Ataques ShinyHunters exploram OAuth para exfiltração de dados no Salesforce

A Microsoft detalhou como o ShinyHunters operou entre meados de 2025 e julho de 2026 explorando OAuth não como um bug do Salesforce, mas como uma falha de governança: o abuso de confiança em aplicativos autorizados. O grupo não quebrou senhas nem explorou vulnerabilidades no código-fonte, usou consentimentos legítimos concedidos por usuários enganados em vishing ou herdou tokens via integrações comprometidas (Salesloft, Gainsight, Klue). Em cada caso, os ataques se misturavam ao tráfego normal porque rodavam com permissões reais, dentro de fluxos aprovados. Isso torna detecção tradicional inútil: não há login suspeito, não há MFA bypassado, não há IP malicioso, só uma API chamada com um token válido, mas usado para exfiltrar milhões de contatos, contas e casos de CRM.

O novo foco da Microsoft não é mais só caçar o atacante, mas auditar o ecossistema de acesso: quais apps estão conectados, quais permissões pediram, quanto tempo ficaram inativos, e qual risco real cada um representa. A pontuação de risco 0, 100 para apps OAuth no Defender for Cloud Apps não é um score genérico, é calculado com base em escopo concedido (ex.: api, full_access), atividade real (consultas em massa, exportações de relatórios), e padrão de uso (ex.: app autorizado em janeiro de 2025 e sem uso desde então). É a primeira vez que uma ferramenta comercial traduz privilégios OAuth em priorização operacional concreta para equipes de segurança.

Em março de 2026, a cobertura CEVIU sobre o ShinyHunters focava em configurações de usuário convidado no Experience Cloud e em uma ferramenta Aura Inspector modificada, um vetor distinto, baseado em permissões excessivas de infraestrutura. Em julho de 2026, o cenário mudou radicalmente: o foco agora é 100% em OAuth legítimo, com técnicas refinadas de vishing e cadeia de suprimentos, e a resposta não é só alerta, mas governança ativa. A Microsoft lançou funcionalidades novas em produção no Defender for Cloud Apps: atribuição de apps conectados em tempo real, identificação automática de apps inativos por 90 dias, e um modelo de risco quantificável, tudo integrado ao Salesforce Shield Event Monitoring. Isso é evolução técnica real: de detecção reativa para postura preventiva mensurável.

Esses ataques não são incidentes isolados, são o novo padrão de exfiltração em nuvem. Enquanto empresas investem em MFA e SSO, esquecem que um único app OAuth mal configurado pode valer mais que mil credenciais. Um app com escopo api + web + refresh_token permite acesso persistente, mesmo após troca de senha. E a nova Política de Segurança de Transação da Salesforce, que exige MFA para exportações acima de 10.000 registros a partir de 13 de julho de 2026, mostra que o problema já está no radar regulatório. Ignorar governança de OAuth hoje é como deixar a porta dos fundos aberta enquanto instala câmeras na frente.