Salesforce

Selon Salesforce, des attaquants ciblent des sites basés sur Experience Cloud mal configurés, exposant des données à des utilisateurs invités au-delà de ce qui était prévu, tandis que le gang d’extorsion ShinyHunters affirme exploiter activement un nouveau bug pour voler des données depuis des instances. ⚠️ Salesforce Experience Cloud : campagne de vol de données liée à des sites mal configurés Résumé Salesforce a publié une alerte sur une campagne visant des sites Experience Cloud exposés publiquement et mal configurés, où le profil guest user donne accès à plus de données que prévu. L’activité vise notamment l’endpoint /s/sfsites/aura et s’appuie sur une version modifiée de l’outil AuraInspector, initialement développé par Mandiant pour auditer les permissions. Salesforce affirme qu’il ne s’agit pas d’une vulnérabilité native de la plateforme, mais d’un problème de configuration client. ...

Selon BleepingComputer (Sergiu Gatlan, 5 janvier 2026), NordVPN a démenti une allégation de compromission de serveurs de développement, expliquant que les données diffusées proviennent d’un essai d’un fournisseur tiers d’automatisation de tests et ne contiennent que des données factices. Un acteur de menace (handle « 1011 ») a revendiqué sur un forum le vol de « +10 bases de données » depuis un serveur de développement de NordVPN après une attaque par force brute contre un serveur mal configuré, évoquant des clés API Salesforce et des jetons Jira. ...

KrebsOnSecurity dévoile l’identité de « Rey », administrateur de Scattered LAPSUS$ Hunters, en retraçant ses erreurs d’OPSEC et en détaillant les campagnes de vishing Salesforce, le RaaS ShinySp1d3r et le recrutement d’initiés. Selon KrebsOnSecurity, un article d’enquête met au jour l’identité de « Rey », administrateur et visage public de Scattered LAPSUS$ Hunters (SLSH), un collectif mêlant Scattered Spider, LAPSUS$ et ShinyHunters, actif dans l’extorsion et la revente de données. ...

Source: BleepingComputer (Sergiu Gatlan). Le média rapporte que CrowdStrike a confirmé avoir identifié et licencié le mois dernier un employé ayant partagé des captures d’écran de systèmes internes, après la publication d’images sur Telegram par des membres de groupes se présentant comme ShinyHunters, Scattered Spider et Lapsus$. CrowdStrike indique que ses systèmes n’ont pas été compromis et que les données clients n’ont pas été affectées, l’accès réseau de l’employé ayant été coupé. L’entreprise a transmis l’affaire aux autorités compétentes. ...

Selon TechCrunch, le collectif de pirates Scattered Lapsus$ Hunters revendique une brèche ayant affecté des données de clients de Salesforce et indique préparer une nouvelle campagne d’extorsion. Vol massif de données Salesforce touchant plus de 200 entreprises 1. Une compromission de supply chain à grande échelle Google a confirmé que des hackers ont exfiltré les données Salesforce de plus de 200 entreprises, via l’exploitation d’applications de Gainsight, un fournisseur CRM tiers connecté aux instances Salesforce de ses clients. ...

Selon The Register, Salesforce a signalé une nouvelle compromission impliquant des applications publiées par Gainsight et connectées à des instances clients Salesforce, avec une attribution probable au groupe ShinyHunters (UNC6240) évoquée par Google Threat Intelligence Group. Salesforce indique que l’activité suspecte « a pu permettre un accès non autorisé » à certaines données clients via la connexion des applications Gainsight. En réponse, l’éditeur a révoqué tous les tokens d’accès et de rafraîchissement associés à ces applications et les a temporairement retirées de l’AppExchange pendant l’enquête. Salesforce précise ne voir « aucune indication » d’une vulnérabilité de sa plateforme, l’activité étant liée à la connexion externe de l’app. ...

Selon une communication de Salesforce, une activité inhabituelle a été détectée impliquant des applications publiées par Gainsight et connectées à Salesforce. L’enquête interne indique que cette activité a pu permettre un accès non autorisé à certaines données clients Salesforce via la connexion de l’application. En réponse, Salesforce a révoqué tous les tokens d’accès et de rafraîchissement liés aux applications Gainsight connectées à Salesforce. Les applications concernées ont été temporairement retirées de l’AppExchange pendant la poursuite de l’enquête. Points clés: ...

Selon Unit 42 (Palo Alto Networks), le conglomérat « Scattered Lapsus$ Hunters » — incluant Muddled Libra, Bling Libra et des acteurs LAPSUS$ — mène des campagnes coordonnées d’extorsion basées sur le vol de données contre des clients Salesforce, tout en poursuivant ses activités malgré la saisie par le FBI de domaines liés à BreachForums. • Menaces et opérations: Les acteurs ciblent des plateformes cloud, notamment des locataires Salesforce et des environnements AWS, pour exfiltrer des données clients sans déployer de chiffrement ni de ransomware, privilégiant une extorsion par vol de données. Bling Libra a lancé un modèle Extortion-as-a-Service (EaaS) avec une commission de 25–30% sur les paiements, et opère un DLS (data leak site) listant 39 organisations. Le groupe collabore avec de nouveaux collectifs, dont Crimson Collective. ...

BleepingComputer rapporte que le FBI a saisi les domaines du forum de hacking BreachForums opéré par le groupe ShinyHunters, utilisé comme portail d’extorsion par fuite de données liées aux attaques touchant Salesforce. L’action, menée en coopération avec les autorités françaises, a abouti à l’affichage d’une bannière de saisie et au basculement des DNS du domaine vers ns1.fbi.seized.gov et ns2.fbi.seized.gov. 🚨 Le domaine breachforums.hn, relancé l’été dernier puis reconverti en site de fuite pour la campagne Salesforce par « Scattered Lapsus$ Hunters » (prétendant regrouper des membres de ShinyHunters, Scattered Spider et Lapsus$), a été rendu inaccessible sur le clearnet, tandis que le miroir Tor a été brièvement interrompu puis rétabli. La saisie a été finalisée avec un bandeau officiel, confirmant la prise de contrôle de l’infrastructure web avant le début des fuites liées à Salesforce. ...

Selon Salesforce (status.salesforce.com), l’éditeur a publié un avis de sécurité au sujet de tentatives d’extorsion par des acteurs malveillants, tout en affirmant n’avoir identifié aucune compromission de sa plateforme ni lien avec une vulnérabilité connue. Salesforce indique avoir enquêté sur ces tentatives en partenariat avec des experts externes et les autorités. Les éléments recueillis suggèrent que ces extorsions se rattachent à des incidents passés ou non étayés. L’entreprise précise être en contact avec les clients concernés pour leur apporter un soutien dédié et qu’il n’existe, à ce stade, aucune indication de compromission de la plateforme Salesforce. ...