Perusahaan cybersecurity Zscaler memperingatkan bahwa itu menderita pelanggaran data setelah para aktor ancaman mendapatkan akses ke instance Salesforce dan mencuri informasi pelanggan, termasuk isi kasus dukungan.
Peringatan ini mengikuti Kompromi Salesloft Driftagen obrolan AI yang terintegrasi dengan Salesforce, di mana penyerang mencuri oAuth dan menyegarkan token, memungkinkan mereka untuk mendapatkan akses ke lingkungan Salesforce pelanggan dan mengeksfiltrasi data sensitif.
Dalam sebuah penasihat, Zscaler mengatakan bahwa instance Salesforce-nya dipengaruhi oleh serangan rantai pasokan ini, mengekspos informasi pelanggan.
“Sebagai bagian dari kampanye ini, para aktor yang tidak sah mendapatkan akses ke kredensial drift salesloft dari pelanggannya termasuk Zscaler,” baca Penasihat Zscaler.
“Mengikuti tinjauan terperinci sebagai bagian dari investigasi kami yang berkelanjutan, kami telah menentukan bahwa kredensial ini telah memungkinkan akses terbatas ke beberapa informasi Salesforce Zscaler.”
Informasi yang diekspos termasuk yang berikut:
- Nama
- Alamat email bisnis
- Judul pekerjaan
- Nomor telepon
- Detail regional/lokasi
- Lisensi Produk ZScaler dan Informasi Komersial
- Konten dari kasus dukungan tertentu
Perusahaan menekankan bahwa pelanggaran data hanya berdampak pada instance Salesforce dan tidak ada produk, layanan, atau infrastruktur ZScaler.
Sementara Zscaler menyatakan bahwa mereka tidak mendeteksi penyalahgunaan informasi ini, itu merekomendasikan agar pelanggan tetap waspada terhadap potensi serangan phishing dan rekayasa sosial yang dapat mengeksploitasi informasi ini.
Perusahaan juga mengatakan telah mencabut semua integrasi drift salesloft ke instance Salesforce -nya, memutar token API lainnya, dan sedang melakukan penyelidikan atas insiden tersebut.
Zscaler juga telah memperkuat protokol otentikasi pelanggan ketika menanggapi panggilan dukungan pelanggan untuk menjaga terhadap serangan rekayasa sosial.
Google Ancaman Intelijen memperingatkan minggu lalu bahwa aktor ancaman, dilacak sebagai UNC6395, berada di belakang serangan, mencuri kasus dukungan untuk memanen token otentikasi, kata sandi, dan rahasia yang dibagikan oleh pelanggan saat meminta dukungan.
“GTIG mengamati UNC6395 yang menargetkan kredensial sensitif seperti Amazon Web Services (AWS) Access Keys (AKIA), kata sandi, dan token akses terkait kepingan salju,” melaporkan google.
“UNC6395 menunjukkan kesadaran keamanan operasional dengan menghapus pekerjaan kueri, namun log tidak terpengaruh dan organisasi masih harus meninjau log yang relevan untuk bukti paparan data.”
Di kemudian hari terungkap bahwa serangan rantai pasokan-penawaran Salesloft tidak hanya memengaruhi integrasi Drift Salesforce, tetapi juga email drift, yang digunakan untuk mengelola balasan email dan mengatur CRM dan database otomatisasi pemasaran.
Google memperingatkan minggu lalu bahwa penyerang juga menggunakan token oauth curian Akses akun email Google Workspace dan baca email sebagai bagian dari pelanggaran ini.
Google dan Salesforce sementara menonaktifkan integrasi drift mereka sambil menunggu penyelesaian penyelidikan.
Beberapa peneliti mengatakan kepada BleepingComputer bahwa mereka percaya kompromi drift salesloft tumpang tindih dengan Serangan Pencurian Data Salesforce Terbaru oleh kelompok pemerasan Shinyhunters.
Sejak awal tahun, para aktor ancaman telah melakukan serangan rekayasa sosial untuk melanggar instance Salesforce dan mengunduh data.
Selama serangan ini, aktor ancaman melakukan phishing suara (Vishing) untuk menipu karyawan agar menghubungkan aplikasi OAuth berbahaya dengan instance Salesforce perusahaan mereka.
Setelah ditautkan, para aktor ancaman menggunakan koneksi untuk mengunduh dan mencuri basis data, yang kemudian digunakan untuk memeras perusahaan melalui email.
Sejak Google pertama kali melaporkan serangan itu Pada bulan Juni, banyak pelanggaran data telah terikat pada serangan rekayasa sosial, termasuk Google itu sendiri, Cisco, Asuransi petani, Hari kerja, Adidas, Qantas, Kehidupan Allianzdan anak perusahaan LVMH Louis Vuitton, DiorDan Tiffany & Co.
