Die Gefahr lauert in der Vertrauenskette
Microsoft hat eine beunruhigende Angriffskampagne der Gruppe ShinyHunters dokumentiert, die Salesforce-Umgebungen seit über einem Jahr zielgerichtet infiltriert. Das Besondere: Die Angreifer brauchten keine Zero-Days oder Plattform-Schwachstellen — sie nutzten schlicht die Vertrauensbeziehungen, die Unternehmen bereits etabliert hatten.
OAuth als Einfallstor
Das zentrale Element der Angriffe waren OAuth-Verbindungen. Diese Protokolle ermöglichen es Salesforce, nahtlos mit Drittanbieter-Tools und Geschäftsanwendungen zu kommunizieren — ein Feature, das normalerweise die Arbeit erleichtert. ShinyHunters nutzte genau diese Legitimität aus: Sie infiltrierten vertrauenswürdige Apps oder deren Infrastruktur und erhielten dadurch Zugriff auf Salesforce-Konten, ohne je die Plattform selbst anzugreifen.
Dieser Ansatz ist besonders tückisch, weil er den klassischen Sicherheits-Radar umgeht. Während Security-Teams ihre Salesforce-Instanzen gegen direkte Exploits absichern, bleibt die Lieferkette der integrierten Anwendungen oft schwächer bewacht.
Drei dokumentierte Angriffswege
Microsoft hat drei unterschiedliche Angriffsmuster identifiziert, die ShinyHunters verwendet hat:
- Kompromittierte Apps: Angreifer infiltrierten legitime Drittanbieter-Anwendungen, die bereits OAuth-Zugriff auf Salesforce hatten.
- Gefälschte OAuth-Flows: Sie setzten manipulierte OAuth-Autorisierungsseiten ein, um Anmeldedaten zu stehlen.
- Direkter App-Missbrauch: Sie nutzten bestehende API-Berechtigungen kompromittierter Anwendungen, um seitlich in Salesforce zu navigieren.
In allen Fällen hätte eine verdächtige Aktivität im Audit-Log sichtbar sein können — doch viele Unternehmen prüfen diese Logs nicht konsequent.
Was Unternehmen jetzt tun sollten
Die Erkenntnisse unterstreichen, dass Security nicht bei der Plattform endet. Wichtig ist:
- OAuth-Connections regelmäßig auditieren: Welche Apps haben Zugriff? Wer hat diese genehmigt?
- Least Privilege konsequent umsetzen: Applikationen sollten nur die minimal erforderlichen Berechtigungen erhalten.
- Audit-Logs aktiv überwachen: Ungewöhnliche Datenzugriffe oder Massenexporte sind rote Flaggen.
- Lieferketten-Sicherheit: Nicht nur die Hauptplattform schützen, sondern auch die integrierten Services.
Die Kampagne zeigt: Moderne Angreifer folgen dem Pfad des geringsten Widerstands. Das ist oft nicht die Plattform selbst, sondern die Vertrauenswege, die um sie herum aufgebaut wurden.