Laut einer Warnung des FBI haben die ab Anfang August bekannt gewordenen Cyberangriffe auf Salesforce-Kunden möglicherweise ein noch viel grösseres Ausmass als bisher angenommen. Laut der US-Polizeibehörde haben die Hacker bereits ab Oktober 2024 begonnen, sich mittels Social Engineering Zugang zu Salesforce-Userkonten zu beschaffen. Danach habe sie zunächst in aller Stille Daten gestohlen und diese analysiert, um an weitere Logins für weitere Konten heranzukommen.

Erst nach dieser monatelangen Vorbereitung hätten die Hacker begonnen, nach und nach die gehackten Unternehmen zu kontaktieren und sehr viel Geld dafür zu verlangen, die gestohlenen Daten nicht zu veröffentlichen.

Das FBI macht die beiden Hackerbanden UNC6040 (Shinyhunters) und UNC6395 (Scattered Spider) für die Angriffe verantwortlich. Sie seien es auch gewesen, die ihre Taktik im Laufe der Zeit geändert und vermehrt auf Supply-Chain-Angriffe gesetzt hätten. Zuerst hätten sie im Laufe des Sommers wiederum per Social-Engineering-Opfer dazu gebracht, Applikationen von Drittanbietern Zugriff auf Salesforce-Konten zu gewähren, was auch den Angreifern Zugriff gestattete. Ab Mitte August nutzten sie dann direkt eine Schwachstelle in der Applikation Salesloft Drift aus, um Zugang zu erhalten.

Die Liste der Opfer ist bereits jetzt sehr lang. Darunter befinden sich Grossunternehmen und IT-Unternehmen wie Chanel, Adidas, Qantas, KLM, Google, Cisco, Workday, Zscaler, Cloudflare, Palo Alto und viele mehr.

Die neusten bekannt gewordenen Opfer sind das französische Unternehmen Kering, das die Luxusmarken Gucci, Balenciaga und Alexander McQueen besitzt, sowie eine Regierungsbehörde in Vietnam. Falls das FBI recht hat, dürfte sich die Liste in den kommenden Wochen noch weiter verlängern.