Salesforce מזהירה מקמפיין שואב נתונים מאתרי Experience Cloud פתוחים מדי
Salesforce פרסמה ב-7 במרץ 2026 ועדכנה ב-11 במרץ אזהרה מקמפיין שסורק אתרי Experience Cloud עם הרשאות אורח רחבות. ShinyHunters טוענת לאחריות.
TL;DR בקצרה
- לפי Salesforce, הקמפיין סורק אתרי Experience Cloud ציבוריים עם גרסה ששונתה של Aura Inspector ושואב נתונים דרך הרשאות אורח רחבות מדי.
- Salesforce אומרת שאין חולשה בפלטפורמה, והבעיה היא בהגדרות הלקוח.
- ShinyHunters טוענת לפגיעה בכ-100 חברות, ול-BleepingComputer אמרה שהמספר 300 עד 400. הטענות לא אומתו.
- הצעד המשמעותי ביותר לפי Salesforce הוא לכבות גישת אורחים ל-API ציבורי ולהסיר הרשאות מיותרות מפרופיל האורח.
Salesforce מזהירה מקמפיין שסורק אתרי Experience Cloud ציבוריים ושואב מהם נתוני CRM. לדברי החברה, התוקפים מנצלים הגדרה רחבה מדי של משתמש האורח, ולא פרצה בפלטפורמה. Salesforce Security פרסמה את ההודעה ב-7 במרץ 2026 ועדכנה אותה ב-11 במרץ.
Experience Cloud היא פלטפורמה לבניית אתרים ופורטלים ללקוחות ולשותפים. משתמש אורח הוא גולש שלא התחבר. אם הפרופיל שלו רחב מדי, גולש כזה יכול לקרוא נתונים שלא נועדו לציבור.
Experience Cloud: איך הקמפיין עובד, לפי Salesforce
התוקפים משתמשים בגרסה ששונתה של Aura Inspector, כלי פתוח שפיתחה Mandiant. הכלי המקורי רק מזהה אובייקטים פגיעים, דרך הכתובת /s/sfsites/aura. הגרסה ששונתה גם שואבת נתונים. היא סורקת המוני אתרים ציבוריים.
אתר חשוף אם הוא משתמש בפרופיל משתמש אורח, והפרופיל הזה פותח לציבור אובייקטים או שדות שלא נועדו לכך. Salesforce מדגישה שהבעיה אינה חולשה בפלטפורמה עצמה. לפי הודעת החברה, שמות ומספרי טלפון שנשאבים עלולים לשמש להונאות טלפוניות (vishing).
מנהל הטכנולוגיה של Mandiant, צ'רלס קרמקל, אמר ל-BleepingComputer שהכלי משמש לאוטומציה של סריקות. לדבריו, סריקה ביומנים לא מעידה בהכרח על פריצה.
ShinyHunters טוענת לאחריות: מה מוכח ומה לא
Salesforce כתבה על קבוצת תוקפים מוכרת, בלי לנקוב בשם. הקשר ל-ShinyHunters מגיע מהקבוצה עצמה. היא טוענת באתר הדלפות שפגעה בכ-100 חברות מוכרות. ל-BleepingComputer היא אמרה שהמספר הכולל הוא בין 300 ל-400 ארגונים.
הקבוצה טוענת שהחלה לתקוף אתרים עם הגדרות אורח לא בטוחות כבר בספטמבר 2025. היא גם טוענת שעקפה מגבלה של 2,000 רשומות ב-GraphQL API של Salesforce, באמצעות הפרמטר sortBy. לפי BleepingComputer, Salesforce סגרה את זה לאחר מכן.
טענה נוספת של הקבוצה היא שמצאה שיטה חדשה, שפועלת גם על אתרים שהוגדרו נכון. BleepingComputer לא הצליח לאמת אותה. Salesforce חוזרת ואומרת שאין חולשה בפלטפורמה.
מה Salesforce מבקשת לבדוק באתרי Experience Cloud
הצעד הראשון הוא ביקורת של פרופיל משתמש האורח. Salesforce ממליצה להסיר כל הרשאת אובייקט שגולש אנונימי אינו צריך. היא אומרת להתחיל מאפס גישה ולהחזיר רק מה שהאתר דורש לפעולתו.
הצעד השני הוא להגדיר ברירת מחדל פרטית לגישה חיצונית בהגדרות השיתוף. הצעד השלישי הוא לכבות את הגישה של אורחים ל-API ציבורי, ובפרופיל האורח לבטל את API Enabled. לפי Salesforce, זה השינוי היחיד עם ההשפעה הגבוהה ביותר, כי הוא סוגר את נקודת הקצה של Aura בפני שאילתות אנונימיות.
ברשימה יש עוד שישה צעדים. ביניהם כיבוי הרשמה עצמית אם אין בה צורך, הפעלת סינון פרופילים ובדיקת הרשאות ברמת שדה באובייקטים כמו Contact, Lead ו-Case. החברה מציינת שהבדיקה האחרונה ידנית.
ב-11 במרץ הוסיפה Salesforce צעדים חדשים. החקירה שלה איתרה תרחישי הגדרה נוספים שעלולים לחשוף מידע בלי כוונה.
המקור המלא: ההודעה של Salesforce Security.
מה זה אומר עבורכם
- בדקו את פרופיל האורח: היכנסו להגדרות האתר ופתחו את משתמש האורח. הסירו כל הרשאת אובייקט שגולש אנונימי לא צריך.
- כבו את ה-API הציבורי: בטלו את האפשרות לאורחים לגשת ל-API ציבורי, ואת API Enabled בפרופיל האורח. אחר כך בדקו שהאתר עדיין עובד.
- הגדירו גישה חיצונית כפרטית: בדקו גם שדות כמו טלפון ודוא״ל באובייקטים Contact, Lead ו-Case. Salesforce ממליצה להסיר גישה לכל שדה שאין בו צורך.
- עברו על יומני Event Monitoring: חפשו שאילתות לאובייקטים לא ציבוריים, קפיצות מכתובות לא מוכרות וגישה מחוץ לשעות העבודה. סריקה לבדה אינה הוכחה לפריצה.
- היערכו להונאות טלפוניות: שמות ומספרי טלפון עלולים לשמש לשיחות מתחזות. הנחו עובדים ולקוחות לא למסור קודים בשיחה.
מה הלאה
Salesforce ממשיכה לחקור, ומבקשת מלקוחות שחוששים לחשיפה לפנות לתמיכה. היא גם מציעה להוסיף איש קשר לאבטחה בארגון, כדי ש-Salesforce תוכל להגיע מהר לאיש הנכון.
הלקח הרחב הוא שהגדרות ברירת המחדל של אתר ציבורי דורשות בדיקה תקופתית. אתר שנבנה לפני שנים עשוי להחזיק הרשאות שאיש כבר לא זוכר.
מקורות והרחבה
- Protecting your data: essential actions to secure Experience Cloud guest user accessSalesforce Security
- ShinyHunters claims ongoing Salesforce Aura data theft attacksBleepingComputer
- ShinyHunters claims new campaign targeting Salesforce Experience Cloud sitesHelp Net Security
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
