Se ha emitido una advertencia crítica sobre una campaña de amenazas activa que está atacando sitios de Experience Cloud mal configurados. El notorio grupo de actores de amenazas ShinyHunters ha reclamado la responsabilidad de una operación masiva de robo de datos que explota configuraciones de usuario invitado demasiado permisivas, afectando supuestamente a cientos de organizaciones de alto perfil. 

Se ha emitido una advertencia crítica sobre una campaña de amenazas activa que está atacando sitios de Experience Cloud mal configurados.

El notorio grupo de ciberdelincuentes ShinyHunters ha reclamado la autoría de una operación masiva de robo de datos que explota configuraciones de usuarios invitados con permisos excesivos, afectando supuestamente a cientos de organizaciones de alto perfil.

Según el Centro de Operaciones de Ciberseguridad de Salesforce, esta campaña no depende de una vulnerabilidad en la propia plataforma de Salesforce.

En su lugar, se aprovecha de las malas configuraciones de los clientes. En una configuración típica de Experience Cloud, un perfil de usuario invitado otorga a los visitantes no autenticados acceso a datos públicos. Sin embargo, cuando estos perfiles están mal configurados con permisos excesivos, registros internos sensibles quedan expuestos.

Los actores de amenazas están realizando escaneos masivos en sitios públicos utilizando una versión modificada de Aura Inspector, una herramienta de código abierto desarrollada originalmente por Mandiant para auditorías de seguridad.

Mientras que la herramienta estándar identifica riesgos de exposición de datos, ShinyHunters ha creado una versión personalizada capaz de extraer datos activamente.

Al sondear endpoints de API expuestos específicos, los atacantes pueden consultar directamente objetos del CRM de Salesforce sin iniciar sesión para recolectar información sensible.

ShinyHunters afirma haber comprometido hasta 400 sitios web y aproximadamente 100 empresas de alto perfil.

Los datos robados, que a menudo incluyen información personal como nombres y números de teléfono, alimentan ataques posteriores de ingeniería social y phishing por voz.

Además, el grupo está utilizando sus conocidas tácticas de extorsión, amenazando con publicar los datos empresariales recopilados en sitios de filtración de la dark web si no se pagan rescates.

Comprender el problema de acceso a los datos

Salesforce opera con un modelo de seguridad por capas que abarca el acceso a objetos, el acceso a registros, la seguridad a nivel de campo y el enmascaramiento de valores de campo.

Si alguna de estas capas está configurada de manera demasiado amplia para los usuarios invitados, toda la cadena se ve comprometida. Esto permite a los atacantes eludir las restricciones de la interfaz y extraer datos sin enmascarar directamente de la base de datos backend.

Salesforce afirma que los administradores deben adoptar inmediatamente un modelo de acceso de mínimo privilegio para proteger sus entornos. Las acciones defensivas clave incluyen:

• Desactivar APIs públicas: Este es el cambio de mayor impacto. Las organizaciones deben desmarcar la opción que permite a los usuarios invitados acceder a APIs públicas, lo que cierra inmediatamente el endpoint Aura objetivo a consultas no autenticadas.
• Auditar perfiles de invitados: Revisa y restringe el acceso de los usuarios invitados a los objetos y campos mínimos necesarios para el funcionamiento del sitio.
• Establecer valores predeterminados como privados: Asegúrate de que el acceso predeterminado a objetos externos esté configurado como privado para que los usuarios invitados no puedan ver registros sin reglas de compartición explícitas.
• Restringir visibilidad interna: Desactiva la configuración de visibilidad de usuarios de portales y sitios para evitar que los atacantes enumeren miembros internos de la organización.
• Desactivar el auto-registro: Si la creación de cuentas públicas no es estrictamente necesaria, desactívala para evitar que los atacantes escalen su acceso desde un nivel de invitado a una sesión autenticada.

Las organizaciones que utilizan Salesforce Experience Cloud deben actuar rápidamente para auditar sus entornos. Proteger adecuadamente la configuración de los usuarios invitados es crucial para defenderse de esta campaña en curso.