Los ataques de Salesforce aumentan en escala a medida que Icarus filtra datos

La reciente ola de filtraciones de datos de Salesforce afectó a varias empresas de tecnología y ciberseguridad, y el grupo extorsionador detrás de los ataques insinuó que habría más víctimas.

los ataques salió a la luz primero 17 de junio, cuando Salesforce deshabilitó la integración con la aplicación Battlecards de Klue luego de una infracción en el proveedor de la aplicación. El proveedor de ciberseguridad Huntress fue la primera empresa en admitir públicamente que sus datos de Salesforce habían sido comprometidos, y el grupo de extorsión Icarus se atribuyó el mérito de los ataques y advirtió que surgirían más víctimas.

Desde entonces, otras empresas han publicado divulgaciones sobre datos comprometidos de Salesforce. LastPass dijo ayer Publicación de blog que fue afectada por los ataques. Si bien los actores de amenazas accedieron a los datos de los clientes a través de la instancia Salesforce del administrador de contraseñas, LastPass enfatizó que sus productos, servicios e infraestructura no se vieron afectados y que «las bóvedas de los clientes permanecen seguras».

Relacionado:Los atacantes de FortiBleed convierten los firewalls en ladrones de credenciales mientras continúan los atracos

LastPass también señaló que si bien la plataforma de inteligencia de mercado de Klue está integrada con su Sistemas de gong«No hubo evidencia de que el actor de amenazas haya accedido a datos relacionados con Gong».

Como muchas organizaciones que han revelado instancias comprometidas de Salesforce, LastPass dijo que suspendería inmediatamente todo el acceso de la compañía a Klue, rotaría los tokens de acceso API expuestos e iniciaría una investigación sobre el ataque. Otras empresas de tecnología y ciberseguridad que han informado de ataques incluyen HackerOne, Recorded Future, Jamf, Snyk OneTrust, Insurity, Tanium y Sprout Social.

Alcance del abuso del token Klue OAuth

Parece que los actores de amenazas pueden tener acceso a algo más que instancias de Salesforce. El propio Gong publicó un Publicación de blog El viernes, dijo que los atacantes pueden haber accedido a «datos internos de usuarios con licencia» de un subconjunto de clientes de Gong que utilizan la integración de Klue. Según la empresa, los datos de Gong a los que se accede incluyen nombres de usuarios, nombres comerciales de los usuarios y direcciones de correo electrónico de los usuarios.

«Para ser claros, este fue un incidente causado por el integrador externo Klue. No fue una violación directa de los productos o sistemas propios de Gong», dijo la compañía. «Los clientes afectados fueron aquellos que asociaron a Klue con Gong. Gong no vio ningún impacto directo en las grabaciones o transcripciones de las conversaciones de los clientes».

Gong añadió que Klue proporcionó a la empresa cuatro direcciones IP sospechosas, que Gong bloqueó. Después de investigar la actividad asociada con la dirección IP, Gong descubrió que algunos datos de los clientes estaban comprometidos.

Dark Reading se puso en contacto con Gong para obtener más comentarios.

El compromiso de instancias adicionales de Salesforce y correos electrónicos de usuarios de Gong podría ser una preocupación secretos revelados. En ataques anteriores a Salesforce el año pasado, que implicaron violar otra Proveedor de aplicaciones de terceros, Salesloft — Algunas víctimas admitieron que sus casos contenían secretos. Por ejemplo, Cloudflare descubrió 104 tokens API en su instancia de Salesforce, que se incluyeron en algunos archivos de datos de casos de soporte. Estas fichas se rotaron inmediatamente.

Relacionado:El atraco de criptomonedas está impulsado por una elaborada y falsa campaña para mejorar la reputación

El espectro de los ataques del año pasado puede haber llevado a las empresas afectadas por la campaña Icarus a examinar cuidadosamente los datos afectados en busca de posibles secretos o información sensible más allá de lo que tradicionalmente estaría contenido en las instancias de Salesforce.

HackerOne, por ejemplo, señaló esto su divulgación que tiene “políticas y controles estrictos de segmentación de datos” que prohíben los datos de vulnerabilidad del cliente de sus sistemas CRM. «Además, nuestra investigación forense preliminar no encontró evidencia de que se hubiera accedido a dichos datos», dijo la compañía.

La banda Ikarus transmite datos robados

En su sitio de filtración en la web oscura, Icarus había dado previamente a los clientes de Klue una fecha límite hasta el lunes para contactar al grupo de extorsión. Y, de hecho, Icarus comenzó a publicar los datos de las organizaciones de las víctimas, aunque con algunos de los nombres de las empresas tachados. Al momento de esta publicación, había seis clientes de Klue listados en el sitio.

Relacionado:El robo de datos de Salesforce continúa a través del compromiso de la aplicación Klue

Cazadora confirmada una actualización del lunes que los datos publicados por Icarus correspondían al alcance previamente determinado por la investigación. Además, el proveedor de ciberseguridad confirmó que no se accedió a productos, datos de infraestructura, telemetría, contraseñas o información de tarjetas de pago.

«Los archivos de Huntress se limitan a datos de Salesforce, que incluyen información de contacto comercial (por ejemplo, nombres completos, direcciones de correo electrónico comerciales, cargo, número de teléfono y direcciones comerciales), nombres de empresas, productos probados/usados, detalles de suscripción (unidades, precios) y comunicaciones relacionadas con las ventas (por ejemplo, cotizaciones de precios, contactos y tareas) con clientes y socios de Huntress, y notas de oportunidades (es decir, campos de formato libre donde los compañeros de equipo pueden capturar y rastrear pensamientos y próximos pasos)», dijo Cazadora.

En un vídeo adjunto, Tom Lawrence, estratega de crecimiento comunitario de Huntress, dijo que el principal riesgo del compromiso de Salesforce es que los actores de amenazas envíen a los clientes de Huntress un mensaje dirigido y persuasivo para uno Ataque de ingeniería social. Por lo tanto, dijo, los clientes deben revisar todos los mensajes relacionados con incidentes solo a través de canales conocidos y revisar los mensajes fuera de banda en un canal separado antes, por ejemplo, de transferir dinero o entregar credenciales de inicio de sesión.