Salesforce

นักวิจัยจาก Zenity เปิดเผยช่องโหว่ 3 จุดใน Salesforce Agentforce ที่เรียกรวมว่า Salesbleed ซึ่งเปิดทางให้ผู้โจมตีดึงข้อมูลภายในและฟิชชิงพนักงานได้ จุดเริ่มคือฟอร์ม Web-to-lead ที่รับข้อมูลจากคนภายนอก ผู้โจมตีแฝง prompt มุ่งร้ายให้เอเจนต์นำไปทำงานในระบบเหยื่อ ที่อันตรายกว่าคือการสั่งให้บอทตอบกลับในเธรด Slack ภายในองค์กรพร้อมลิงก์ฟิชชิง โดยไม่ระบุตัวผู้ส่ง ทำให้ดูเหมือนข้อความจากพนักงานหรือฝ่าย IT ช่องโหว่ยังไม่มี CVE และ Salesforce ได้ปรับค่าเริ่มต้นให้ต้องยืนยันก่อนส่งข้อความ

บริษัท Reco เปิดโปงแคมเปญขโมยข้อมูลชื่อ City-Forum ที่ยังดำเนินอยู่และมีปริมาณเพิ่มขึ้นเรื่อย ๆ โดยทุกการโจมตีมาจากไอพีเดียวคือ 158.220.87[.]79 ซึ่งผูกกับโดเมน city-forum[.]com มาตั้งแต่เดือนมีนาคม 2568 ผู้โจมตีไม่ได้ใช้ช่องโหว่ของ Salesforce หรือ ServiceNow แต่ดูดข้อมูลที่องค์กรตั้งค่าเผลอเปิดให้บัญชีผู้เยี่ยมชมที่ไม่ต้องยืนยันตัวตนเข้าถึงได้ เป้าหมายมีทั้งบริษัทโทรคมนาคม ธนาคาร ผู้ผลิตซอฟต์แวร์องค์กร และพอร์ทัลภาครัฐทั่วโลก โดยองค์กรที่ถูกยิงหนักสุดพบเหตุการณ์กว่า 560,000 ครั้ง

กลุ่มรีดไถ ShinyHunters ปล่อยไฟล์กว่า 41 กิกะไบต์ที่อ้างว่าขโมยมาจากบริษัท Brinks Home ผู้ให้บริการระบบรักษาความปลอดภัยบ้านในสหรัฐฯ หลังบริษัทไม่ยอมจ่ายค่าไถ่ กลุ่มดังกล่าวอ้างว่าดูดข้อมูลจากระบบ Salesforce ของบริษัทไปกว่า 4.9 ล้านรายการ และบางส่วนมีข้อมูลระบุตัวบุคคล ด้าน Brinks Home ยืนยันว่าระบบเฝ้าระวังสัญญาณเตือนภัยและการทำงานของอุปกรณ์ไม่ได้รับผลกระทบ ขณะที่ SecurityWeek ระบุว่ายังตรวจสอบคำกล่าวอ้างของผู้โจมตีอย่างเป็นอิสระไม่ได้

บริษัท Brinks Home ผู้ให้บริการระบบรักษาความปลอดภัยบ้านในสหรัฐฯ เปิดเผยว่าถูกแฮ็กเกอร์เจาะระบบบางส่วนและถูกขู่ว่าจะปล่อยข้อมูลที่อ้างว่าขโมยไป บริษัทตรวจพบเหตุเมื่อวันที่ 20 กรกฎาคม 2569 และยืนยันว่าระบบเฝ้าระวังสัญญาณเตือนภัยไม่ได้รับผลกระทบ ด้านกลุ่มรีดไถ ShinyHunters อ้างว่าเจาะเข้าไปตั้งแต่ 13 กรกฎาคม ด้วยการโทรหลอกพนักงานให้ยืนยันตัวตน Microsoft Entra แล้วดูดข้อมูลจาก Salesforce กว่า 4.9 ล้านรายการ BleepingComputer ยังตรวจสอบความถูกต้องของข้อกล่าวอ้างไม่ได้

Microsoft เผยแพร่งานวิจัยที่ทำแผนที่แคมเปญขโมยข้อมูล Salesforce ตลอดกว่า 1 ปี ซึ่งเชื่อมโยงกับกลุ่มรีดไถ ShinyHunters โดยไม่ได้เจาะช่องโหว่ของแพลตฟอร์มเลย แต่อาศัยความไว้วางใจผ่านการเชื่อมต่อ OAuth แบ่งเป็น 3 เส้นทาง คือ vishing หลอกพนักงานอนุมัติแอป, ขโมยโทเคน OAuth จากผู้ให้บริการที่ถูกเจาะ (Salesloft Drift, Gainsight, Klue) และการตั้งค่า guest access ผิดพลาด Microsoft ร่วมกับ Salesforce ออกเครื่องมือตรวจจับและกำกับดูแลใหม่

นักวิจัยจาก Team Cymru เปิดโปงแคมเปญฟิชชิงที่ปลอมเป็นการสัมภาษณ์งานจากแบรนด์ดังกว่า 30 ราย เช่น Adobe, Netflix, Coca-Cola และ OpenAI เพื่อขโมยบัญชี Google ของนักการตลาด ผู้โจมตีฉวยใช้แพลตฟอร์ม HR และบริการคลาวด์ของแท้ทำ redirect ซ้อนหลายชั้น ก่อนพาเหยื่อไปหน้าปลอม แล้วใช้เทคนิค Browser-in-the-Browser สร้างป๊อปอัปล็อกอิน Google ปลอมที่แยกจากของจริงแทบไม่ออก

แพลตฟอร์ม market intelligence ของบริษัท Klue ถูกเจาะระบบ backend ทำให้กลุ่มผู้โจมตีใหม่ชื่อ Icarus ขโมย OAuth token ที่ลูกค้าใช้เชื่อมต่อกับ Salesforce CRM แล้วนำไปดึงข้อมูล business contacts, sales communications, price quotes และ competitive intelligence จากหลายองค์กร บริษัท Huntress ยืนยันว่าตนเองก็ตกเป็นเหยื่อ Salesforce ได้ปิดการเชื่อมต่อ Klue Battlecards จากแพลตฟอร์มแล้ว

กลุ่มแฮ็กเกอร์ ShinyHunters อ้างว่าขโมยข้อมูลจากระบบ Salesforce ของ 7-Eleven ได้กว่า 600,000 รายการ รวมขนาด 12.8 GB ประกอบด้วยข้อมูลส่วนบุคคลและข้อมูลธุรกิจภายในองค์กร โดย 7-Eleven ยืนยันว่าตรวจพบการบุกรุกเมื่อวันที่ 8 เมษายน 2569 ข้อมูลที่รั่วไหลมาจากเอกสารที่ผู้สมัครแฟรนไชส์ส่งให้บริษัท กลุ่ม ShinyHunters เปิดเผยข้อมูลหลังการเจรจาเรียกค่าไถ่ล้มเหลว