Salesloft Drift: Datenklau betrifft wohl 1,5 Milliarden Salesforce-Datensätze
Durch einen Cyberangriff auf den KI-Chatbot-Anbieter Salesloft sind Daten hunderter Salesforce-Kunden, die zum Angriffszeitpunkt die Salesloft-Drift-Integrationen im Einsatz hatten, in die Hände Cyberkrimineller gelangt. Ein Bericht von Bleeping Computer(öffnet im neuen Fenster) liefert neue Erkenntnisse zum Ausmaß des Vorfalls. Die für den Angriff verantwortliche Hackergruppe Shinyhunters will demnach mehr als 1,5 Milliarden Datensätze erbeutet haben.
Den Angaben nach handelt es sich um Daten von etwa 760 Unternehmen, die aus verschiedenen Objekttabellen von Salesforce stammen sollen. Konkret listet der Bericht die Objekte Account(öffnet im neuen Fenster) (250 Millionen Datensätze), Contact(öffnet im neuen Fenster) (579 Millionen Datensätze), Case(öffnet im neuen Fenster) (459 Millionen Datensätze), Opportunity(öffnet im neuen Fenster) (171 Millionen Datensätze) und User(öffnet im neuen Fenster) (60 Millionen Datensätze) als betroffen auf.
Der Angriff begann schon vor Monaten
Wie die Angreifer an die Daten kamen, schilderte Salesloft schon am 7. September in seinem Trust-Portal(öffnet im neuen Fenster) . Laut den von Mandiant durchgeführten Untersuchungen konnte sich Shinyhunters demnach einen Zugriff auf das Github-Konto des KI-Chatbot-Anbieters verschaffen und in den Monaten März bis Juni 2025 Daten daraus abgreifen.
Dadurch brachten die Angreifer unter anderem Anmeldedaten für die AWS-Umgebung von Drift in ihren Besitz, um darüber OAuth-Token der Salesloft-Kunden zu exfiltrieren. Diese Token verschafften der Hackergruppe schließlich einen Zugang zu den Salesforce-Instanzen der betroffenen Kunden sowie den darin gespeicherten Unternehmensdaten.
Unternehmen bestätigen Betroffenheit
Zu den betroffenen Unternehmen zählen zahlreiche bekannte IT- und Cybersecurity-Konzerne wie Google, Cloudflare, Zscaler, Tenable, Cyberark, Proofpoint, Qualys und Palo Alto Networks. Eine Übersicht über die Unternehmen, die ihre Betroffenheit offiziell bestätigt haben, ist auf einer von Nudge Security bereitgestellten Informationsseite(öffnet im neuen Fenster) zu finden.
Laut Bleeping Computer setzt Shinyhunters die erbeuteten Daten ein, um die betroffenen Unternehmen zu erpressen und Lösegeldforderungen zu stellen. Für die Suche nach den OAuth-Token sollen sich die Angreifer an dem Open-Source-Tool Trufflehog(öffnet im neuen Fenster) bedient haben. Dieses kam auch bei einem kürzlich bekanntgewordenen Großangriff auf das NPM-Ökosystem zum Einsatz.