Centenas de Clientes Salesforce supostamente Alvo em Nova Campanha de Roubo de Dados

O ShinyHunters não está explorando uma falha no Salesforce, está explorando um padrão repetido de negligência operacional: perfis de usuário convidado com permissões absurdas, APIs públicas habilitadas sem necessidade e falta de auditoria em ambientes Experience Cloud. A novidade técnica real da campanha atual é o uso de uma versão modificada do Aura Inspector, ferramenta lançada pelo Mandiant em janeiro de 2026 para ajudar administradores a corrigir exatamente esses problemas. O grupo reverteram a intenção da ferramenta: em vez de auditar, usam-na para exfiltrar dados via GraphQL, contornando limites nativos do framework Aura e agrupando centenas de requisições em uma única chamada POST.

Essa tática já permitiu roubar milhões de registros de empresas como Panera Bread, Wynn Resorts e Odido, todas com configurações de convidado abertas o suficiente para expor dados sensíveis diretamente ao público. A Salesforce reforça que não há vulnerabilidade no código da plataforma, mas sim na forma como clientes implementam o Experience Cloud: 92% das instâncias comprometidas tinham o perfil 'Guest User' com acesso a objetos como Account, Contact e Lead, e 78% mantinham 'API Enabled' ativado nesse perfil, algo que viola as próprias recomendações de segurança da empresa desde 2023.

Esse ataque não é só sobre vazamento de dados, é sobre escalonamento de ameaças. Os registros roubados (nomes, telefones, cargos, histórico de interações) alimentam campanhas de vishing direcionadas contra funcionários de TI e segurança, visando roubo de tokens OAuth ou aprovação de apps maliciosos integrados ao Salesforce. Uma única falha de configuração pode desencadear uma cadeia de violações em múltiplos SaaS: Okta, LastPass, Snowflake e ADT já apareceram na lista de alvos secundários do grupo. Para empresas brasileiras com CRM hospedado no Salesforce, isso significa que a revisão de perfis de convidado não é uma tarefa de infraestrutura, é uma prioridade de resposta a incidentes imediata.