Sales otomasyon platformu Salesloft, siber saldırıya uğradığını açıkladı. Şirket, saldırganların Salesforce entegrasyonunda kullanılan OAuth ve yenileme anahtarlarını ele geçirerek müşteri verilerine eriştiğini doğruladı.
Saldırganlar Salesforce Entegrasyonunu Kullandı
Salesloft’un Drift sohbet aracını Salesforce’a bağlayan SalesDrift platformu saldırının merkezinde yer aldı. Saldırganlar 8-18 Ağustos 2025 tarihleri arasında bu anahtarları kullanarak Salesforce ortamlarına erişim sağladı. Şirketten yapılan açıklamada saldırganların önceliğinin AWS erişim anahtarları, parola bilgileri ve Snowflake erişim jetonları gibi kritik veriler olduğu belirtildi.
Salesloft, yalnızca Drift-Salesforce entegrasyonunu kullanan müşterilerin olaydan etkilendiğini duyurdu. Diğer kullanıcıların sistemlerinde herhangi bir risk bulunmadığı vurgulandı. Şirket, Salesforce ile koordineli şekilde tüm aktif erişim anahtarlarını iptal etti. Müşterilerden entegrasyonu yeniden doğrulaması istendi.
Google’ın Mandiant birimi saldırıyı UNC6395 olarak adlandırılan tehdit grubuna bağladı. Rapora göre saldırganlar Salesforce üzerinden sorgular çalıştırarak destek taleplerinden parola, anahtar ve erişim jetonlarını topladı. Elde edilen bilgilerle farklı platformlara da sızma girişiminde bulunuldu. Google, saldırganların izlerini silmek için sorgu kayıtlarını sildiğini ancak logların incelenebilir durumda olduğunu açıkladı.
Google, yöneticilerin Salesforce kayıtlarını incelemesi ve AWS, Snowflake ya da parola içerikli gizli verilerin çalınıp çalınmadığını kontrol etmesi gerektiğini belirtti. Ayrıca tüm erişim anahtarlarının değiştirilmesi ve ek güvenlik önlemleri alınması önerildi.
Olayın ardından ShinyHunters grubu saldırının arkasında olduklarını öne sürdü. Ancak Google tehdit istihbarat ekibi bu bağlantıya dair kesin bir kanıt bulamadı. ShinyHunters daha önce Snowflake ve Salesforce üzerinde geniş çaplı veri sızıntılarıyla gündeme gelmişti.
Siber güvenlik uzmanları, son dönemde Salesforce sistemlerine yönelik saldırıların arttığını belirtiyor. Tehdit aktörleri çalışanları kandırarak zararlı uygulamaları sisteme bağlatıyor, ardından şirket verilerini indirip fidye talep ediyor. Google ve diğer güvenlik şirketleri, Adidas, Cisco, Qantas, Allianz Life ve LVMH bünyesindeki markalar dâhil birçok kurumun bu saldırılardan etkilendiğini duyurdu.
