.
לפי אותה הנחיה, Data Loader דורש את ההרשאה API Enabled. כדאי להסיר אותה מהפרופילים, ולתת אותה דרך Permission Set לכמה משתמשים שזקוקים לה. ההנחיה מציעה גם להכשיר את העובדים לנתק שיחה מפוקפקת ולחזור למספר שרשום במערכת.
המקור המלא: הדיווח ב-Microsoft Security Blog.
מה זה אומר עבורכם
- רשמו את האפליקציות המחוברות: רשמו כל אפליקציה ב-Salesforce והרשאות ה-OAuth שלה. בטלו את מה שאינו בשימוש.
- הגבילו אישור אפליקציות: הפעילו את ההגדרה שמגבילה גישת API לאפליקציות מורשות. הצמידו אישור של אפליקציות חדשות למנהלים בלבד.
- הסירו API Enabled: אין סיבה שכל עובד יוכל להפעיל Data Loader. תנו את ההרשאה לקבוצה קטנה דרך Permission Set.
- הכשירו עובדים: איש תמיכה אמיתי לא יבקש לאשר אפליקציה בשיחה. העובד צריך לנתק ולחזור למספר הרשום.
- נטרו שאילתות גדולות: חפשו ייצוא המוני, אפליקציות חדשות ופעילות של חשבונות לא אנושיים. בדקו גם ספקי צד שלישי עם גישה ל-CRM.
- בדקו גם הרשאות ישנות: המדריך של CyberGuard לאפליקציות שמחוברות לחשבון.
מה הלאה
Microsoft מתארת את הקמפיינים בסגנון ShinyHunters כמכוונים ליישומי SaaS כמו Salesforce. לכן ההמלצה שלה היא להתייחס לאישורי OAuth, לאינטגרציות ולהרשאות אורח כאל בקרות זהות קריטיות.
מקורות והרחבה
- Defending SaaS applications against ShinyHunters OAuth abuseMicrosoft Security Blog
- UNC6040 Proactive Hardening RecommendationsGoogle Cloud Blog
- Hackers spent a year quietly stealing corporate Salesforce dataGBHackers
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
