Salesforce-Angreifer drohen Google und FBI nach Datenpanne

Salesforce-Angreifer drohen Google und dem FBI nach einem großen Lieferkettenangriff im Zusammenhang mit Salesloft Drift. Die cyberkriminellen Gruppen hinter dem Vorfall—ShinyHunters, LAPSUS$ und Scattered Spider—forderten ein Ende laufender Ermittlungen und behaupteten gleichzeitig, Zugang zu sensiblen Systemen zu haben.

Wer die Angreifer sind

Die Koalition der Gruppen bezeichnete sich in einer öffentlichen Erklärung als „unbesiegbar“. Sie forderten, dass Google Mitarbeiter aus seiner Threat Intelligence Group entlässt und dass das FBI 14 mit dem Fall befasste Agenten abzieht.

Die Angreifer behaupteten außerdem, sie hätten Googles Netzwerke infiltriert und drohten damit, gestohlene Daten zu veröffentlichen und FBI-Agenten zu enttarnen, falls ihre Forderungen ignoriert würden.

Wie der Angriff geschah

Die Angreifer nutzten gestohlene OAuth-Tokens aus der Salesloft-Drift-Integration, einem KI-gestützten Chat-Tool, das mit Salesforce verbunden ist. Mit diesen Tokens infiltrierten sie mehrere Salesforce-Umgebungen, darunter Instanzen von Google, Zscaler und Victoria’s Secret.

Ermittler entdeckten, dass die Angreifer AWS-Schlüssel, Snowflake-Tokens und Kundenanmeldedaten stahlen. Googles Threat Intelligence Group verfolgte die Aktivitäten bis August zurück und identifizierte UNC6395 als die Gruppe, die für das Sammeln gestohlener Daten aus Hunderten von Salesforce-Konten verantwortlich war.

Warum das wichtig ist

Dieser Vorfall stellt eine gefährliche Eskalation im Bereich Cybererpressung dar. Neben Datendiebstahl bedrohen die Angreifer offen Bundesermittler und eines der größten Technologieunternehmen der Welt. Die Kampagne verdeutlicht die Risiken von Drittanbieter-Integrationen, bei denen eine kompromittierte App ganze Unternehmensökosysteme gefährden kann.

Für Organisationen unterstreicht der Vorfall die dringende Notwendigkeit, Authentifizierungskontrollen zu stärken, Zugriffstokens zu überwachen und regelmäßige Prüfungen von SaaS-Integrationen durchzuführen. Die Drohungen gegen Google und das FBI zeigen außerdem, wie selbstbewusst cyberkriminelle Gruppen mittlerweile auftreten.

Fazit

Salesforce-Angreifer drohen Google und dem FBI in einem dreisten Schritt, der Datendiebstahl mit öffentlicher Einschüchterung kombiniert. Durch die Nutzung gestohlener OAuth-Tokens infiltrierten sie prominente Salesforce-Umgebungen und verschärften ihre Forderungen zu direkten Drohungen. Der Fall zeigt, dass tokenbasierte Kompromittierungen und Schwachstellen in Lieferketten weiterhin kritische Risiken darstellen. Angreifer fordern nun offen globale Institutionen heraus.