Código HTML do Conteúdo
Post: FBI alerta sobre UNC6040, UNC6395 hackers roubam dados do Salesforce - Against Invaders - Notícias de CyberSecurity para humanos.
<div>
<div>
<p>O FBI emitiu um alerta FLASH alertando que dois clusters de ameaças, rastreados como UNC6040 e UNC6395, estão comprometendo os ambientes Salesforce das organizações para roubar dados e extorquir vítimas.</p>
<p>“O Federal Bureau of Investigation (FBI) está lançando este FLASH para disseminar Indicadores de Comprometimento (IOCs) associados a recentes atividades cibernéticas maliciosas por grupos criminosos cibernéticos UNC6040 e UNC6395, responsáveis por um número crescente de roubos de dados e invasões de extorsão”, diz o <a href="https://www.ic3.gov/CSA/2025/250912.pdf" rel="nofollow noopener" target="_blank">Aviso FLASH do FBI</a>.</p>
<p>“Ambos os grupos foram observados recentemente visando as plataformas Salesforce das organizações por meio de diferentes mecanismos de acesso inicial. O FBI está divulgando essas informações para maximizar a conscientização e fornecer IOCs que podem ser usados pelos destinatários para pesquisa e defesa de rede.</p>
<p>UNC6040 foi <a href="https://www.bleepingcomputer.com/news/security/google-hackers-target-salesforce-accounts-in-data-extortion-attacks/" rel="nofollow noopener" target="_blank">divulgado pela primeira vez</a> pela Google Threat Intelligence (Mandiant) em junho, que alertou que, desde o final de 2024, os agentes de ameaças estavam usando engenharia social e ataques de vishing para induzir os funcionários a conectar aplicativos maliciosos do Salesforce Data Loader OAuth às contas do Salesforce de suas empresas.</p>
<p>Em alguns casos, os agentes de ameaças se passaram por pessoal de suporte de TI corporativo, que usou versões renomeadas do aplicativo chamadas “My Ticket Portal”.</p>
<p>Uma vez conectados, os agentes de ameaças usaram o aplicativo OAuth para exfiltrar em massa dados corporativos do Salesforce, que foram usados em tentativas de extorsão pelo grupo de extorsão ShinyHunters.</p>
<p>Nesses primeiros ataques de roubo de dados, ShinyHunters disse ao BleepingComputer que eles visavam principalmente o “<a href="https://help.salesforce.com/s/articleView?id=commerce.om_account_fields.htm&type=5" rel="nofollow noopener" target="_blank">Contas</a>” e “<a href="https://help.salesforce.com/s/articleView?id=commerce.om_contact_fields.htm&language=en_US&type=5" rel="nofollow noopener" target="_blank">Contatos</a>“, que são usadas para armazenar dados sobre os clientes de uma empresa.</p>
<p>Esses ataques de roubo de dados foram generalizados, impactando empresas grandes e conhecidas, como <a href="https://www.bleepingcomputer.com/news/security/google-suffers-data-breach-in-ongoing-salesforce-data-theft-attacks/" rel="nofollow noopener" target="_blank">Pesquise no Google</a>,<a href="https://www.bleepingcomputer.com/news/security/adidas-warns-of-data-breach-after-customer-service-provider-hack/" rel="nofollow noopener" target="_blank">Adidas</a>,<a href="https://www.bleepingcomputer.com/news/security/qantas-confirms-data-breach-impacts-57-million-customers/" rel="nofollow noopener" target="_blank">Qantas</a>,<a href="https://www.bleepingcomputer.com/news/security/allianz-life-confirms-data-breach-impacts-majority-of-14-million-customers/" rel="nofollow noopener" target="_blank">Allianz Life</a>,<a href="https://www.bleepingcomputer.com/news/security/cisco-discloses-data-breach-impacting-ciscocom-user-accounts/" rel="nofollow noopener" target="_blank">Cisco</a>, <a href="https://databreaches.net/2025/09/11/exclusive-high-end-fashion-retailers-gucci-balenciaga-brion-and-alexander-mcqueen-hit-by-salesforce-attacks/" rel="nofollow noopener" target="_blank">Kering</a>, <a href="https://www.bleepingcomputer.com/news/security/louis-vuitton-says-regional-data-breaches-tied-to-same-cyberattack/" rel="nofollow noopener" target="_blank">Louis Vuitton</a>,<a href="https://www.bleepingcomputer.com/news/security/fashion-giant-dior-discloses-cyberattack-warns-of-data-breach/" rel="nofollow noopener" target="_blank">Dior</a>e<a href="https://www.chosun.com/english/industry-en/2025/05/26/ORM5MULB7NEM7EBUFVXHVLSB4A/" rel="nofollow noopener" target="_blank">Tiffany & Co.</a></p>
<p>Ataques posteriores de roubo de dados em agosto também visaram clientes do Salesforce, mas desta vez utilizaram tokens roubados do Salesloft Drift OAuth e de atualização para violar as instâncias do Salesforce dos clientes.</p>
<p>Essa atividade é rastreada como UNC6395 e acredita-se que tenha ocorrido entre 8 e 18 de agosto, com os agentes de ameaças usando os tokens para direcionar as informações do caso de suporte da empresa que foram armazenadas no Salesforce.</p>
<p>Os dados exfiltrados foram então analisados para extrair segredos, credenciais e tokens de autenticação compartilhados em casos de suporte, incluindo chaves da AWS, senhas e tokens do Snowflake. Essas credenciais podem ser usadas para migrar para outros ambientes de nuvem para roubo de dados adicionais.</p>
<p>A Salesloft trabalhou com a Salesforce para revogar todos os tokens Drift e exigiu que os clientes se autenticassem novamente na plataforma.</p>
<p>Mais tarde, foi revelado que os agentes da ameaça também roubaram tokens do Drift Email, que foram usados para acessar e-mails de um pequeno número de contas do Google Workspace.</p>
<p>Uma investigação da Mandiant determinou que o ataque se originou em março, quando os repositórios GitHub da Salesloft foram comprometidos, permitindo que os invasores roubassem os tokens Drift OAuth.</p>
<p>Como os ataques anteriores, esses novos ataques de roubo de dados do Salesloft Drift afetaram várias empresas, incluindo <a href="https://www.bleepingcomputer.com/news/security/cloudflare-hit-by-data-breach-in-salesloft-drift-supply-chain-attack/" rel="nofollow noopener" target="_blank">Cloudflare</a>,<a href="https://www.bleepingcomputer.com/news/security/zscaler-data-breach-exposes-customer-info-after-salesloft-drift-compromise/" rel="nofollow noopener" target="_blank">Zscaler</a>,<a href="https://www.tenable.com/blog/tenable-response-to-salesforce-and-salesloft-drift-incident" rel="nofollow noopener" target="_blank">Sustentável</a>,<a href="https://www.cyberark.com/resources/blog/salesloft-drift-incident-overview-and-cyberarks-response" rel="nofollow noopener" target="_blank">CyberArk</a>,<a href="https://www.elastic.co/blog/elastic-update-salesloft-drift-security-incident" rel="nofollow noopener" target="_blank">Elástico</a>,<a href="https://www.beyondtrust.com/trust-center/security-advisories/salesforce-salesloft-drift-security-incident" rel="nofollow noopener" target="_blank">Além da confiança</a>,<a href="https://www.proofpoint.com/us/blog/corporate-news/salesloft-drift-supply-chain-incident-response" rel="nofollow noopener" target="_blank">Ponto de prova</a>,<a href="https://jfrog.com/help/r/salesforce-data-incident-identified-linked-to-third-party-salesloft-drift/salesforce-data-incident-identified-linked-to-third-party-salesloft-drift" rel="nofollow noopener" target="_blank">JFrog</a>,<a href="https://www.nutanix.com/blog/third-party-salesloft-drift-application-incident-response-our-impact-and-action" rel="nofollow noopener" target="_blank">Nutanix</a>,<a href="https://blog.qualys.com/misc/2025/09/06/salesloft-drift-supply-chain-incident" rel="nofollow noopener" target="_blank">Qualys</a>,<a href="https://www.rubrik.com/blog/company/25/salesforce-connected-third-party-drift-application-supply-chain-incident-response" rel="nofollow noopener" target="_blank">Rubrik</a>,<a href="https://www.catonetworks.com/blog/cato-networks-statement-on-salesforce-salesloft-drift-incident/" rel="nofollow noopener" target="_blank">Redes Cato</a>,<a href="https://www.bleepingcomputer.com/news/security/palo-alto-networks-data-breach-exposes-customer-info-support-cases/" rel="nofollow noopener" target="_blank">Redes de Palo Alto</a>e <a href="https://www.driftbreach.com/" rel="nofollow noopener" target="_blank">muitos mais</a>.</p>
<p>Embora o FBI não tenha nomeado os grupos por trás dessas campanhas, o BleepingComputer foi informado pelo grupo de extorsão ShinyHunters que eles e outros agentes de ameaças que se autodenominam “Caçadores de Lapsus $ Dispersos, estavam por trás de ambos os grupos de atividade.</p>
<p>Esse grupo de hackers afirma ter se originado e se sobreposto aos grupos de extorsão Lapsus$, Scattered Spider e ShinyHunters.</p>
<p>Na quinta-feira, os agentes de ameaças anunciaram por meio de um domínio associado ao BreachForums que planejavam “escurecer” e parar de discutir operações no Telegram.</p>
<p>No entanto, em um post de despedida, os hackers alegaram ter obtido acesso à verificação de antecedentes do E-Check do FBIystem e o sistema de solicitação de aplicação da lei do Google, publicando capturas de tela como prova.</p>
<p>Se legítimo, esse acesso permitiria que eles se passassem por policiais e extraíssem registros confidenciais de indivíduos.</p>
<p>Quando contatado pelo BleepingComputer, o FBI se recusou a comentar e o Google não respondeu ao nosso e-mail.</p>
<p><a href="https://hubs.li/Q03B5Kw_0" rel="noopener sponsored" target="_blank"><br />
<img decoding="async" alt="Relatório Picus Blue 2025" src="https://datalake.azaeo.com/wp-content/uploads/2025/08/blue-report-2025.jpg"><br />
</a>
</p>
</div></div>