ФБР предупреждает о новых атаках на платформу Salesforce для хищения данных

Федеральное бюро расследований (ФБР) США опубликовало экстренное предупреждение с индикаторами компрометации (IOC), связанными с деятельностью двух киберпреступных группировок - UNC6040 и UNC6395. Эти группы целенаправленно атакуют клиентские среды Salesforce с целью кражи конфиденциальной информации. Документ подготовлен совместно с Агентством по кибербезопасности и безопасности инфраструктуры (CISA) и призван помочь специалистам по безопасности в своевременном обнаружении и нейтрализации угроз.

Описание

С октября 2024 года группа UNC6040 активно использует методы социальной инженерии, в частности голосовой фишинг (вишинг). Злоумышленники, представляясь сотрудниками технической поддержки, убеждают работников колл-центров предоставить им учётные данные или коды многофакторной аутентификации (MFA). Жертв направляют на страницу настройки подключённых приложений в Salesforce, где те авторизуют поддельное приложение Data Loader. После одобрения эта вредоносная интеграция получает OAuth-токены, которые система Salesforce считает легитимными. Это позволяет обойти стандартные средства защиты, включая сброс паролей, оповещения о входе и запросы MFA. Получив доступ, злоумышленники осуществляют массовую выгрузку данных через API-запросы без immediate обнаружения.

В отличие от них, группа UNC6395 в августе 2025 года использовала скомпрометированные OAuth-токены, связанные с чат-ботом Drift от Salesloft. Получив действительные токены, злоумышленники получили прямой доступ к клиентским данным через доверенную интеграцию. Salesforce и Salesloft оперативно отозвали все активные токены доступа для приложения Drift 20 августа, заблокировав дальнейшие действия attackers.

В документе ФБР приведены подробные списки IOC, включая IP-адреса, URL-адреса и строки пользовательских агентов, связанные с активностью обеих группировок. Инфраструктура UNC6040 включает более ста IP-адресов, в том числе 13.67.175.79, 20.190.130.40, 23.145.40.165 и 146.70.211.119. Среди используемых URL - login.salesforce[.]com/setup/connect с различными параметрами user_code, а также поддельные домены, например help[victim][.]com. Группа UNC6395 использовала около двадцати IP-адресов, включая 208.68.36.90, 154.41.95.2 и 185.220.101.180, а также строки пользовательских агентов, такие как Salesforce-Multi-Org-Fetcher/1.0 и python-requests/2.32.4. Эти данные помогут специалистам настраивать правила обнаружения, блокировать вредоносный трафик и проводить ретроспективный анализ логов.

Для защиты от атак, использующих OAuth, ФБР рекомендует организациям применять многоуровневый подход. Ключевыми мерами являются обучение сотрудников распознаванию социальной инженерии, внедрение устойчивой к фишингу MFA, а также строгий контроль аутентификации, авторизации и учёта (AAA). Следует ограничить доступ сторонних интеграций по принципу наименьших привилегий, регулярно аудировать подключённые приложения и отзывать неиспользуемые OAuth-токены. Также важно ограничивать доступ по IP-адресам и отслеживать аномальную активность в API.

ФБР призывает организации проверять логи на соответствие опубликованным IOC, использовать системы обнаружения вторжений (IDS) и оперативно сообщать о подозрительной активности в местные отделения бюро или через Интернет-центр жалоб на киберпреступления (IC3). Совместное использование информации об угрозах поможет предотвратить будущие атаки и защитить конфиденциальные данные в облачных средах.