Google a confirmé que des pirates informatiques avaient volé les données stockées par Salesforce de plus de 200 entreprises lors d’un piratage à grande échelle de la chaîne d’approvisionnement.
Jeudi, Salesforce a révélé une violation des « données Salesforce de certains clients » – sans nommer les entreprises concernées – qui ont été volées via des applications publiées par Gainsight, qui fournit une plate-forme de support client à d’autres entreprises.
Dans un communiqué, Austin Larsen, principal analyste des menaces chez Google Threat Intelligence Group, a déclaré que la société « est au courant de plus de 200 instances Salesforce potentiellement affectées ».
Après que Salesforce a annoncé la violation, le groupe de piratage notoire et quelque peu nébuleux connu sous le nom de Scattered Lapsus$ Hunters, qui comprend le gang ShinyHunters, a revendiqué la responsabilité des piratages dans une chaîne Telegram, ce que TechCrunch a constaté.
Le groupe de piratage a revendiqué la responsabilité des piratages affectant Atlassian, CrowdStrike, Docusign, F5, GitLab, Linkedin, Malwarebytes, SonicWall, Thomson Reuters et Verizon.
Contactez-nous
Avez-vous plus d’informations sur ces violations de données Salesforce et Gainsight ? Ou d’autres violations de données ? Depuis un appareil non professionnel, vous pouvez contacter Lorenzo Franceschi-Bicchierai en toute sécurité sur Signal au +1 917 257 1382, ou via Telegram et Keybase @lorenzofb, ou par e-mail. Vous pouvez également contacter TechCrunch via SecureDrop.
Google n’a pas souhaité faire de commentaires sur des victimes spécifiques.
Le porte-parole de CrowdStrike, Kevin Benacci, a déclaré à TechCrunch dans un communiqué que la société « n’est pas affectée par le problème de Gainsight et que toutes les données des clients restent sécurisées ». CrowdStrike a déclaré avoir licencié un « initié suspect » pour avoir prétendument transmis des informations à des pirates informatiques.
TechCrunch a contacté toutes les entreprises mentionnées par Scattered Lapsus$ Hunters. Un porte-parole de Verizon a accusé réception de notre e-mail.
La porte-parole de Malwarebytes, Ashley Stewart, a déclaré à TechCrunch que l’équipe de sécurité de l’entreprise était « consciente » des problèmes liés à Gainsight et Salesforce et qu’elle « enquêtait activement sur la question ».
Au moment de la publication, aucune des autres sociétés n’a répondu aux demandes de commentaires.
Les pirates du groupe ShinyHunters ont déclaré à TechCrunch lors d’un chat en ligne qu’ils avaient eu accès à Gainsight, grâce à leur précédente campagne de piratage ciblant les clients de Salesloft, qui fournit une plate-forme marketing alimentée par l’IA et le chatbot appelée Drift. Dans ce cas précédent, les pirates ont volé les jetons d’authentification Drift à ces clients, permettant aux pirates de pénétrer dans leurs instances Salesforce liées et de télécharger leur contenu.
À l’époque, Gainsight avait confirmé qu’il faisait partie des victimes de cette campagne de piratage.
« Gainsight était un client de Salesloft Drift, ils ont été affectés et donc entièrement compromis par nous », a déclaré ShinyHunters.
La porte-parole de Salesforce, Nicole Aranda, a déclaré à TechCrunch que « par principe, Salesforce ne commente pas les problèmes spécifiques des clients ».
Gainsight n’a pas répondu aux demandes de commentaires de TechCrunch.
Jeudi, Salesforce a déclaré qu’il n’y avait « aucune indication que ce problème résultait d’une vulnérabilité de la plateforme Salesforce », se distanciant ainsi des violations de données de ses clients.
Gainsight a publié des mises à jour sur l’incident sur sa page d’incident. Vendredi, la société a déclaré qu’elle travaillait désormais avec l’unité de réponse aux incidents de Google, Mandiant, pour aider à enquêter sur la violation, que l’incident en question « provenait de la connexion externe des applications – et non d’un problème ou d’une vulnérabilité au sein de la plate-forme Salesforce », et qu’« une analyse médico-légale se poursuit dans le cadre d’un examen complet et indépendant ».
« Salesforce a temporairement révoqué les jetons d’accès actifs pour les applications connectées à Gainsight par mesure de précaution pendant que son enquête sur les activités inhabituelles se poursuit », selon la page d’incident de Gainsight, qui indique que Salesforce informe les clients concernés dont les données ont été volées.
Sur sa chaîne Telegram, Scattered Lapsus$ Hunters a annoncé son intention de lancer un site Web dédié pour extorquer les victimes de sa dernière campagne d’ici la semaine prochaine. C’est le modus operandi du groupe ; en octobre, les pirates ont également publié un site Web d’extorsion similaire après avoir volé les données Salesforce de la victime lors de l’incident de Salesloft.
Les Scattered Lapsus$ Hunters sont un collectif de hackers anglophones composé de plusieurs gangs de cybercriminels, dont ShinyHunters, Scattered Spider et Lapsus$, dont les membres utilisent des tactiques d’ingénierie sociale pour inciter les employés de l’entreprise à accorder aux pirates l’accès à leurs systèmes ou bases de données. Au cours des dernières années, ces groupes ont fait plusieurs victimes très médiatisées, telles que MGM Resorts, Coinbase, DoorDash, etc.
