אתר דליפות חדש מאיים על לקוחות Salesforce, והקבוצה טוענת למיליארד רשומות
ב-3 באוקטובר 2025 פתחה הקבוצה Scattered LAPSUS$ Hunters אתר דליפות וטענה שהיא מחזיקה כמיליארד רשומות של לקוחות Salesforce. Salesforce אומרת שהפלטפורמה לא נפרצה.
TL;DR בקצרה
- Scattered LAPSUS$ Hunters פתחה ב-3 באוקטובר 2025 אתר דליפות, וטוענת לכמיליארד רשומות מלקוחות Salesforce.
- לפי TechCrunch, באתר מופיעות FedEx, Hulu ו-Toyota. Salesforce מסרה שאין סימן שהפלטפורמה נפרצה.
- TechCrunch לא אימת את המספר, ולא כתב איך התוקפים גנבו את הנתונים.
- ה-FBI תיעד שני קמפיינים נגד Salesforce: ויישינג שמאשר אפליקציה זדונית, וגניבת אסימוני Salesloft Drift.
הקבוצה Scattered LAPSUS$ Hunters פתחה ב-3 באוקטובר 2025 אתר דליפות ברשת האפלה. היא טוענת שיש לה כמיליארד רשומות של לקוחות Salesforce. לפי TechCrunch, האתר מאיים לפרסם נתונים של חברות, אלא אם Salesforce תנהל משא ומתן. Salesforce מסרה שאין סימן לפריצה לפלטפורמה שלה.
מה טוענת Scattered LAPSUS$ Hunters
על האתר מופיעות, בין היתר, FedEx, Hulu של Disney ו-Toyota. אף אחת מהן לא הגיבה ל-TechCrunch.
הכתב מזכיר גם חברות שאישרו פריצה בעבר, בהן Allianz Life, Google ו-Kering. כך גם Qantas, Stellantis, TransUnion ו-Workday.
הקבוצה דורשת מ-Salesforce לנהל איתה משא ומתן. אחרת, לפי האתר, כל נתוני הלקוחות ידלפו. נציג של ShinyHunters אמר ל-TechCrunch שיש עוד חברות רבות שלא הופיעו. הוא לא הסביר למה.
Salesforce אמרה שהיא מודעת לניסיונות סחיטה. לדבריה, הם קשורים לאירועים ישנים או לא מבוססים. TechCrunch לא אימת את מספר הרשומות. לכן כדאי להתייחס אליו כטענה של התוקפים.
איך תוקפים גונבים נתונים מ-Salesforce
TechCrunch לא כתב איך התוקפים גנבו את הנתונים. אבל ה-FBI פרסם ב-12 בספטמבר 2025 התראה על שני קמפיינים נגד Salesforce. שניהם נועדו לגניבת נתונים ולסחיטה.
הקמפיין הראשון, UNC6040, התחיל באוקטובר 2024. התוקפים מתקשרים למוקדי שירות ומתחזים לתמיכה טכנית. הם מובילים עובד לאשר Connected App זדונית, לעיתים גרסה מעובדת של Data Loader. לפי ה-FBI, אישור כזה עוקף MFA, איפוס סיסמאות וניטור כניסות.
ה-FBI מוסיף שהתוקפים יצרו את האפליקציות בחשבונות ניסיון של Salesforce. כך הם לא נזקקו לחשבון ארגוני אמיתי, וזיהוי הפך קשה. לפי Google, התוקפים לא ניצלו חולשה ב-Salesforce. ההתקפות התבססו על מניפולציה של משתמשים.
הקמפיין השני, UNC6395, התחיל באוגוסט 2025. התוקפים השתמשו באסימוני OAuth שנגנבו מ-Salesloft Drift, צ'אטבוט שמתחבר ל-Salesforce. ב-20 באוגוסט ביטלו Salesloft ו-Salesforce את כל האסימונים.
מה לבדוק בארגון מול Scattered LAPSUS$ Hunters
ההמלצות של ה-FBI פשוטות. הדריכו עובדי מוקד, והפעילו MFA עמיד לפישינג. הגבילו הרשאות לפי עיקרון ההרשאה המינימלית, והגבילו גישה לפי כתובות IP. עקבו אחרי שימוש חריג ב-API, ובדקו כל אינטגרציית צד שלישי. החליפו מפתחות ואסימונים.
Google מוסיפה המלצות ספציפיות ל-Salesforce בפוסט מ-5 ביוני 2025. היא מציעה להגביל את ההרשאה API Enabled, שבה Data Loader משתמש. היא ממליצה גם לאשר Connected Apps רק למשתמשים ולפרופילים מוגדרים.
ה-FBI מציין שדרישות הסחיטה מגיעות בין ימים לחודשים אחרי הגניבה. Google מתארת קבוצה שדרשה ביטקוין תוך 72 שעות. לכן שקט של כמה חודשים אינו הוכחה לכך שהנתונים בטוחים.
מה קרה מאז
ב-7 באוקטובר 2025 מסרה Salesforce ל-BleepingComputer שהיא לא תנהל משא ומתן ולא תשלם. היא כתבה זאת גם ללקוחות במייל. לפי הדיווח, האתר דרש תשלום מ-39 חברות. נכון ל-7 באוקטובר הוא כבר לא היה פעיל.
מה זה אומר עבורכם
- עברו על Connected Apps: בטלו אפליקציות לא מוכרות והחליפו מפתחות ואסימונים, כמו שה-FBI ממליץ.
- הגבילו API Enabled: ההרשאה הזאת מאפשרת ל-Data Loader לשאוב נתונים. תנו אותה רק למי שצריך.
- הדריכו מוקדי שירות: תוקפים מתקשרים ומתחזים לתמיכה. כל בקשה לאשר אפליקציה צריכה אימות בערוץ אחר.
- עברו ל-MFA עמיד לפישינג: passkey או מפתח חומרה, במקום קודים שאפשר להקריא בטלפון.
- עקבו אחרי ייצוא נתונים: הגדירו התראה על הורדות גדולות ועל שימוש חריג ב-API.
- בדקו גם הרשאות ישנות: המדריך של CyberGuard לאפליקציות שמחוברות לחשבון.
מקורות והרחבה
- Hacking group claims theft of 1 billion records from Salesforce customer databasesTechCrunch
- FLASH-20250912-001: Cyber Criminal Groups UNC6040 and UNC6395 Compromising Salesforce Instances for Data Theft and ExtortionFBI
- The Cost of a Call: From Voice Phishing to Data ExtortionGoogle Threat Intelligence Group
- Salesforce refuses to pay ransom over widespread data theft attacksBleepingComputer
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
