臭名昭著的駭客組織ShinyHunters向約 400 家機構發出最後通牒，聲稱已成功入侵其內部記錄。該組織威脅稱，除非其勒索要求得到滿足，否則將把這些敏感資訊洩露到網路上。先前，市場研究公司Mandiant曾表示，這些駭客專門針對使用 Salesforce Experience Cloud 建置的網站。

問題的核心在於這些網站如何設定供公眾使用。 Salesforce 提供訪客使用者設定文件，以便隨機訪客無需登入即可查看基本資訊。然而，如果公司的設定過於開放，實際上就存在安全漏洞。

調查顯示，駭客使用了名為Aura Inspector 的工具的修改版來掃描網路並尋找這些漏洞。一旦進入系統，他們就能取得姓名和電話號碼等數據，而這些資訊已經被用於語音釣魚攻擊（即駭客打電話給員工，誘騙他們洩露更多公司機密）。

Salesforce 敦促所有客戶立即檢查其網站設定。他們建議採用「最小權限」原則，這意味著僅授予訪客使用者使用網站所需的最低權限。此外，公司應確保所有資料預設為私有，並關閉允許訪客查看內部員工名單的設定。另外，禁用公共API至關重要，這些API是不同軟體程式之間通訊和資料共享的數位橋樑。

資料來源：https://hackread.com/shinyhunters-hackers-threat-stolen-salesforce-data/