谷歌披露威胁组织攻击方式：伪造Salesforce数据加载器实施钓鱼攻击
内容提要
谷歌披露了威胁组织UNC6040，该组织通过语音钓鱼攻击入侵Salesforce系统，窃取数据并实施勒索。攻击者冒充IT支持人员，诱骗员工授权篡改Data Loader应用，获取未授权访问。UNC6040与网络犯罪集团The Com有关，攻击手法也被其他组织采用。Salesforce已警告此类社交工程攻击的持续演变。
关键要点
-
谷歌披露了威胁组织UNC6040，该组织通过语音钓鱼攻击入侵Salesforce系统。
-
UNC6040实施大规模数据窃取和后续勒索活动，冒充IT支持人员进行社交工程攻击。
-
攻击者利用篡改版Salesforce Data Loader应用获取未授权访问权限。
-
UNC6040的攻击手法与网络犯罪集团The Com有关，且被其他组织采用。
-
攻击者通过横向移动访问其他平台如Okta、Workplace和Microsoft 365，进行信息窃取。
-
Salesforce早在2025年3月就警告过此类语音钓鱼活动，称攻击者诱骗员工交出凭证。
-
攻击趋势显示社交工程攻击持续演进，IT支持人员成为攻击目标。
-
UNC6040的成功表明语音钓鱼仍是经济利益驱动型组织突破企业防御的有效手段。
延伸解读
社交工程攻击的演变
UNC6040的攻击手法表明，社交工程攻击正在不断演变，尤其是针对IT支持人员的攻击愈发频繁。这种趋势提醒企业在培训员工时，需加强对社交工程攻击的识别能力，尤其是在处理敏感信息时。
篡改应用的风险
攻击者利用篡改版Salesforce Data Loader进行攻击，显示出企业在使用第三方应用时的潜在风险。企业应加强对应用来源的审查，确保只使用官方渠道提供的工具，以降低被攻击的可能性。
勒索攻击的潜在威胁
UNC6040的攻击不仅限于数据窃取，还可能在数月后引发勒索事件。这一特点提示企业在发现数据泄露后，需迅速采取应对措施，防止攻击者利用窃取的数据进行勒索。
延伸问答
UNC6040组织是如何进行攻击的？
UNC6040组织通过语音钓鱼攻击，冒充IT支持人员诱骗员工授权篡改Salesforce Data Loader应用，从而获取未授权访问权限。
UNC6040与其他网络犯罪组织有什么关联？
UNC6040与网络犯罪集团The Com有关，且其攻击手法也被其他组织如Scattered Spider采用。
Salesforce对此类攻击采取了什么措施？
Salesforce早在2025年3月就警告过此类语音钓鱼活动，并提醒客户员工警惕冒充IT支持人员的钓鱼攻击。
攻击者如何利用篡改版Data Loader进行数据窃取？
攻击者诱骗受害者授权篡改版Data Loader连接Salesforce，从而获得对客户环境的未授权访问，进而窃取数据。
UNC6040的攻击趋势有什么特点？
UNC6040的攻击趋势显示社交工程攻击持续演进，IT支持人员成为主要目标，且攻击者在初始入侵后可能数月后才实施勒索。
UNC6040的攻击对企业安全有什么影响？
UNC6040的攻击表明语音钓鱼仍是经济利益驱动型组织突破企业防御的有效手段，可能导致多个受害组织面临勒索要求。
