Um ataque hacker de grande escala expôs dados de mais de 200 empresas que utilizam serviços do Salesforce, segundo o Google. O episódio gerou preocupação imediata porque a invasão começou por aplicativos usados simultaneamente por diversas companhias, abrindo caminho para um impacto muito mais amplo do que o habitual.
O grupo Scattered Lapsus$ Hunters assumiu a autoria da ação em mensagens divulgadas no Telegram, o que aumentou a tensão dentro do setor de tecnologia, explica o TechCrunch.
Ataque hacker ao Salesforce expôs dados de mais de 200 empresas, ampliando alertas sobre riscos em aplicativos conectados usados por várias companhias. Imagem: Sundry Photography/Shutterstock
Como o ataque afetou tanta gente?
A sequência de eventos começou quando o Salesforce informou ter identificado uma violação envolvendo “certos clientes”, sem detalhar quem havia sido atingido. Mais tarde, descobriu-se que a brecha surgiu em aplicativos desenvolvidos pela Gainsight, empresa que fornece ferramentas de suporte e integrações com o próprio Salesforce.
Segundo Austin Larsen, analista do Google Threat Intelligence Group, mais de 200 contas pertencentes a diferentes empresas dentro da plataforma foram comprometidas. Pouco depois da divulgação inicial, o grupo Scattered Lapsus$ Hunters apareceu em um canal do Telegram reivindicando o ataque — algo confirmado pelo TechCrunch, que teve acesso às publicações.
Entre os nomes citados pelos hackers, a lista é extensa: Atlassian, CrowdStrike, DocuSign, F5, GitLab, LinkedIn, Malwarebytes, SonicWall, Thomson Reuters e Verizon.
Grupo diz que invasão ao Salesforce ocorreu após roubo de tokens do Drift em campanha contra clientes da Salesloft. Imagem: Ms. Li/Shutterstock
A DocuSign afirma, em nota, o sebuin
Estamos cientes da alegação do ShinyHunters. Após uma análise abrangente de logs e uma investigação interna, não temos, até o momento, qualquer indicação de comprometimento de dados da Docusign. Por extrema cautela, adotamos diversas medidas, incluindo o encerramento de todas as integrações com a Gainsight e a contenção dos fluxos de dados relacionados. Continuamos monitorando ativamente qualquer atividade suspeita e estamos trabalhando em estreita parceria com a Salesforce caso novas informações se tornem disponíveis.
DocuSign, em nota
O que o grupo fez para invadir as contas
De acordo com o ShinyHunters — uma das facções envolvidas —, o ataque explorou uma campanha anterior direcionada a clientes da Salesloft. Nessa operação anterior, tokens de autenticação do serviço de marketing Drift teriam sido roubados, permitindo acesso às contas do Salesforce conectadas a ele.
A Gainsight era cliente da Salesloft Drift, foi afetada e, portanto, totalmente comprometida por nós.
Porta-voz do Scattered Lapsus$ Hunters ao TechCrunch.
Empresas correm para responder – algumas negam impacto
Depois que o caso veio à tona, várias empresas se manifestaram. A CrowdStrike negou qualquer relação com o “problema da Gainsight” e afirmou que os dados de seus clientes permanecem protegidos.
Outras seguiram o mesmo caminho. A Verizon classificou as alegações dos hackers como “infundadas”. A Malwarebytes disse estar ciente da situação e conduzindo uma investigação. A Thomson Reuters adotou postura semelhante.
A Salesforce, por sua vez, enfatizou que não encontrou indícios de vulnerabilidade em sua própria plataforma. Já a Gainsight publicou uma página pública com atualizações e informou que está trabalhando com a Mandiant, unidade de resposta a incidentes do Google.
A empresa afirma que o ataque “se originou da conexão externa dos aplicativos” e que a análise forense completa ainda está em curso. Como medida preventiva, o Salesforce revogou temporariamente os tokens de acesso vinculados à Gainsight.
Entre as empresas supostamente invadidas, a Verizon negou o ataque e classificou as alegações dos hackers como “infundadas”. Imagem: Mino Surkala/Shutterstock
Quem são os Scattered Lapsus$ Hunters?
O nome pode soar familiar — e há motivo para isso. O grupo reúne membros de coletivos como ShinyHunters, Scattered Spider e Lapsus$, conhecidos por:
usar engenharia social para enganar funcionários;
obter acessos internos de alto privilégio;
explorar cadeias de fornecedores interligados;
extorquir empresas após o roubo de grandes volumes de dados.
Nos últimos anos, essas facções já atacaram companhias como MGM Resorts, Coinbase e DoorDash. Agora, afirmam que vão lançar um site de extorsão voltado especificamente às vítimas dessa nova ofensiva — repetindo a estratégia usada em campanhas anteriores.
Bruno Capozzi é jornalista formado pela Faculdade Cásper Líbero e mestre em Ciências Sociais pela PUC-SP, tendo como foco a pesquisa de redes sociais e tecnologia.
Tags: