Invasão em apps conectados ao Salesforce começou em integrações da Gainsight, envolveu tokens do Drift, e levou o Google a apontar mais de 200 contas comprometidas, enquanto empresas citadas correm para responder
Uma invasão em apps conectados ao Salesforce provocou um vazamento de dados com alcance incomum e deixou o setor de tecnologia em alerta. Segundo informações reunidas pelo Google e reportadas pela imprensa, um ataque hacker de grande escala expôs dados de mais de 200 empresas que utilizam serviços integrados ao ecossistema da plataforma. A ação foi reivindicada pelo Scattered Lapsus$ Hunters em publicações no Telegram, e a repercussão cresceu após o TechCrunch confirmar o teor das mensagens.
A preocupação aumentou porque a invasão em apps conectados ao Salesforce não começou diretamente na plataforma principal, mas sim em aplicações de terceiros usadas por várias companhias ao mesmo tempo, o que ampliou o efeito de cadeia. O ponto inicial foi associado a aplicativos da Gainsight, empresa que fornece ferramentas de suporte e integrações com o Salesforce.
Quem é o Scattered Lapsus$ Hunters e por que o nome preocupa
O grupo que assumiu a autoria reúne membros de coletivos já conhecidos, como ShinyHunters, Scattered Spider e Lapsus$. Essas facções ficaram marcadas por explorar engenharia social para enganar funcionários, buscar acessos internos de alto privilégio, explorar cadeias de fornecedores interligados e realizar extorsão após o roubo de dados em grande volume. Entre os incidentes atribuídos a esses grupos no passado recente estão ataques a MGM Resorts, Coinbase e DoorDash.
De acordo com as mensagens divulgadas, os autores planejam lançar um site de extorsão específico para as vítimas desta nova ofensiva, repetindo a estratégia usada em campanhas anteriores. O TechCrunch teve acesso às publicações em que o coletivo detalha parte da narrativa do ataque, o que contribuiu para elevar o nível de vigilância entre empresas com integrações em nuvem.
Como a falha ganhou escala nas integrações do ecossistema
A sequência de eventos começou quando o Salesforce comunicou ter identificado uma violação envolvendo “certos clientes”, sem detalhar quem foi afetado. A apuração subsequente apontou que a brecha surgiu em aplicativos desenvolvidos pela Gainsight, que se conectam à plataforma da Salesforce.
Segundo Austin Larsen, analista do Google Threat Intelligence Group, mais de 200 contas pertencentes a diferentes empresas dentro da plataforma foram comprometidas. A lista de nomes citados pelos criminosos é extensa, incluindo Atlassian, CrowdStrike, DocuSign, F5, GitLab, LinkedIn, Malwarebytes, SonicWall, Thomson Reuters e Verizon. Embora tais menções não confirmem impacto efetivo em cada organização, elas indicam o alcance potencial da campanha.
Uma das peças que ajudaram a impulsionar a invasão em apps conectados ao Salesforce foi, segundo os próprios criminosos, o reaproveitamento de tokens de autenticação do serviço de marketing Drift, obtidos anteriormente em uma campanha contra clientes da Salesloft. Em mensagem reproduzida pelo TechCrunch, um porta-voz afirmou: “A Gainsight era cliente da Salesloft Drift, foi afetada e, portanto, totalmente comprometida por nós.”
As respostas de Salesforce, Gainsight e empresas citadas
A CrowdStrike negou qualquer relação com o “problema da Gainsight” e disse que os dados de seus clientes permanecem protegidos. A Verizon classificou as alegações como “infundadas”. Já a Malwarebytes informou estar ciente da situação e conduzindo uma investigação, enquanto a Thomson Reuters adotou posicionamento semelhante.
Do lado das provedoras de tecnologia, a Salesforce ressaltou que “não encontrou indícios de vulnerabilidade em sua própria plataforma.” Em paralelo, a Gainsight publicou uma página pública com atualizações e disse trabalhar com a Mandiant, unidade de resposta a incidentes do Google, na análise forense. Segundo a empresa, o ataque “se originou da conexão externa dos aplicativos” e, até o momento, a investigação permanece em curso.
Como medida preventiva, a Salesforce também revogou temporariamente os tokens de acesso vinculados à Gainsight, um passo comum em respostas a incidentes para interromper movimentos laterais e reduzir superfícies de ataque. A iniciativa, aliada à cooperação com a Mandiant e à comunicação pública de status, busca conter efeitos remanescentes na cadeia de integrações.
Para clientes e parceiros, o episódio reforça a necessidade de revisar permissões de aplicativos, tokens de API, políticas de acesso mínimo e monitoramento de integrações com fornecedores. Em ambientes amplamente conectados, um único elo comprometido pode amplificar riscos em cascata, como visto nesta invasão em apps conectados ao Salesforce.
Em síntese, o caso expõe a fragilidade de integrações entre plataformas corporativas e serviços de marketing e suporte, campo fértil para atores que dominam engenharia social, sequestro de sessões e exploração de credenciais. Enquanto as investigações prosseguem e cada empresa citada avalia seus próprios riscos, a mensagem imediata é clara: a segurança de dados não depende apenas do provedor principal, mas de toda a cadeia de fornecedores que se conecta a ele.