Salesforce-User in mehreren Branchen wurden Opfer einer gezielten Vishing-Attacke.
JHVEPhoto – shutterstock.com
Eine neue Welle von Cyberangriffen auf Salesforce-Kunden erfasst aktuell Unternehmen verschiedener Branchen, darunter Gastgewerbe, Einzelhandel und Bildungswesen. Die Google Threat Intelligence Group (GTIG) hat die Angreifer, die sich auf Voice-Phishing (Vishing) spezialisiert haben, als UNC6040 identifiziert.
Modifizierte Salesforce-Tools als Einfallstor
Berichten zufolge geben sich Vertreter der Gruppe am Telefon als IT-Support-Mitarbeitende aus und überreden die Opfer, eine modifizierte Version des Salesforce Data Loader zu installieren. Die manipulierte Version nutzt die OAuth-basierte Funktion „Connected Apps“ von Salesforce aus, um sich mit der Salesforce-Umgebung der Opfer zu verbinden. Indem die Opfer einen von den Angreifenden bereitgestellten Verbindungscode auf der Setup-Seite für verbundene Apps eingeben, erhalten die Kriminellen direkten Zugriff auf umfangreiche Datenbestände.
Die modifizierte Data-Loader-App wird dabei häufig mit einem harmlos klingenden Namen wie „My Ticket Portal“ dargestellt. Ziel ist es, den IT-Support-Vorwand glaubwürdiger erscheinen zu lassen. Hierbei handelt es sich laut den Experten von Google um eine Form von gezielten Social-Engineering-Angriffen, die auf Nachlässigkeiten bei der Zugriffskontrolle und Schulung der Nutzer abzielen. Die Kriminellen hätten keine Schwachstelle von Salesforce ausgenutzt, so GTIG.
