近日,网络安全领域再起波澜,全球知名软件服务提供商Salesforce卷入一场大规模数据盗窃与勒索风波。据多方消息证实,Salesforce已明确表态,不会与实施攻击的网络威胁组织进行任何形式的谈判,也绝不会支付赎金。
此次事件源于一个名为“Scattered Lapsus$ Hunters”的黑客组织,该组织近期建立了一个数据泄露网站,并试图对39家数据遭窃的公司进行勒索。该网站托管在域名breachforums[.]hn下,此域名与臭名昭著的黑客论坛BreachForums有关联,后者以买卖和泄露被盗数据而闻名。
被列在该数据泄露网站上的企业阵容强大,包括联邦快递、迪士尼/Hulu、家得宝、万豪国际、谷歌、思科、丰田、盖璞、开云集团、麦当劳、沃尔格林、Instacart、卡地亚、阿迪达斯、萨克斯第五大道、法航-荷航集团、环联、HBO MAX、联合包裹、香奈儿以及宜家等众多知名品牌和机构。黑客组织声称,若这些企业未单独支付赎金,或Salesforce未统一支付覆盖所有受影响客户的赎金,他们将逐步公开窃取的近10亿条数据记录。
Salesforce在向客户发送的电子邮件中明确表示,不会支付赎金,并警告称,根据“可信的威胁情报”,攻击者正计划公开泄露所窃取的数据。Salesforce还向BleepingComputer证实,不会与任何勒索方接触、谈判或满足其勒索要求。
这场数据盗窃事件可追溯至2025年发生的两起独立攻击行动。第一波攻击始于2024年底,攻击者通过社会工程手段,冒充IT技术支持人员,诱骗企业员工将恶意OAuth应用连接至公司的Salesforce系统。一旦获得授权,攻击者便利用该访问权限下载并窃取数据库,随后通过电子邮件对企业实施勒索。此次攻击影响的企业包括谷歌、思科、澳洲航空、阿迪达斯、安联人寿、农夫保险、Workday、开云集团,以及LVMH集团旗下子公司如迪奥、路易威登和蒂芙尼等。
第二波攻击始于2025年8月初,攻击者利用从SalesLoft Drift平台窃取的OAuth令牌,横向渗透至其客户的CRM环境并实施数据外泄。此次攻击主要聚焦于窃取客户支持工单数据,从中扫描提取登录凭证、API密钥、身份验证令牌及其他敏感信息,以便进一步入侵企业的内部基础设施和云服务系统。其中一名参与攻击的黑客组织成员——“ShinyHunters”向BleepingComputer透露,在此次攻击活动中,他们共窃取了超过760家企业的约15亿条数据记录。
截至目前,已有包括谷歌、Cloudflare、Zscaler、Tenable、CyberArk、Elastic、BeyondTrust、Proofpoint、JFrog、Nutanix、Qualys、Rubrik、Cato Networks、Palo Alto Networks在内的多家企业确认受到了SalesLoft供应链攻击的影响。
近期上线的数据泄露网站最初主要用于勒索第一波社会工程攻击中的受害者。攻击者曾宣称,将于10月10日之后开始公开勒索受SalesLoft攻击影响的企业。然而,目前该数据泄露网站已被关闭。其域名当前使用的DNS服务器为surina.ns.cloudflare.com和hans.ns.cloudflare.com,这两个IP地址此前曾被美国联邦调查局(FBI)用于查封非法域名时使用。
BleepingComputer已就此联系FBI,询问是否由其执行了此次域名查封,但截至发稿时尚未收到回应。