O FBI e os investigadores franceses apreenderam pelo menos um domínio para um popular fórum de crimes cibernéticos que está sendo usado como um site de vazamento em conexão com as recentes violações do Salesforce.
Capturas de tela postadas no X (antigo Twitter) revelam o site clearweb do BreachForums agora gravado com os logotipos do FBI, do Departamento de Justiça, do grupo policial francês de crimes cibernéticos BL2C e da divisão do Ministério Público de Paris JUNALCO.
“O FBI e nossos parceiros apreenderam domínios associados ao BreachForums, um importante mercado criminoso usado por ShinyHunters, Baphomet e IntelBroker para traficar dados roubados e facilitar a extorsão”, acompanha o post explicado.
“Essa remoção remove o acesso a um hub importante usado por esses atores para monetizar invasões, recrutar colaboradores e atingir vítimas em vários setores. Isso demonstra o alcance das operações coordenadas de aplicação da lei internacional para impor custos aos responsáveis pelo crime cibernético.”
O FBI e nossos parceiros apreenderam domínios associados ao BreachForums, um importante mercado criminoso usado por ShinyHunters, Baphomet e IntelBroker para traficar dados roubados e facilitar a extorsão.
Essa remoção remove o acesso a um hub importante usado por esses atores para monetizar… pic.twitter.com/aiTRzFCIYU
— FBI (@FBI) 12 de outubro de 2025
Embora o aviso faça referência a mais de um domínio, relatos generalizados sugerem que as autoridades apenas interromperam os “fóruns de violação”[.]hn,”com o site .onion relacionado ainda online.
Isso significa que a apreensão fará pouco para impedir a extorsão contínua das vítimas da recente campanha da Salesforce. Scattered Lapsus$ Hunters afirma ter mais de um bilhão de registros em sua posse e forneceu um prazo de 10 de outubro para negociar.
Uma declaração separada assinada pelo PGP da ShinyHunters republicada pela SOCRadar afirmou que os federais também apreenderam todos os backups de banco de dados do site BreachForums desde 2023 e que todos os bancos de dados de custódia foram comprometidos. Os servidores de back-end foram destruídos, acrescentou.
“O BreachForums nunca mais voltará, se voltar, deve ser imediatamente considerado um honeypot”, continuou o comunicado.
“Não há muito a dizer sobre essa apreensão, mas uma coisa a notar é que a recente ação que o governo dos EUA tomou contra nós não tem impacto em nossas campanhas do Salesforce.”
As vítimas do Salesforce permanecem expostas
Noelle Murata, engenheira de segurança sênior da Xcape, concordou que a remoção faria pouco para interromper a campanha de extorsão.
“As organizações afetadas pela violação do Salesforce devem se preparar para uma possível exposição de dados, mesmo com o fórum offline. Isso inclui fortalecer os esforços de monitoramento e ter planos de resposta em vigor”, argumentou.
“O aumento da eficácia da aplicação da lei nesta situação é acompanhado pela capacidade dos agentes de ameaças de se adaptar e encontrar novas plataformas, destacando a interação em constante mudança entre ataque, defesa e o papel da aplicação da lei.”
No entanto, a apreensão de backups pode ajudar os agentes da lei em outras investigações, disse o diretor de segurança da AppOmni, Cory Michal.
“Se isso for preciso, é interessante porque significa que os investigadores agora têm acesso a dados históricos do usuário, incluindo detalhes de registro, registros de IP, mensagens privadas e registros de transações de uma das comunidades criminosas mais ativas nos últimos anos”, acrescentou.
“Esse nível de visibilidade pode ajudar diretamente no mapeamento de relacionamentos, atribuindo pseudônimos a identidades reais e construindo casos criminais mais fortes contra infratores reincidentes. Não é apenas uma apreensão de domínio, é potencialmente um tesouro de evidências para promover a investigação.”
Acredita-se que dezenas de organizações foram violadas por meio da campanha Salesforce, incluindo FedEx, Home Depot, Google, Air France/KLM, Chanel, Pandora e Adidas.
As vítimas foram alvejadas por meio de umcampanha de vishingno qual eles foram enganados para baixar uma versão maliciosa do aplicativo Data Loader do Salesforceou comprometido por meio de tokens OAuth associados aoaplicativo Salesloft Drift de terceiros.