Microsoft, ShinyHunters'a bağlanan Salesforce saldırılarında üç giriş yolunu haritaladı

Microsoft'un Defender güvenlik araştırma ekibi, son bir yılda Salesforce ortamlarını hedef alan ve ShinyHunters ile örtüşen yöntemler kullanan saldırıları inceleyen bir rapor yayımladı. 13 Temmuz tarihli araştırmanın ana mesajı net: saldırganlar Salesforce'taki bir yazılım açığını değil, kurumların OAuth bağlantılarıyla zaten verdiği güveni kötüye kullanıyor. Faaliyet perakende, eğitim ve imalat sektörlerindeki kiracılarda görüldü.

Üç saldırı yolu

1. Sesli oltalama ve sahte bağlı uygulamalar. 2025 ortasından itibaren BT destek personeli kılığındaki arayanlar, çalışanları telefonda yönlendirerek Salesforce Data Loader gibi görünen kötü amaçlı bir uygulamaya OAuth onayı verdirdi. Google/Mandiant bu ilk erişimi UNC6040, şantaj aşamasını ise UNC6240 olarak izliyor.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

2. Tedarikçilerden çalınan token'lar. Ağustos 2025'te Salesloft Drift entegrasyonuna ait token'lar çalındı; Google 700'ü aşkın kurumun potansiyel olarak etkilendiğini tahmin etmişti. Kasım 2025'te Gainsight uygulamaları üzerinden 200'ü aşkın Salesforce örneği etkilendi. En yeni örnek, Haziran 2026'daki Klue ihlali: Microsoft bu faaliyeti Storm-3138 olarak izliyor.

3. Hatalı yapılandırılmış Experience Cloud misafir erişimi. Misafir kullanıcı izinlerinin gevşek bırakıldığı sitelerde saldırganlar Aura uç noktaları üzerinden sayfalama yöntemleriyle standart 2.000 kayıt sorgu sınırının ötesinde veri çekti. Bu yolda da bir istismar kodu kullanılmadı.

ShinyHunters adını kullananlar Salesloft ve Gainsight dalgalarının birlikte yaklaşık 1.000 kuruma ulaştığını öne sürüyor; bu rakam bağımsız olarak doğrulanmadı.

Microsoft'un yeni görünürlük araçları

Microsoft, Defender for Cloud Apps'teki Salesforce bağlayıcısını güncelledi. Salesforce Shield Event Monitoring kullanan müşteriler için gerçek zamanlıya yakın olay izleme, etkinliği belirli bir bağlı uygulama ve verilen OAuth kapsamlarıyla ilişkilendirme, 90 gündür kullanılmayan ama hâlâ yetkisi olan uygulamaları işaretleme ve her uygulama için 0–100 arası risk puanı gibi özellikler eklendi.

Ne yapılmalı?

• Salesforce'a bağlı tüm uygulamalar envanterlenmeli; kullanılmayanlar kaldırılmalı, kalanlar en az yetkiyle sınırlandırılmalı.
• Şüpheli davranan bir entegrasyonda token'ları iptal edip yenilemeye hazır bir prosedür bulunmalı.
• Experience Cloud misafir kullanıcı izinleri gözden geçirilip kısıtlanmalı.
• Salesforce olay kayıtları etkinleştirilmeli ve aktif olarak izlenmeli.
• Çalışanlara, BT destek araması gibi görünen taleplerde telefonu kapatıp bilinen bir kanaldan geri dönmeleri öğretilmeli.