Salesforce waarschuwt klanten voor aanvallen waarbij misbruik wordt gemaakt van verkeerd ingestelde gast-accounts, waarna aanvallers allerlei gegevens stelen. De data wordt daarna gebruikt voor social engineering en telefonische phishingaanvallen. Onlangs meldde de NOS dat het datalek bij Odido was ontstaan doordat aanvallers via telefonische phishing en social engineering wisten in te breken op de Salesforce-omgeving van de telecomprovider. In de aanvallen waarover Salesforce nu bericht maken de aanvallers misbruik van verkeerd geconfigureerde gast-accounts van Experience Cloud sites.

Salesforce biedt een veelgebruikt customer relationship management (CRM), waarin bedrijven allerlei informatie over bestaande en potentiële klanten kunnen opslaan. Experience Cloud sites zijn websites en applicaties die direct op het Salesforce CRM-platform draaien. Op deze manier kunnen organisaties klanten, partners of medewerkers direct toegang tot de CRM-data geven.

Volgens Salesforce hebben sommige organisaties de permissies van gast-accounts voor Experience Cloud sites verkeerd ingesteld, waardoor deze accounts toegang tot meer data hebben dan de bedoeling van de organisatie is. Bij publiek toegankelijk Salesforce Experience sites delen anonieme bezoekers een "guest user profile". Via dit profiel kunnen niet-ingelogde gebruikers data bekijken die openbaar moet worden. Als het profiel verkeerd is ingesteld met teveel rechten, kunnen ook gegevens die niet openbaar moeten worden toegankelijk zijn.

Aanvallers maken van deze misconfiguraties misbruik, aldus Salesforce. Daarbij wordt gebruikgemaakt van een aangepaste opensourcetool van securitybedrijf Mandiant. Via deze tool scannen de aanvallers op grote schaal naar publiek toegankelijke Experience Cloud sites. De oorspronkelijke tool kan alleen maar kwetsbare objecten identificeren, maar de aangepaste tool maakt het ook mogelijk om via verkeerd ingestelde gast-accounts allerlei data te stelen.

Data die de aanvallers bij deze aanvallen buitmaken, vaak namen en telefoonnummers, worden daarna gebruikt voor social engineering en telefonische phishingaanvallen. Bij de aanval op Odido zou ook gebruik zijn gemaakt van telefonische phishing en social engineering. Deze werkwijze is al geruime tijd bekend. Zo waarschuwden de FBI, Salesforce en Google hier vorig jaar voor.