Microsoft phân tích 3 cách xâm nhập Salesforce liên quan ShinyHunters trong 1 năm
"Microsoft mapped a year-long set of Salesforce intrusions, from mid-2025 to mid-2026, to three access paths associated with ShinyHunters-linked activity: vishing-led OAuth consent abuse, stolen OAuth tokens from compromised vendors, and misconfigured guest access in Experience Cloud/Aura endpoints. The activity enabled data theft and persistent access across Salesforce tenants without exploiting a platform vulnerability; Microsoft and Salesforce responded with improved detection, connected-app attribution, and governance controls for OAuth apps and event monitoring."
Tác động chủ yếu đến quyền truy cập dữ liệu qua OAuth và misconfiguration guest access; kẻ tấn công có thể đạt persistent access mà không cần khai thác lỗ hổng. Điểm then chốt: vishing OAuth consent, đánh cắp OAuth tokens từ vendor, Aura guest misconfiguration.
Rủi ro vận hành gồm thất thoát dữ liệu CRM và gián đoạn niềm tin vào hệ sinh thái tích hợp; phạm vi có thể trải rộng theo tenant và ngành. Điểm cần lưu ý: khó phát hiện vì lưu lượng giống tích hợp hợp lệ, tăng chi phí điều tra/thu hồi quyền, và yêu cầu quản trị OAuth/connected apps chặt chẽ.
Microsoft công bố nghiên cứu (13/7/2026) mô tả chuỗi xâm nhập Salesforce kéo dài từ giữa 2025 đến giữa 2026. Theo Microsoft, các nhóm liên hệ với ShinyHunters đã truy cập và trộm dữ liệu dựa trên niềm tin sẵn có vào OAuth/connected apps và cấu hình quyền, thay vì khai thác lỗ hổng nền tảng Salesforce.
Microsoft chia hoạt động thành ba “đường vào”. Thứ nhất là vishing: kẻ tấn công gọi giả danh IT, hướng dẫn nhân viên thao tác trên màn hình OAuth consent để cấp quyền cho connected app do kẻ tấn công kiểm soát (được ngụy trang như công cụ Data Loader). Thứ hai là chiếm OAuth tokens từ nhà cung cấp bên thứ ba đã được cấp quyền sẵn; lưu lượng khi đó giống tác vụ tích hợp hợp lệ nên khó bị phát hiện. Thứ ba là lạm dụng guest access bị cấu hình sai trên Salesforce Experience Cloud/Aura endpoints; kẻ tấn công gọi GraphQL Aura controller để đọc dữ liệu vượt giới hạn truy vấn thông thường.
Microsoft và Salesforce tập trung tăng khả năng phát hiện sau khi đã có quyền: làm rõ attribution connected app, giám sát OAuth scopes, và bổ sung governance cho ứng dụng OAuth. Khuyến nghị: rà soát connected apps, áp dụng least privilege, bật theo dõi Salesforce event logs (ví dụ qua Defender for Cloud Apps/Shield Event Monitoring), và khóa/thu hẹp quyền guest trên Experience Cloud.