Salesforce 拒绝向黑客组织支付赎金，众多企业数据面临泄露风险

10 月 8 日消息，Salesforce 已确认，将不会与今年针对该公司客户发起大规模数据盗窃攻击的网络威胁组织进行谈判，也不会支付任何赎金。

据彭博社报道，Salesforce 于周二向客户发送电子邮件，明确表示不会支付赎金，并警告称，根据“可信的威胁情报”，攻击者正计划公开泄露所窃取的数据。

Salesforce 还向 BleepingComputer 证实：“我可以确认，Salesforce 不会与任何勒索方接触、谈判或满足其勒索要求。”

这一声明是在一个名为“Scattered Lapsus$ Hunters”的黑客组织建立数据泄露 后发布的。该组织正试图对 39 家数据遭窃的公司进行勒索。该 托管在 breachforums [.] hn 域名下，该域名名称源自臭名昭著的黑客论坛 BreachForums，后者以买卖和泄露被盗数据而闻名。

注意到，被列在该数据泄露 上遭到勒索的企业包括众多知名品牌和机构，如联邦快递（FedEx）、迪士尼 / Hulu、家得宝（Home Depot）、万豪国际（Marriott）、谷歌（Google）、思科（Cisco）、丰田（Toyota）、盖璞（Gap）、开云集团（Kering）、麦当劳（McDonald's）、沃尔格林（Walgreens）、Instacart、卡地亚（Cartier）、阿迪达斯（Adidas）、萨克斯第五大道（Saks Fifth Avenue）、法航-荷航集团（Air France & KLM）、环联（TransUnion）、HBO MAX、联合包裹（UPS）、香奈儿（Chanel）以及宜家（IKEA）等。

这些威胁组织声称共窃取了近 10 亿条数据记录，若相关企业未单独支付赎金，或 Salesforce 未统一支付覆盖所有受影响客户的赎金，他们将逐步公开这些数据。

这些数据来自 2025 年发生的两起独立攻击行动中对 Salesforce 系统的入侵。

第一波数据盗窃行动始于 2024 年底，攻击者通过社会工程手段冒充 IT 技术支持人员，诱骗企业员工将恶意 OAuth 应用连接至其公司的 Salesforce 系统。一旦获得授权，攻击者便利用该访问权限下载并窃取数据库，随后通过电子邮件对企业实施勒索。

此次社会工程攻击影响的企业包括谷歌、思科、澳洲航空（Qantas）、阿迪达斯、安联人寿（Allianz Life）、农夫保险（Farmers Insurance）、Workday、开云集团（Kering），以及 LVMH 集团旗下子公司如迪奥（Dior）、路易威登（Louis Vuitton）和蒂芙尼（Tiffany & Co.）等。

第二波针对 Salesforce 的数据盗窃行动始于 2025 年 8 月初，攻击者利用从 SalesLoft Drift 平台窃取的 OAuth 令牌，横向渗透至其客户的 CRM 环境并实施数据外泄。

此次针对 SalesLoft 供应链的攻击主要聚焦于窃取客户支持工单数据，从中扫描提取登录凭证、API 密钥、身份验证令牌及其他敏感信息，以便进一步入侵企业的内部基础设施和云服务系统。

其中一名参与 SalesLoft 攻击的黑客组织成员 —— 绰号“ShinyHunters”者向 BleepingComputer 透露，在此次攻击活动中，他们共窃取了超过 760 家企业的约 15 亿条数据记录。

截至目前，已有包括谷歌、Cloudflare、Zscaler、Tenable、CyberArk、Elastic、BeyondTrust、Proofpoint、JFrog、Nutanix、Qualys、Rubrik、Cato Networks、Palo Alto Networks 在内的多家企业确认受到了 SalesLoft 供应链攻击的影响。

近期上线的数据泄露 最初主要用于勒索第一波社会工程攻击中的受害者。攻击者曾宣称，将于 10 月 10 日之后开始公开勒索受 SalesLoft 攻击影响的企业。

然而，目前该数据泄露 已被关闭。其域名当前使用的 DNS 服务器为 surina.ns.cloudflare.com 和 hans.ns.cloudflare.com，这两个 IP 地址此前曾被美国联邦调查局（FBI）用于查封非法域名时使用。

BleepingComputer 已就此联系 FBI，询问是否由其执行了此次域名查封，但截至发稿时尚未收到回应。