S&Pの報告書によると、組織はサイバーガバナンス、トレーニング、意識向上を強化するための変更を検討すべきだとしています。
最近のソーシャルエンジニアリング攻撃の波は、洗練された脅威グループが人間の行動を利用して、最先端のセキュリティ技術を回避できるリスクを浮き彫りにしていると、金曜日に発表された報告書でS&Pは述べています。
ここ数か月、金銭目的のハッカーが音声フィッシングを使ってSalesforceのインスタンスを標的にし、認証情報を取得してテクノロジーシステムへのアクセスを得ようとしています。
S&Pのアナリストは、これらの攻撃は意識向上、セキュリティトレーニング、サイバーガバナンスの改善の必要性を強調していると述べています。
「誰かがアクセスを許可してしまえば、それだけで優れたセキュリティ対策はすべて無意味になります」とS&Pグローバルのディレクター、ジャワド・フセイン氏はCybersecurity Diveに語りました。
また、これらの攻撃キャンペーンは、サードパーティアプリケーションへの依存度の増加に関連するリスクも浮き彫りにしていると報告書は指摘しています。Salesforce自体にセキュリティ脆弱性は確認されていませんが、このような一連の攻撃はブランドに風評リスクをもたらす可能性があると報告書は述べています。
今月初め、FBIが警告したところによると、2つの異なる攻撃キャンペーンが、標的となった組織に対してデータ窃取や恐喝を行うために異なる手法を用いていたとのことです。
FBIによると、UNC6040として追跡されているグループは、音声フィッシングを使ってカスタマーサービス担当者から認証情報を入手していました。このキャンペーンは2024年10月から継続しています。
また、より最近のキャンペーンでは、Salesloft DriftというAIチャットボットの侵害されたOAuthトークンが使用されました。この攻撃では、Salesforceインスタンスが侵害された後にデータが盗まれました。
後者のキャンペーンは、企業がアクセスを取り消し、OAuthトークンを更新したことで阻止されました。