ShinyHunters nutzen OAuth für Salesforce-Angriffe

Angreifer, die mit der Daten-Erpressungsgruppe ShinyHunters in Verbindung stehen, haben im vergangenen Jahr erfolgreich in Unternehmensumgebungen von Salesforce eingedrungen, ohne eine einzige Schwachstelle der Plattform auszunutzen. Die Angriffe basieren auf dem Vertrauen, das Organisationen durch OAuth-Verbindungen zu Drittanwendungen und -anbietern gewähren. Die Angreifer nutzen legitime OAuth-Token, um auf sensible Daten zuzugreifen. Diese Token ermöglichen es, dass Anwendungen im Namen eines Benutzers auf Salesforce zugreifen können, was die Sicherheitsmaßnahmen der Plattform umgeht. Microsoft hat festgestellt, dass diese Methode besonders effektiv ist, da sie keine technischen Exploits erfordert.

Die Angriffe sind nicht auf eine bestimmte Branche beschränkt, sondern betreffen Unternehmen aus verschiedenen Sektoren. Microsoft hat in seinem Bericht darauf hingewiesen, dass die Angreifer in der Lage sind, Daten zu stehlen und diese anschließend zu erpressen. Die Gruppe hat sich in der Vergangenheit durch ähnliche Taktiken hervorgetan, indem sie auf andere Plattformen und Dienste abzielte. Ein weiterer Aspekt der Angriffe ist die Verwendung von Phishing-Techniken, um Benutzer dazu zu bringen, ihre Anmeldedaten preiszugeben. Diese Taktiken werden häufig in Kombination mit den OAuth-Angriffen eingesetzt, um den Zugriff auf die Salesforce-Umgebungen zu erleichtern.

Microsoft empfiehlt Unternehmen, ihre Sicherheitsprotokolle zu überprüfen und sicherzustellen, dass sie über geeignete Maßnahmen zur Erkennung und Abwehr solcher Angriffe verfügen. Die Sicherheitslage wird durch die Tatsache verschärft, dass viele Unternehmen nicht ausreichend auf die Risiken von OAuth-Verbindungen vorbereitet sind. Oftmals wird die Sicherheit dieser Verbindungen als gegeben angesehen, was die Angreifer ausnutzen. Microsoft hat Unternehmen geraten, ihre OAuth-Implementierungen regelmäßig zu überprüfen und sicherzustellen, dass nur autorisierte Anwendungen Zugriff auf sensible Daten haben. Zusätzlich zu den technischen Empfehlungen hat Microsoft auch darauf hingewiesen, dass Schulungen für Mitarbeiter zur Sensibilisierung für Phishing-Angriffe entscheidend sind.

Die Schulungen sollten darauf abzielen, das Bewusstsein für die Gefahren zu schärfen und die Mitarbeiter in die Lage zu versetzen, verdächtige Aktivitäten zu erkennen. Ein proaktiver Ansatz kann dazu beitragen, die Wahrscheinlichkeit eines erfolgreichen Angriffs zu verringern. Die Bedrohung durch ShinyHunters ist nicht neu, jedoch hat die Gruppe ihre Methoden weiter verfeinert. Microsoft hat festgestellt, dass die Angreifer in der Lage sind, ihre Taktiken schnell anzupassen, um Sicherheitsmaßnahmen zu umgehen. Dies erfordert von Unternehmen eine kontinuierliche Anpassung ihrer Sicherheitsstrategien.

Sicherheitslücke, die durch diese Angriffe ausgenutzt wird, ist nicht spezifisch für Salesforce, sondern betrifft viele Plattformen, die OAuth verwenden. Unternehmen sollten daher auch ihre anderen Systeme und Anwendungen auf ähnliche Risiken überprüfen. Die Implementierung von Multi-Faktor-Authentifizierung (MFA) wird als eine der effektivsten Maßnahmen angesehen, um den Zugriff auf sensible Daten zu schützen. Microsoft hat angekündigt, dass sie in den kommenden Monaten weitere Sicherheitsupdates bereitstellen werden, um die Auswirkungen solcher Angriffe zu minimieren. Diese Updates sollen Unternehmen helfen, ihre Systeme besser zu schützen und die Risiken durch Angreifer wie ShinyHunters zu verringern. Die ersten Updates sind für den 15. August 2026 geplant.