Salesforce Saldırıları Şirketleri Hedef Alıyor: Etkilendiğinizi Nasıl Anlarsınız ve Kendinizi Nasıl Koruyabilirsiniz?
FBI iki tehdit grubunun Salesforce ortamlarını hedef aldığı konusunda acil uyarı yayınladı. UNC6040 ve UNC6395 olarak adlandırılan gruplar son aylarda artan saldırılar ile Salesforce müşterilerini hedef alıyor. Siber güvenlik uzmanları işletmelerin bu tehditlere karşı acilen önlem alması gerektiğini vurguluyor.
Tehdit Grupları Salesforce Hesaplarını Farklı Yöntemlerle Ele Geçiriyor
FBI’ın açıklamasına göre UNC6040 ekibi, 2024 ekiminden bu yana Salesforce müşterilerini sosyal mühendislik yöntemleriyle hedef alıyor. Grup, genellikle telefonla çağrı merkezlerini arayarak kendini bilgi işlem personeli gibi tanıtıyor. Çalışanları kurumsal bağlantı sorunlarını çözme bahanesiyle yanıltan saldırganlar, erişim elde etmek için sahte destek talepleri oluşturuyor.
Saldırılarda sahte giriş sayfaları da kullanılıyor. Çalışanlar bu sayfalara yönlendirilerek kullanıcı adı ve şifre bilgilerini giriyor. Grup ayrıca çalışanlardan çok faktörlü doğrulama kodlarını da alarak Salesforce Data Loader uygulamasını yetkilendiriyor. Böylece saldırganlar müşteri verilerini kopyalayabiliyor.
UNC6395 ekibi ise farklı bir yol izliyor. Grup, Salesloft Drift uygulamasına ait ele geçirilmiş OAuth jetonlarını kullanarak sisteme sızıyor. Bu yöntemle Salesforce platformlarına erişim sağlanıyor ve veri dışarı çıkarılıyor. Google, Zscaler, Palo Alto Networks ve Cloudflare gibi büyük şirketler bu saldırılardan etkilendiğini duyurdu. Salesloft daha sonra Drift için tüm erişim ve yenileme jetonlarını iptal ederek tehdidi durdurdu.
Şirketler Etkilendiklerini Nasıl Anlayabilir?
FBI, saldırılarda kullanılan IP adreslerini paylaştı. Kurum, şirketlerin bu adresleri incelemesini ve şüpheli bağlantıları engellemeden önce doğrulama yapmasını önerdi. Ağ günlüklerinin incelenmesi, anormal oturum hareketlerinin kontrol edilmesi ve API kullanımlarının izlenmesi de etkilenen sistemlerin tespiti için kritik adımlar arasında yer alıyor.
Kurumların Kendilerini Koruması için Hangi Yolları İzlemesi Gerekiyor?
FBI, çağrı merkezi çalışanlarının oltalama girişimlerini tanıyacak şekilde eğitilmesi gerektiğini vurguladı. Ayrıca çok faktörlü kimlik doğrulama yöntemlerinin yaygın şekilde devreye alınması tavsiye edildi.
Kurumun önerileri arasında yetkilendirme ve kimlik denetim sistemlerinin kullanılması da bulunuyor. Bu sayede kullanıcıların hangi işlemleri yapabileceği sınırlandırılıyor. En az ayrıcalık ilkesine dayalı hesap yönetimi, saldırganların sisteme sızması durumunda zarar verme ihtimalini azaltıyor.
Ek olarak IP tabanlı erişim kısıtlamalarının uygulanması, üçüncü taraf uygulama bağlantılarının düzenli olarak gözden geçirilmesi ve şüpheli veri çıkışlarının izlenmesi de önerilen adımlar arasında yer alıyor.
