Auf den Punkt: ShinyHunters-zugeordnete Angreifer erschließen sich Salesforce-Zugriffe über legitime OAuth-Kanäle: Vishing-Anrufe, gestohlene Tokens von Drittanbietern (Salesloft, Gainsight, Klue) und exponierte Aura-Endpunkte – nicht über Produktschwachstellen.
Microsoft dokumentiert Angriffskampagnen auf Salesforce-Systeme von Mitte 2025 bis Juni 2026, bei denen Angreifer ohne technische Plattform-Schwachstellen eindringen – stattdessen nutzen sie Voice-Phishing, kompromittierte Integrationen und fehlerhaft konfigurierte Gastbenutzerzugriffe.
Microsoft veröffentlichte am 13. Juli 2026 eine Analyse von Kampagnen, die der Erpressergruppe ShinyHunters zugeordnet werden. Die Angreifer zielten auf Salesforce-Umgebungen ab, ohne technische Schwachstellen der Plattform selbst auszunutzen. Stattdessen exploitierten sie vertrauensbasierte Integrationsmechanismen und menschliche Fehler im Betrieb.
Der erste dokumentierte Angriffspfad arbeitet mit Voice-Phishing (Vishing): Angreifer traten am Telefon als IT-Support auf und manipulierten Mitarbeiter, eine bösartige Anwendung namens Data Loader über OAuth-Zustimmungsbildschirme zu autorisieren. Dies verschaffte den Angreifern API-Zugriff auf CRM-Daten. Betroffene Unternehmen im Juni 2025 waren unter anderem Google sowie Chanel, Pandora und Adidas. Der zweite Pfad umgeht direkte Mitarbeiterkontakte: Angreifer kompromittierten externe Softwareanbieter, die bereits OAuth-Freigaben für ihre Kunden-Salesforce-Umgebungen hielten. Im August 2025 erbeuteten sie bei Salesloft OAuth- und Refresh-Token, die rund 700 Organisationen potenziell gefährdeten – darunter Cloudflare, Zscaler und Palo Alto Networks. Im November 2025 führte ein Einbruch bei Gainsight zur Kompromittierung von etwa 200 Salesforce-Instanzen. Im Juni 2026 nutzten Angreifer bei Klue eine stillgelegte Test-Anmeldeinformation, um über ein manipuliertes Code-Update Kunden-Token abzugreifen; Huntress und Recorded Future waren betroffen.
Der dritte Angriffspfad erfordert keine Anmeldedaten. Angreifer nutzten fehlerhaft konfigurierte Berechtigungen für Gastbenutzer auf Salesforce-Aura-Endpunkten, die Experience-Cloud-Webseiten zugrunde liegen. Ohne Authentifizierung zugänglich, ließen sich Abfragewerkzeuge wie AuraInspector einsetzen, um die standardmäßige Grenze von 2000 Datensätzen zu umgehen und vertrauliche Kundendaten im großen Stil zu exportieren.
Weil diese Angriffe legitime Schnittstellen nutzen, triggern herkömmliche Anmeldeüberwachungen selten Warnungen. Microsoft hat gemeinsam mit Salesforce Erkennungs- und Governance-Werkzeuge entwickelt: Aktivitäten lassen sich über die Integration in Defender for Cloud Apps und das Real-Time Event Monitoring von Salesforce einer spezifischen App-Identität und den gewährten OAuth-Berechtigungen zuordnen. Administratoren erhalten außerdem Übersichten über ungenutzte Integrationen, die länger als 90 Tage inaktiv sind, um die Angriffsfläche präventiv zu verkleinern.
Quelle: www.it-daily.net · Erschienen 14. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.