O Google descreveu o grupo que invade Salesforce sem explorar falha nenhuma.
O UNC6040 liga para funcionários se passando por suporte de TI e os convence a autorizar um aplicativo conectado malicioso digitando um código. Não há exploit. Há um telefonema.
VishingO Google Threat Intelligence Group publicou a descrição do UNC6040, um grupo que liga para funcionários de multinacionais se passando por suporte de TI e os convence a autorizar um aplicativo conectado malicioso, uma versão adulterada do Data Loader do Salesforce, digitando um "código de conexão".
A partir daí o acesso é legítimo do ponto de vista do sistema. A extração de dados que se segue não dispara alerta de intrusão, porque não houve intrusão no sentido técnico.
A conclusão do relatório é a frase mais citável do ano em segurança humana: em todos os casos observados, os atacantes dependeram da manipulação de usuários finais, não de qualquer vulnerabilidade do Salesforce.
Quando o ataque roda inteiramente dentro do fluxo autorizado, detecção não resolve: só a pessoa na ponta pode interromper. E ela só interrompe o que já reconheceu antes.
