Grupo de cibercriminosos usa carregador de dados Salesforce modificado para roubar dados

O Grupo de Inteligência de Ameaças do Google (GTIG) descobriu um grupo de cibercriminosos, rastreado como UNC6040, que usa phishing de voz sofisticado para enganar funcionários a instalar um carregador de dados Salesforce modificado. Isso permite que eles roubem grandes quantidades de dados confidenciais de aproximadamente 20 organizações em vários setores nas Américas e na Europa. Os atacantes se passam por suporte de TI, guiando as vítimas pelo processo de conexão para vincular o carregador de dados malicioso. Após a exfiltração de dados do Salesforce, o UNC6040 muitas vezes se move lateralmente pela rede, acessando e roubando dados de outras plataformas como Okta, Workplace e Microsoft 365. Em alguns casos, tentativas de extorsão ocorreram meses depois, sugerindo possíveis parcerias com outros atores de ameaças. O Salesforce emitiu orientações para ajudar os clientes a se protegerem contra ataques semelhantes.