Anche Google vittima della campagna di ShinyHunters
Una nuova ondata di attacchi mirati ai sistemi CRM basati su Salesforce sta colpendo duramente aziende di ogni settore. L’ultima vittima eccellente è Googleche ha confermato il furto di dati da una delle proprie istanze Salesforce a opera di un gruppo identificato come UNC6040, ma riconducibile agli ormai noti ShinyHunters.
Secondo quanto dichiarato da Google in un aggiornamento ufficiale pubblicato ieri sera, il breach sarebbe avvenuto nel mese di giugno. Gli attaccanti hanno compromesso una istanza corporate di Salesforce usata per gestire i contatti delle piccole e medie imprese clienti. L’accesso illegittimo grazie ad attacchi di vishing (voice phishing) andati a segno contro dipendenti dell’azienda, una tecnica sempre più utilizzata per eludere i controlli tradizionali.
“L’istanza era utilizzata per archiviare informazioni di contatto e note associate a piccole e medie imprese” – si legge nel comunicato di Google. “L’analisi ha rivelato che l’attore ha prelevato i dati in un breve intervallo di tempo, prima che l’accesso venisse interrotto.”
Secondo Google, le informazioni esfiltrate sono limitate a dati aziendali di base già in parte pubblici, come nomi delle aziende e recapiti. Tuttavia, resta il fatto che l’intrusione è avvenuta con successo, confermando l’efficacia della campagna di attacco attualmente in corso.
Estorsione o data leak: il doppio gioco di ShinyHunters
L’ondata di attacchi è stata osservata e seguita da BleepingComputer, che ha collegato il gruppo UNC6040 – o UNC6240, a seconda delle fonti – ai famigerati ShinyHunters, responsabili in passato di attacchi a PowerSchool, Snowflake, Oracle Cloud, AT&T, Wattpad e molti altri.
La strategia è ormai consolidata: dopo aver ottenuto l’accesso alle istanze Salesforce tramite tecniche di ingegneria sociale, gli attaccanti procedono a esfiltrare i dati dei clienti, per poi inviare email di estorsione diretta. I messaggi chiedono il pagamento di un riscatto per evitare la pubblicazione dei dati su forum di hacking.
ShinyHunters ha riferito, sempre a BleepingComputer, di aver violato diverse altre istanze Salesforcee che gli attacchi sono ancora in corso. Il gruppo avrebbe persino compromesso una “azienda da trilioni di dollari”, lasciando intendere che possa trattarsi proprio di Google, ma senza conferme ufficiali.
In alcuni casi, come quello di una società rimasta anonima, le vittime hanno pagato riscatti fino a 4 Bitcoin, equivalenti a circa 400.000 dollari, pur di evitare la pubblicazione dei dati.
Vittime illustri e attacchi ancora attivi
Oltre a Google, le aziende colpite finora includono Adidas, Qantas, Allianz Life, Cisco e alcune sussidiarie di LVMH. In molti casi, le richieste di riscatto sono ancora in corso, mentre per le aziende che si rifiutano di pagare, il destino sarà con ogni probabilità quello della pubblicazione dei dati trafugati su forum underground.
Altro in questa categoria