Siber güvenlik şirketi Zscaler, yaşanan bir saldırı sonrası müşteri bilgilerinin yetkisiz kişilerin eline geçtiğini duyurdu. Şirket, saldırganların Salesforce ortamına erişim sağladığını ve destek taleplerine ait bazı içeriklerin de dâhil olduğu verileri ele geçirdiğini açıkladı.
Saldırının Kaynağı Salesloft Drift Entegrasyonu Oldu
Zscaler’ın yayımladığı güvenlik duyurusuna göre saldırganlar, Salesloft Drift üzerinden OAuth ve yenileme belirteçlerini ele geçirerek Salesforce sistemlerine erişim sağladı. İnceleme sonunda bu erişimle ad, iş e-posta adresi, görev unvanı, telefon bilgisi, bölgesel detaylar, ürün lisanslamaları ve bazı destek taleplerindeki içeriklerin kopyalandığı tespit edildi.
Zscaler, söz konusu olayın ürünleri ve altyapısı üzerinde herhangi bir etkisinin bulunmadığını vurguladı. Şirket, saldırganların verileri kötüye kullandığına dair bir işaret görülmediğini belirtse de kullanıcılarına olası kimlik avı ya da sosyal mühendislik girişimlerine karşı dikkatli olmaları çağrısında bulundu.
Olayın ardından tüm Salesloft Drift entegrasyonları iptal edildi, diğer API belirteçleri yenilendi ve müşteri destek görüşmelerinde ek kimlik doğrulama adımları devreye alındı. Şirket ayrıca soruşturmanın sürdüğünü açıkladı.
Google Tehdit İstihbaratı ekibi, saldırıların UNC6395 adlı aktör tarafından gerçekleştirildiğini bildirdi. Grubun destek taleplerinde paylaşılan erişim anahtarları ve parolalar gibi hassas bilgileri hedef aldığı belirtildi. Google’ın raporuna göre saldırganlar AWS erişim anahtarları ve Snowflake belirteçleri gibi verileri de toplamaya çalıştı.
Salesloft üzerinden gerçekleşen saldırının yalnızca Drift Salesforce entegrasyonu ile sınırlı kalmadığı, Drift Email kullanıcılarının da etkilendiği açıklandı. Çalınan belirteçler sayesinde Google Workspace e-posta hesaplarına erişildiği ve yazışmaların okunduğu da bildirildi. Olayın ardından Google ile Salesforce, Drift bağlantılarını geçici olarak askıya aldı.
Bazı güvenlik araştırmacıları, saldırının daha önce Salesforce üzerinden veri sızdırdığı bilinen ShinyHunters grubuyla bağlantılı olabileceğini ileri sürdü. Yılın başından bu yana pek çok şirkete yönelik sosyal mühendislik yöntemleriyle benzer saldırılar düzenlendi. Etkilenen kurumlar arasında Google, Cisco, Farmers Insurance, Workday, Adidas, Qantas, Allianz Life ve LVMH’ye bağlı markalar da yer aldı.
