LONDON (IT BOLTWISE) – Microsoft beschreibt, wie Angreifer innerhalb von etwa einem Jahr in Salesforce-Umgebungen eindringen konnten, ohne eine einzige Plattform-Schwachstelle auszunutzen. Der Schlüssel liegt in OAuth-Vertrauen, fehlerhafter Guest-Zugriffsfreigabe und zuvor genehmigten Drittanbieter-Integrationen. Damit wirkt der Datenzugriff für Monitoring-Logik zunächst wie „normale“ Automatisierung. Der Beitrag zeigt zudem, welche Defender- und Governance-Erweiterungen nötig sind, um Überberechtigungen und vergessene Apps früher zu erkennen.
Microsoft zeigt in einer aktuellen Auswertung, wie Angreifer sich in Salesforce-Umgebungen über drei nahezu „unsichtbare“ Einfallspfade eingeschleust haben – über einen Zeitraum von Mitte 2025 bis Mitte 2026. Auffällig ist dabei die geringe Angriffsdramaturgie: Es wurden keine Zero-Days gegen Salesforce selbst berichtet, sondern Vertrauen missbraucht, das Unternehmen bereits beim Onboarding von Integrationen gewähren. In der Praxis sieht das Monitoring dann so aus, als ob ein legitimer Nutzer oder eine genehmigte Automatisierung handelt. Genau diese Lücke macht die Kampagne so schwer zu stoppen, obwohl anschließend umfangreiche CRM- und Credential-Suche möglich wird. Microsoft verortet Aktivität in mehreren Branchen, darunter Retail, Education und Manufacturing.
Technisch betrachtet entsteht das Problem aus dem Zusammenspiel von Salesforce, OAuth und dem, was Logs typischerweise abbilden. Wenn ein Connected App-Consent einmal erteilt ist, können API-Aufrufe mit den gleichen OAuth-Scopes erfolgen, die das Unternehmen für produktive Workflows freigegeben hat. Auch bei tokenbasierten Integrationen ist die Netzwerkspur „sauber“, weil sie aus Sicht des Identity-Systems wie genehmigte Kommunikation aussieht. Microsoft stellt deshalb klar, dass nicht der Einstieg zählt, sondern was die App nach dem Einstieg macht: Welche Datensätze abgefragt werden, ob die Scope-Gruppe ungewöhnlich breit ist und ob Abfragen über das hinausgehen, was im Tenant historisch zu sehen war.
Aus Marktsicht wird der Fall besonders, weil mehrere etablierte Sicherheits- und Threat-Intelligence-Akteure bereits ähnliche Muster dokumentiert haben. Für den ersten Pfad ordnet Microsoft die Aktivitäten den von Google GTIG und Mandiant beschriebenen Clustern zu, die den anfänglichen Zugriff als UNC6040 und die spätere Extortion als UNC6240 bezeichnen. Google verifizierte zudem im Juni 2025, dass eine eigene Salesforce-Instanz betroffen war, nachdem Angreifer über einen OAuth-Consent vor allem öffentlich einsehbare Business-Kontaktdaten extrahierten. Außerdem wurden Wellen mit Bezug auf Vorfälle in Unternehmen wie Chanel und Pandora öffentlich diskutiert; auch Adidas, Qantas, Allianz Life sowie mehrere LVMH-Marken werden als Ziele genannt. Damit wird klar: Das Vorgehen skaliert nicht nur technisch, sondern auch organisatorisch über viele gleichartige CRM-Landschaften.
Der zweite Einfallspfad verschiebt die Aufmerksamkeit noch stärker weg von der Mitarbeiter-Login-Sicherheit hin zur Drittanbieter-Kette. Hier kompromittieren Angreifer einen Vendor, dessen App bereits OAuth-Zugriff auf die Salesforce-Org-Kunden besitzt, stehlen anschließend Verbindungsschlüssel oder Refresh Tokens und exportieren so Daten über viele Downstream-Instanzen. Microsoft nennt dafür mehrere konkrete Vorfälle als Referenzpunkte. Besonders deutlich wird das am Salesloft-Drift-Komplex: Angreifer sollen OAuth- und Refresh-Token rund um eine Drift-AI-Chat-Integration entwendet und damit Salesforce-Umgebungen angegriffen haben. Google schätzte, dass dadurch potenziell mehr als 700 Organisationen betroffen waren; außerdem finden sich in den Berichten Bezüge zu weiteren Clustern wie UNC6395 und Bezeichnungen wie GRUB1 bei Cloudforce One.
Für den dritten Pfad ist keine Credential-Diebstahl-Story nötig: Microsoft beobachtet einen Anstieg verdächtiger Guest-User-Aktivität gegen Salesforce Aura-Endpunkte, also die Basis für Experience-Cloud-Sites. Wenn Guest-Berechtigungen falsch konfiguriert sind, können Angreifer Aura-Funktionen nutzen, ohne sich wirklich zu authentifizieren. Sie greifen dabei auch auf GraphQL-Controller zu und bedienen sich Cursor-basierter Pagination, um Datensätze hinter einer üblichen 2.000-Record-Abbruchgrenze hinaus zu ziehen. Microsoft verweist dabei auf Inspektions- und Test-Tools wie „AuraInspector“, wobei im Kern kein Exploit gegen eine Schwachstelle benötigt wurde, sondern eine überzogene Freigabe aus der Konfiguration selbst ausgenutzt wurde. Genau solche Fehlkonfigurationen werden in vielen Umgebungen bislang eher als „Web-Thema“ betrachtet statt als Identitätsrisiko.
Damit rückt auch die Frage in den Vordergrund, wie sich die Detektion verbessern lässt, ohne nur auf klassische Sign-In-Alarme zu setzen. Microsoft arbeitet hierfür mit Salesforce daran, die Signalqualität nach dem Einstieg zu erhöhen. In Defender for Cloud Apps soll die Aktivität sichtbar werden, etwa welche Connected App tatsächlich aufgerufen hat, welche OAuth-Scopes vorhanden sind und wie stark die App im Tenant abfragt – also ob sich das Verhalten vom „Normalbetrieb“ abhebt. Für Kunden mit Salesforce Shield Event Monitoring ergänzt die Connector-Konfiguration außerdem Real-Time Event Monitoring für eine nahezu zeitnahe Erkennung und ordnet die Aktivität einer konkreten App-Identität mitsamt Session- und API-Kontext zu. Ergänzend kommen Governance-Funktionen hinzu: ein Blick auf hochprivilegierte Apps, das Aufdecken inaktiver Integrationen trotz weiter gültiger Berechtigungen sowie ein 0-bis-100-Risiko-Scoresystem, das Teams direkt an Alerts und Policies anbinden können.
Die nachhaltige Wirkung liegt jedoch nicht nur in neuen Dashboards, sondern in einem veränderten Sicherheitsmodell entlang des gesamten OAuth-Angriffsflächenspektrums. Microsoft empfiehlt deshalb, Salesforce gezielt an Defender for Cloud Apps anzudocken, Salesforce Event Logs aktiv einzuschalten und Experience-Cloud-Guest-Zugriff konsequent zu „härten“. Darüber hinaus bleiben die etablierten Hausaufgaben entscheidend: Connected Apps inventarisieren, ungenutzte Integrationen entfernen, die restlichen Berechtigungen auf Least Privilege reduzieren und Token-Rotation sowie Revoke-Prozesse so vorbereiten, dass sie bei Auffälligkeiten sofort greifen. Der Kern der Erkenntnis ist historisch betrachtet schlüssig: Die meisten Identitätskontrollen (MFA, Conditional Access, Session Policies) sind auf menschliche Logins ausgelegt, während OAuth-Apps und Service-Credentials häufig außerhalb der fein granularen Überwachung liegen.
Für die nächsten Monate ergibt sich daraus eine klare Zukunftsaufgabe für Enterprise-Teams. Angreifer haben dieses Muster offenbar über etwa ein Jahr und teils sogar mehr als nur einmal durchgezogen, und die „Quelle“ des Zugangs war nicht exotische Kryptografie, sondern oft eine vergessene oder zu lange freigeschaltete Berechtigung. Für Entwickler und Administratoren bedeutet das: Least-Privilege-Design muss in den Connected-App-Lifecycle hinein, nicht erst im Incident-Response-Prozess. Gleichzeitig wird die Frage der Auditierbarkeit wichtiger, weil die entscheidenden Hinweise im Verhalten nach dem Einstieg liegen. Wenn Governance-Workflows Berechtigungsausläufe, Scope-Reduktion und schnelle Token-Rotation in den Normalbetrieb integrieren, sinkt die Erfolgswahrscheinlichkeit solcher OAuth-basierten Intrusionspfade deutlich. Unterm Strich deutet der Fall darauf hin, dass „Identität“ im Salesforce-Ökosystem künftig stärker als Programmier- und Integrationsrisiko verstanden werden muss.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft Maps: ShinyHunters-Zugriffe auf Salesforce über OAuth und Guest-Fehlkonfig" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft Maps: ShinyHunters-Zugriffe auf Salesforce über OAuth und Guest-Fehlkonfig" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft Maps: ShinyHunters-Zugriffe auf Salesforce über OAuth und Guest-Fehlkonfig« bei Google Deutschland suchen, bei Bing oder Google News!