Threat hunting no Salesforce: como detectar ataques que exploram OAuth, SSO e MFA

A Datadog, por meio de seu time de pesquisa em segurança, publicou um guia de threat hunting para Salesforce, focando na primeira fase da cadeia de ataque MITRE ATT&CK. O artigo detalha vetores de acesso inicial, como phishing de OAuth e abuso de tokens de terceiros. A abordagem da Datadog é prática, oferecendo consultas prontas para detecção em ambientes Salesforce usando os Event Log Files (ELF) e Real-Time Event Monitoring (RTEM). Para outras plataformas de SIEM, adaptar esses nomes de campos e a sintaxe das consultas é essencial.

A análise da Datadog sobre ameaças no Salesforce reforça a importância de monitorar atividades de login, uso de APIs e contas de usuários convidados, que muitas vezes têm permissões excessivas. Ataques se iniciam com credenciais comprometidas ou por aplicativos maliciosos via OAuth, levando a enumeração de recursos e exfiltração de dados. A equipe da Datadog, por exemplo, identificou o uso da API /limits/ para que atacantes compreendam os limites de uso e minimizem a chance de detecção. Esse tipo de atividade pode ser rastreado tanto em logs ELF, como o tipo de evento RestApi, quanto em RTEM, via ApiEvent.

A cobertura anterior do CEVIU sobre o vazamento no Salesforce via app Klue, em 2026-06-19, descreveu o grupo Icarus gerando tokens OAuth e exfiltrando dados de CRM por 24 horas usando o aplicativo comprometido. A análise atual da Datadog complementa essa visão, detalhando as táticas pós-acesso que, provavelmente, o grupo Icarus empregou, como enumeração de objetos e consulta de limites de API, para cobrir seus rastros durante a exfiltração. O foco agora se expande para métodos proativos de detecção, não apenas a resposta a um incidente já ocorrido.

A plataforma Salesforce, por armazenar dados sensíveis como registros de clientes e histórico de vendas, torna-se um alvo primordial para cibercriminosos. A falta de visibilidade em atividades incomuns pode custar mais de 4,45 milhões de dólares, segundo a IBM. Por isso, as empresas devem usar o Datadog e outras ferramentas para buscar ativamente por indicadores de comprometimento. Detectar, por exemplo, tentativas de força bruta em massa, logins bem-sucedidos de contas Guest, ou o uso de tokens OAuth por IP de serviços VPN, são alguns dos pontos que merecem atenção para evitar acessos indesejados ou ataques de exfiltração de dados. O monitoramento contínuo e a análise comportamental de logs são cruciais para a defesa.