Hackers usam versão maliciosa de ferramenta Salesforce para roubo de dados

Grupo criminoso aplica golpes por telefone para roubar credenciais e extorquir empresas multinacionais desde início de 2025

Criminosos se passam por funcionários de TI para enganar vítimas

Um grupo de hackers motivado financeiramente tem como alvo instâncias do Salesforce há meses em uma campanha que usa phishing por voz para roubar dados e realizar tentativas de extorsão. Os criminosos, rastreados pelo Google como UNC6040, se passaram por trabalhadores de TI e enganaram funcionários de filiais de empresas multinacionais para compartilhar credenciais sensíveis.

Ferramenta maliciosa permite acesso a dados corporativos

Como parte da engenharia social, os hackers enganaram trabalhadores para visitar a página de configuração de aplicativos conectados ao Salesforce. Nesse momento, os atacantes usaram uma versão maliciosa não autorizada do aplicativo Salesforce Data Loader para acessar e roubar informações confidenciais dos ambientes Salesforce dos clientes.

Para entender de forma simples

O golpe funciona assim: criminosos ligam para funcionários fingindo ser da área de tecnologia da empresa. Eles convencem as vítimas a acessar uma página específica do Salesforce e instalar um programa falso. Esse programa rouba todos os dados da empresa armazenados na plataforma, incluindo informações de clientes e documentos confidenciais.

Ataques permitem invasão de outras redes corporativas

Além dos roubos imediatos de dados, os hackers conseguiram se mover lateralmente dentro das redes-alvo, acessando outros serviços em nuvem das vítimas e penetrando em redes corporativas internas. Em vários casos, os criminosos lançaram tentativas de extorsão meses após obter acesso inicial, com evidências de que trabalham com parceiros externos.

Salesforce orienta medidas de proteção contra ataques

A Salesforce alertou sobre esses ataques de engenharia social em postagem de março e confirmou que não há indicação de vulnerabilidade na plataforma. A empresa orientou clientes a habilitar autenticação multifator, limitar privilégios de acesso e restringir endereços IP de login. Pesquisadores do Google observaram diferenças na proficiência dos atacantes, sugerindo uma equipe com habilidades variadas na plataforma Salesforce.

Com informações de Google Threat Intelligence Group