مایکروسافت سه مسیر حمله به Salesforce مرتبط با یک سال فعالیت ShinyHunters را شناسایی کرد

مایکروسافت در گزارشی که در ۱۳ ژوئیه منتشر کرد، فاش کرد که گروه اخاذی داده‌ای ShinyHunters طی یک سال گذشته (از اواسط ۲۰۲۵ تا اواسط ۲۰۲۶) به محیط‌های سازمانی Salesforce نفوذ کرده، بدون آنکه از هیچ آسیب‌پذیری فنی در این پلتفرم سوءاستفاده کند. این مهاجمان از سه مسیر متمایز بهره بردند: تماس‌های فیشینگ صوتی (vishing) برای فریب کارکنان جهت تأیید اپلیکیشن‌های مخرب از طریق صفحه رضایت OAuth، سرقت توکن‌های OAuth از فروشندگان نرم‌افزار شخص ثالث که از پیش به محیط‌های Salesforce مشتریان دسترسی داشتند، و بهره‌برداری از دسترسی‌های مهمان (guest access) پیکربندی‌نشده در سایت‌های Experience Cloud. در بزرگ‌ترین رویداد مستند، سرقت توکن‌های OAuth از سرویس Drift متعلق به Salesloft در اوت ۲۰۲۵ بیش از ۷۰۰ سازمان از جمله Cloudflare، Zscaler و Palo Alto Networks را در معرض خطر قرار داد.

مایکروسافت با همکاری Salesforce ابزارهای جدید شناسایی و حاکمیتی را در Defender for Cloud Apps عرضه کرده که شامل نسبت‌دهی فعالیت به اپلیکیشن‌های OAuth مشخص، نمایش اپ‌های با دسترسی بالا یا غیرفعال بیش از ۹۰ روز، و امتیاز ریسک ۰ تا ۱۰۰ برای هر اپلیکیشن متصل می‌شود. کارشناسان تأکید می‌کنند که ریشه این حملات در نظارت‌ناپذیر بودن اتصالات OAuth و اعتبارنامه‌های سرویس (service credentials) است که خارج از کنترل‌های هویتی متداول مانند احراز هویت چندعاملی (MFA) قرار دارند؛ توصیه اصلی، فهرست‌برداری از اپ‌های متصل، حذف موارد بلااستفاده، اعمال اصل حداقل دسترسی (least privilege) و آمادگی برای ابطال فوری توکن‌ها در صورت رفتار غیرعادی است.