Microsoft cảnh báo lạm dụng OAuth trong ứng dụng SaaS (liên quan ShinyHunters) nhắm Salesforce
"Microsoft describes campaigns linked to ShinyHunters tradecraft that abused trusted OAuth relationships, vishing, supply-chain compromises, and misconfigured guest access to gain unauthorized access to Salesforce-based SaaS environments. The activity enabled persistence, CRM data enumeration, and large-scale exfiltration without relying on a Salesforce software vulnerability; the guidance focuses on improved telemetry, OAuth app governance, and stronger monitoring through Defender for Cloud Apps and Salesforce event monitoring."
Tác động lớn do kẻ tấn công ẩn trong hành vi hợp lệ, tận dụng OAuth trust và tích hợp được ủy quyền để truy vấn/đánh cắp dữ liệu mà ít kích hoạt cảnh báo đăng nhập truyền thống; trọng tâm là persistence và exfiltration quy mô.
Nguy cơ gián đoạn và rò rỉ dữ liệu CRM có thể ảnh hưởng trực tiếp đến tuân thủ và uy tín, đồng thời làm tăng chi phí điều tra do hoạt động giống người dùng hợp lệ; cần ưu tiên governance OAuth và rà soát tích hợp bên thứ ba.
Microsoft ghi nhận các chiến dịch tấn công nhắm vào ứng dụng SaaS dựa trên Salesforce trong giai đoạn giữa 2025 đến giữa 2026, sử dụng kỹ thuật thường được gắn với ShinyHunters. Điểm đáng chú ý là kẻ tấn công không khai thác lỗ hổng trong Salesforce, mà lạm dụng quan hệ tin cậy OAuth để chiếm quyền truy cập trái phép, thiết lập tính bền vững và trích xuất dữ liệu quy mô lớn.
Ba đường xâm nhập chính được quan sát: (1) vishing lừa nhân viên cấp quyền thông qua luồng OAuth consent, trong đó ứng dụng độc hại được ngụy trang như công cụ hợp lệ; (2) tấn công chuỗi cung ứng nhắm các tích hợp bên thứ ba với Salesforce, ví dụ các workflow/integration như Salesloft và Gainsight; (3) lạm dụng guest access do cấu hình sai, khai thác các endpoint Aura/GraphQL để truy vấn dữ liệu vượt giới hạn thông thường.
Khuyến nghị: tăng giám sát OAuth-connected applications, rà soát và quản trị OAuth app governance, kiểm tra cấu hình guest user, đồng thời bật/đối chiếu Salesforce event monitoring và nâng telemetry trong Defender for Cloud Apps để có connected application attribution và ngữ cảnh phiên/API gần thời gian thực.