ShinyHunters 是澳航、安联人寿和 LVMH 等公司 Salesforce 数据窃取攻击的幕后黑手
字数 1866 2025-09-01 11:26:03

Salesforce数据窃取攻击防御指南：ShinyHunters攻击手法与防护措施

1. 攻击事件概述

2025年7月，ShinyHunters黑客组织（追踪编号UNC6040）针对多家国际知名企业（包括澳航、安联人寿、LVMH集团旗下品牌、阿迪达斯等）的Salesforce CRM系统发起了一系列精心策划的攻击。这些攻击导致大量敏感客户数据被窃取，攻击者随后试图通过私下勒索获利。

2. 攻击手法详解

2.1 主要攻击方式

攻击者主要采用语音钓鱼(vishing)结合社会工程学的手段：

  1. 冒充IT支持人员：攻击者伪装成IT支持团队致电目标公司员工
  2. 诱导访问特定页面：引导受害者访问Salesforce的"连接应用程序设置"页面
  3. 恶意应用连接：要求受害者输入"连接代码"，将恶意版本的Salesforce Data Loader OAuth应用程序链接到目标的Salesforce环境

2.2 攻击变种

  • 应用伪装：将数据加载器组件重命名为"我的票务门户"增加可信度
  • 钓鱼页面辅助：通过伪造的Okta登录页面窃取凭证和MFA令牌
  • 目标数据：主要针对"帐户"和"联系人"数据库表（标准Salesforce对象）

3. 攻击组织分析

3.1 ShinyHunters特征

  • 专注于云平台和Web应用程序的数据窃取勒索攻击
  • 倾向于私下勒索而非公开泄露（勒索失败后才考虑长期泄漏）
  • 可能采用勒索即服务(RaaS)模式，代表其他威胁行为者进行勒索
  • 与多个知名数据泄露事件有关（PowerSchool、Oracle Cloud、Snowflake、AT&T等）

3.2 与其他组织的关联

  • 与Scattered Spider(UNC3944)的可能重叠：

    • 同时针对相同行业（航空、零售、保险）
    • 部分TTP（战术、技术和程序）重叠
    • 可能在相同网络社区交流

  • 与Lapsus$的潜在联系：

    • 部分成员可能来自已解散的Lapsus$组织
    • 采用类似的高调攻击风格

4. 受影响企业案例

以下企业已确认受到此类攻击影响：

  1. LVMH集团旗下品牌：

    • Louis Vuitton
    • Dior
    • Tiffany & Co.（特别是Tiffany Korea）

  2. 其他国际企业：

    • 阿迪达斯
    • 澳洲航空（Qantas）
    • 安联人寿北美公司（Allianz Life）

注：虽然企业未公开确认使用Salesforce，但调查证实均为同一攻击活动的目标

5. Salesforce安全防护措施

Salesforce强调平台本身未被攻破，攻击源于客户账户被社会工程学手段入侵。以下是Salesforce推荐的关键防护措施：

5.1 基础安全配置

  1. 强制使用受信任的IP范围登录

    • 限制仅从企业网络或VPN访问
    • 配置IP白名单策略

  2. 应用最小权限原则

    • 严格限制用户权限
    • 定期审查权限分配

  3. 启用多重身份验证(MFA)

    • 对所有用户强制执行MFA
    • 避免仅依赖SMS验证（考虑使用Authenticator应用或硬件密钥）

5.2 高级防护措施

  1. 连接应用程序管理

    • 严格限制连接应用的使用
    • 建立明确的访问策略
    • 定期审查已授权的OAuth应用

  2. Salesforce Shield组件

    • 事件监控：实时检测可疑活动
    • 字段审计追踪：监控敏感字段变更
    • 交易安全策略：定义和执行自定义安全规则

  3. 安全联系人设置

    • 指定专门的安全联系人用于事件沟通
    • 确保联系信息及时更新

5.3 员工安全意识培训

  1. 识别语音钓鱼

    • 培训员工识别可疑IT支持电话
    • 建立验证呼叫者身份的流程

  2. 连接应用授权意识

    • 教育员工关于连接应用的风险
    • 禁止在电话中提供验证码或执行不明操作

  3. 应急响应流程

    • 明确疑似入侵的报告流程
    • 定期进行钓鱼演练

6. 事件响应建议

如果怀疑已遭受类似攻击：

  1. 立即行动：

    • 撤销所有可疑的OAuth连接
    • 重置受影响账户的凭据

  2. 调查取证：

    • 审查登录日志和API调用记录
    • 检查是否有异常数据导出活动

  3. 通知相关方：

    • 联系Salesforce安全团队
    • 根据法规要求通知监管机构和受影响客户

  4. 长期监控：

    • 设置增强监控策略
    • 警惕后续勒索企图

7. 总结

ShinyHunters组织针对Salesforce环境的攻击展示了现代网络威胁的复杂性，结合了技术漏洞利用和高级社会工程学手段。防御此类攻击需要多层次的安全策略，包括严格的技术控制、持续的监控和全面的员工安全意识计划。企业必须认识到，在云服务时代，虽然平台提供商负责基础架构安全，但客户对自身数据和访问控制的安全负有同等重要的责任。

Salesforce数据窃取攻击防御指南：ShinyHunters攻击手法与防护措施 1. 攻击事件概述 2025年7月，ShinyHunters黑客组织（追踪编号UNC6040）针对多家国际知名企业（包括澳航、安联人寿、LVMH集团旗下品牌、阿迪达斯等）的Salesforce CRM系统发起了一系列精心策划的攻击。这些攻击导致大量敏感客户数据被窃取，攻击者随后试图通过私下勒索获利。 2. 攻击手法详解 2.1 主要攻击方式 攻击者主要采用 语音钓鱼(vishing) 结合 社会工程学 的手段： 冒充IT支持人员 ：攻击者伪装成IT支持团队致电目标公司员工 诱导访问特定页面 ：引导受害者访问Salesforce的"连接应用程序设置"页面 恶意应用连接 ：要求受害者输入"连接代码"，将恶意版本的Salesforce Data Loader OAuth应用程序链接到目标的Salesforce环境 2.2 攻击变种 应用伪装 ：将数据加载器组件重命名为"我的票务门户"增加可信度 钓鱼页面辅助 ：通过伪造的Okta登录页面窃取凭证和MFA令牌 目标数据 ：主要针对"帐户"和"联系人"数据库表（标准Salesforce对象） 3. 攻击组织分析 3.1 ShinyHunters特征 专注于 云平台和Web应用程序 的数据窃取勒索攻击 倾向于 私下勒索 而非公开泄露（勒索失败后才考虑长期泄漏） 可能采用 勒索即服务(RaaS) 模式，代表其他威胁行为者进行勒索 与多个知名数据泄露事件有关（PowerSchool、Oracle Cloud、Snowflake、AT&T等） 3.2 与其他组织的关联 与Scattered Spider(UNC3944)的可能重叠 ： 同时针对相同行业（航空、零售、保险） 部分TTP（战术、技术和程序）重叠 可能在相同网络社区交流 与Lapsus$的潜在联系 ： 部分成员可能来自已解散的Lapsus$组织 采用类似的高调攻击风格 4. 受影响企业案例 以下企业已确认受到此类攻击影响： LVMH集团旗下品牌 ： Louis Vuitton Dior Tiffany & Co.（特别是Tiffany Korea） 其他国际企业 ： 阿迪达斯 澳洲航空（Qantas） 安联人寿北美公司（Allianz Life） 注：虽然企业未公开确认使用Salesforce，但调查证实均为同一攻击活动的目标 5. Salesforce安全防护措施 Salesforce强调平台本身未被攻破，攻击源于客户账户被社会工程学手段入侵。以下是Salesforce推荐的关键防护措施： 5.1 基础安全配置 强制使用受信任的IP范围登录 限制仅从企业网络或VPN访问 配置IP白名单策略 应用最小权限原则 严格限制用户权限 定期审查权限分配 启用多重身份验证(MFA) 对所有用户强制执行MFA 避免仅依赖SMS验证（考虑使用Authenticator应用或硬件密钥） 5.2 高级防护措施 连接应用程序管理 严格限制连接应用的使用 建立明确的访问策略 定期审查已授权的OAuth应用 Salesforce Shield组件 事件监控 ：实时检测可疑活动 字段审计追踪 ：监控敏感字段变更 交易安全策略 ：定义和执行自定义安全规则 安全联系人设置 指定专门的安全联系人用于事件沟通 确保联系信息及时更新 5.3 员工安全意识培训 识别语音钓鱼 培训员工识别可疑IT支持电话 建立验证呼叫者身份的流程 连接应用授权意识 教育员工关于连接应用的风险 禁止在电话中提供验证码或执行不明操作 应急响应流程 明确疑似入侵的报告流程 定期进行钓鱼演练 6. 事件响应建议 如果怀疑已遭受类似攻击： 立即行动 ： 撤销所有可疑的OAuth连接 重置受影响账户的凭据 调查取证 ： 审查登录日志和API调用记录 检查是否有异常数据导出活动 通知相关方 ： 联系Salesforce安全团队 根据法规要求通知监管机构和受影响客户 长期监控 ： 设置增强监控策略 警惕后续勒索企图 7. 总结 ShinyHunters组织针对Salesforce环境的攻击展示了现代网络威胁的复杂性，结合了技术漏洞利用和高级社会工程学手段。防御此类攻击需要多层次的安全策略，包括严格的技术控制、持续的监控和全面的员工安全意识计划。企业必须认识到，在云服务时代，虽然平台提供商负责基础架构安全，但客户对自身数据和访问控制的安全负有同等重要的责任。