Ciberseguridad24/09/2026@CyberDesk
Una alerta FLASH del FBI advierte de que UNC6040 y UNC6395 saquean instancias de Salesforce
J. Edgar Hoover Building, 935, Pennsylvania Avenue Northwest, Penn Quarter, Ward 2, Washington, District of Columbia, 20535, United StatesFederal Bureau of Investigation
Empieza el 12/09/2025CONFIRMADO 89% DE CONFIANZAel año pasadoLa alerta TLP:CLEAR del FBI lleva el encabezado «12 de septiembre de 2025» y el número FLASH «FLASH-20250912-001».^[1]
El FBI publicó indicadores de dos grupos que roban datos de Salesforce de empresas, uno llamando al personal haciéndose pasar por soporte informático y el otro con tokens robados de Salesloft Drift.
0.79
Ciberseguridad24/09/2026@CyberDesk
Hackers usan tokens robados de Salesloft Drift para saquear instancias de Salesforce
SalesloftAtlanta, Fulton County, Georgia, United States
Del 08/08/2025 al 18/08/2025CONFIRMADO 87% DE CONFIANZAhace 1,1 añosGTIG: «Desde al menos el 8 de agosto de 2025 y hasta como mínimo el 18 de agosto de 2025, el actor atacó instancias de clientes de Salesforce mediante tokens OAuth comprometidos asociados a la aplicación de terceros Salesloft^[2] Drift».
Con tokens OAuth robados del chatbot Drift de Salesloft, el grupo UNC6395 exportó datos de las instancias de Salesforce de cientos de empresas, buscando en los casos de soporte claves de AWS, contraseñas y tokens de Snowflake.
0.75
Ciberseguridad24/09/2026@CyberDesk
Google expone los ataques de vishing de UNC6040 contra clientes de Salesforce
SalesforceSalesforce Tower, 415, Mission Street, Rincon Hill, San Francisco, California, 94105, United States
Empieza el 04/06/2025CONFIRMADO 88% DE CONFIANZAhace 1,3 añosLa publicación de Google^[1] Cloud Threat Intelligence «The Cost of a Call: From Voice Phishing to Data Extortion» está fechada el «4 de junio de 2025».
Los investigadores de amenazas de Google afirmaron que un grupo que se hacía pasar por soporte informático por teléfono convencía a empleados para aprobar una falsa aplicación Data Loader y luego robaba en masa los datos de Salesforce de sus empresas para extorsionarlas.
0.74
Ciberseguridad24/09/2026@CyberDesk
Scattered Lapsus$ Hunters abre un sitio de filtraciones para extorsionar a Salesforce
Salesforce Tower, 415, Mission Street, Rincon Hill, San Francisco, California, 94105, United StatesSalesforce
Empieza el 03/10/2025CONFIRMADO 88% DE CONFIANZAhace 357 díasEl artículo de BleepingComputer^[1][2][3] fechado el «3 de octubre de 2025» dice «Hoy han lanzado un nuevo sitio de filtración de datos con 39 empresas» con un «plazo del 10 de octubre».
La banda publicó muestras de los datos de Salesforce robados a 39 empresas y exigió a Salesforce que pagara antes del 10 de octubre o se filtrarían unos mil millones de registros.
0.73
Ciberseguridad24/09/2026@CyberDesk
Salesforce desconecta las aplicaciones de Gainsight tras accesos sospechosos a datos de clientes
Gainsight350, Bay Street, Fisherman's Wharf, North Beach, San Francisco, California, 94133, United States
Empieza el 19/11/2025CONFIRMADO 88% DE CONFIANZAhace 310 díasCronología del incidente de Gainsight^[1][3][4] (PST): «19 de noviembre de 2025 - Por la tarde, Salesforce notifica a Gainsight actividad inusual relacionada con la aplicación conectada de Gainsight para Salesforce»; The Register^[5] indica que Salesforce anunció la revocación el miércoles 19 de noviembre.
Salesforce revocó todos los tokens de las aplicaciones publicadas por Gainsight y las retiró de AppExchange tras detectar llamadas a la API desde IP no reconocidas hacia los datos de Salesforce de sus clientes.
0.70
Ciberseguridad24/09/2026@CyberDesk
Cl0p empieza a enviar correos a directivos afirmando haber robado datos de Oracle E-Business Suite
2300, Oracle Way, Lakeshore, Austin, Travis County, Texas, 78741, United StatesOracle
Empieza el 29/09/2025CONFIRMADO 87% DE CONFIANZAhace 361 díasGoogle^[1] Threat Intelligence Group: «A partir del 29 de septiembre de 2025, Google Threat Intelligence Group (GTIG) y Mandiant empezaron a rastrear una nueva campaña de extorsión a gran escala de un actor de amenazas que afirma estar afiliado a la marca de extorsión CL0P».
Un grupo que usa la marca de extorsión Cl0p empezó a enviar correos masivos a directivos afirmando que había robado datos de los sistemas Oracle E-Business Suite de sus empresas y exigiendo un pago.
0.69
Ciberseguridad24/09/2026@CyberDesk
Los hackers publican datos de Qantas y Vietnam Airlines tras vencer el plazo de Salesforce
QantasQantas Group Headquarters, 10, Bourke Road, Mascot, Sydney, New South Wales, 2020, Australia
Empieza el 11/10/2025 3:30CONFIRMADO 87% DE CONFIANZAhace 349 díasInformation Age: «Los datos se filtraron primero en un foro de hacking de la web abierta hacia las 14:30 AEDT del sábado» (11 de octubre de 2025), cerca de una hora antes de publicarse gratis en la dark web.^[1]
Al vencer el plazo del rescate, Scattered Lapsus$ Hunters publicó datos de Salesforce robados a seis empresas, entre ellos 5 millones de registros de clientes de Qantas y 7,3 millones de direcciones de correo de Vietnam Airlines.
0.69
Derecho24/09/2026@LawDesk
Primera demanda colectiva contra Salesforce por los robos de datos de clientes de 2025
Phillip Burton Federal Building & United States Courthouse, 450, Golden Gate Avenue, Civic Center, San Francisco, California, 94102, United StatesSalesforce
Empieza el 27/08/2025CONFIRMADO 89% DE CONFIANZAhace 1,1 añosLa demanda en Scott v. Salesforce, Inc., n.º 3:25-cv-07232, lleva el sello «Filed 08/27/25» y el expediente de CourtListener^[1][2][3] la registra como entrada 1 el 27 de agosto de 2025.
Un cliente de Farmers Insurance demandó a Salesforce ante un tribunal federal de San Francisco, al que acusa de ser el «eje» de una brecha que expuso los datos de los clientes de sus clientes corporativos.
0.69
Ciberseguridad24/09/2026@CyberDesk
Un hacker afirma haber robado 6 millones de registros de inicio de sesión de Oracle Cloud
Oracle2300, Oracle Way, Lakeshore, Austin, Travis County, Texas, 78741, United States
Empieza el 20/03/2025CONFIRMADO 89% DE CONFIANZAhace 1,5 añosBleepingComputer^[1][2][3] (21 de marzo de 2025) dice que rose87168 «publicó ayer varios archivos de texto», y su artículo de seguimiento del 3 de abril indica que los 6 millones de registros salieron a la venta en BreachForums «el 20 de marzo».
Un hacker llamado rose87168 puso a la venta 6 millones de registros que, según dijo, procedían de los servidores de inicio de sesión único de Oracle Cloud; Oracle negó cualquier brecha en Oracle Cloud.
0.68
Derecho24/09/2026@LawDesk
Una jueza permite seguir adelante la demanda colectiva por la brecha de datos de clientes de Salesforce
Phillip Burton Federal Building & United States Courthouse, 450, Golden Gate Avenue, Civic Center, San Francisco, California, 94102, United StatesSalesforce
Empieza el 14/09/2026CONFIRMADO 85% DE CONFIANZAhace 11 díasLa orden en In re Salesforce Customers Security Incident Litigation está «Fechada el 14 de septiembre de 2026» y se registró en el expediente ese día como entrada 110.^[1]
La jueza Jacqueline Scott Corley se negó a desestimar la mayoría de las pretensiones según las cuales la laxa seguridad OAuth de Salesforce permitió a unos hackers robar datos de clientes de Allianz, Farmers y TransUnion.
0.68
Ciberseguridad24/09/2026@CyberDesk
Salesforce comunica a sus clientes que no pagará el rescate de Scattered Lapsus$ Hunters
SalesforceSalesforce Tower, 415, Mission Street, Rincon Hill, San Francisco, California, 94105, United States
Empieza el 07/10/2025CONFIRMADO 86% DE CONFIANZAhace 353 díasBleepingComputer^[1][4], 7 de octubre de 2025: «Salesforce envió el martes un correo a sus clientes para decirles que no pagaría ningún rescate»; ese martes fue el 7 de octubre.
A tres días del plazo de filtración fijado por la banda, Salesforce informó por correo a sus clientes de que no dialogaría, no negociaría ni pagaría ninguna exigencia de extorsión.
0.68
Ciberseguridad24/09/2026@CyberDesk
Una brecha en servidores heredados de Cerner de Oracle Health expone datos de pacientes
OracleCerner Corporation, North Kansas City, Clay County, Missouri, 64117, United States
Empieza el 28/03/2025CONFIRMADO 89% DE CONFIANZAhace 1,5 añosBleepingComputer^[1][3], 28 de marzo de 2025: «Una brecha en Oracle Health afecta a múltiples organizaciones sanitarias y hospitales de EE. UU.», información basada en el aviso de Oracle Health a sus clientes, mientras «Oracle Health aún no ha revelado públicamente el incidente».
Unos atacantes copiaron datos de pacientes de antiguos servidores de migración de datos de Cerner que Oracle Health aún no había trasladado a Oracle Cloud, y después se extorsionó a hospitales estadounidenses con ellos.
0.64

La publicación de Salesforce^[1] Security está fechada el «7 de marzo de 2026» (publicada a las 22:48 UTC); FINRA^[2]: «El 7 de marzo de 2026, Salesforce informó de que ShinyHunters estaba explotando activamente perfiles de usuario invitado de Experience Cloud mal configurados».

Inicio: 7 mar 202690% DE CONFIANZAsegún la fuente

Salesforce alerta de robos masivos desde sitios de Experience Cloud mal configurados

Traducido automáticamente del original

Título original: Salesforce Warns of Mass Theft From Misconfigured Experience Cloud Sites

Salesforce afirmó que un grupo de amenazas conocido escaneaba de forma masiva sitios públicos de Experience Cloud con una herramienta modificada de Mandiant y extraía datos de CRM a través de perfiles de usuario invitado con permisos excesivos.

El 7 de marzo de 2026, Salesforce Security informó de que había identificado una campaña en la que actores maliciosos aprovechan configuraciones de usuario invitado de Experience Cloud con permisos excesivos para acceder a más datos de los que las organizaciones pretendían exponer^[1].
El actor usó una versión modificada de Aura Inspector, una herramienta de código abierto que Mandiant publicó para localizar objetos expuestos a través del endpoint /s/sfsites/aura, adaptada para extraer realmente datos de sitios públicos sin iniciar sesión^[1][4].
Salesforce afirmó que la plataforma seguía siendo segura y que el problema era un ajuste de usuario invitado configurado por los clientes, les pidió que revisaran los perfiles de invitado para reducirlos al mínimo privilegio y el 11 de marzo amplió sus recomendaciones tras encontrar más configuraciones con datos expuestos^[1].
ShinyHunters afirmó tener datos de casi 400 sitios web y de unas 100 empresas destacadas, entre ellas la propia Salesforce^[4]; FINRA advirtió a sus firmas miembro de que los datos se estaban usando para phishing, vishing y extorsión^[2].
La cronología de Salesforce Ben recoge brechas posteriores de 2026 reivindicadas por ShinyHunters contra clientes de Salesforce, entre ellos Loblaw, Hallmark, 7-Eleven, ADT y Brinks Home^[3].

@CyberDesk

Referencias 485% DE CONFIANZA

La primera entrada es siempre la fuente del pin. La confianza global es una media ponderada de la firmeza con la que cada referencia respalda las horas de inicio y fin usadas arriba; una referencia cuenta la mitad por cada 180 días que sea más antigua que la más reciente.

[1]90%
salesforce.com/blog/protecting-your-data-essential-actions-to-secure-experience-cloud-guest-user-access
salesforce.com· Publicado el 24 sept 2026· Empieza 7 mar 2026 ✓· 30% de la puntuación
La publicación de Salesforce Security está fechada el «7 de marzo de 2026» (publicada a las 22:48 UTC); FINRA^[2]: «El 7 de marzo de 2026, Salesforce informó de que ShinyHunters estaba explotando activamente perfiles de usuario invitado de Experience Cloud mal configurados».
[2]88%
Cybersecurity Alert - Salesforce Experience Cloud Security Incident
finra.org· Añadido el 24 sept 2026· 30% de la puntuación
FINRA names ShinyHunters as the group exploiting misconfigured guest profiles and says the stolen data feeds phishing, vishing and extortion against firms and clients.
[3]75%
Salesforce Hacks 2026: Everything We Know So Far
salesforceben.com· Publicado el 5 ago 2026· 25% de la puntuación
Salesforce^[1] Ben's timeline of 2026 incidents: the 7 March blog, a 12 March trust-site post, and later breaches claimed by ShinyHunters at Loblaw, Hallmark, 7-Eleven, ADT and Brinks Home.
[4]85%
ShinyHunters claims yet another Salesforce customers breach
theregister.com· Publicado el 9 mar 2026· 14% de la puntuación
ShinyHunters told The Register it stole data from almost 400 websites and about 100 high-profile companies; Mandiant's CTO confirmed misuse of AuraInspector.

Sugerir una corrección

¿Falta algo o hay un error? Dilo con tus palabras: un enlace que respalde este pin, otra fecha de inicio o fin y por qué, o un dato que falta o está mal. La IA lo contrasta con las fuentes del pin, busca otras mejores y añade cualquier página que te dé la razón. Las fuentes del propio pin siguen contando más.

Comentarios

Hilo

Responder a este pin

Ciberseguridad24/09/2026@CyberDesk
Una alerta FLASH del FBI advierte de que UNC6040 y UNC6395 saquean instancias de Salesforce
J. Edgar Hoover Building, 935, Pennsylvania Avenue Northwest, Penn Quarter, Ward 2, Washington, District of Columbia, 20535, United StatesFederal Bureau of Investigation
Empieza el 12/09/2025CONFIRMADO 89% DE CONFIANZAel año pasadoLa alerta TLP:CLEAR del FBI lleva el encabezado «12 de septiembre de 2025» y el número FLASH «FLASH-20250912-001».^[1]
El FBI publicó indicadores de dos grupos que roban datos de Salesforce de empresas, uno llamando al personal haciéndose pasar por soporte informático y el otro con tokens robados de Salesloft Drift.
0.79
Ciberseguridad24/09/2026@CyberDesk
Hackers usan tokens robados de Salesloft Drift para saquear instancias de Salesforce
SalesloftAtlanta, Fulton County, Georgia, United States
Del 08/08/2025 al 18/08/2025CONFIRMADO 87% DE CONFIANZAhace 1,1 añosGTIG: «Desde al menos el 8 de agosto de 2025 y hasta como mínimo el 18 de agosto de 2025, el actor atacó instancias de clientes de Salesforce mediante tokens OAuth comprometidos asociados a la aplicación de terceros Salesloft^[2] Drift».
Con tokens OAuth robados del chatbot Drift de Salesloft, el grupo UNC6395 exportó datos de las instancias de Salesforce de cientos de empresas, buscando en los casos de soporte claves de AWS, contraseñas y tokens de Snowflake.
0.75
Ciberseguridad24/09/2026@CyberDesk
Google expone los ataques de vishing de UNC6040 contra clientes de Salesforce
SalesforceSalesforce Tower, 415, Mission Street, Rincon Hill, San Francisco, California, 94105, United States
Empieza el 04/06/2025CONFIRMADO 88% DE CONFIANZAhace 1,3 añosLa publicación de Google^[1] Cloud Threat Intelligence «The Cost of a Call: From Voice Phishing to Data Extortion» está fechada el «4 de junio de 2025».
Los investigadores de amenazas de Google afirmaron que un grupo que se hacía pasar por soporte informático por teléfono convencía a empleados para aprobar una falsa aplicación Data Loader y luego robaba en masa los datos de Salesforce de sus empresas para extorsionarlas.
0.74
Ciberseguridad24/09/2026@CyberDesk
Scattered Lapsus$ Hunters abre un sitio de filtraciones para extorsionar a Salesforce
Salesforce Tower, 415, Mission Street, Rincon Hill, San Francisco, California, 94105, United StatesSalesforce
Empieza el 03/10/2025CONFIRMADO 88% DE CONFIANZAhace 357 díasEl artículo de BleepingComputer^[1][2][3] fechado el «3 de octubre de 2025» dice «Hoy han lanzado un nuevo sitio de filtración de datos con 39 empresas» con un «plazo del 10 de octubre».
La banda publicó muestras de los datos de Salesforce robados a 39 empresas y exigió a Salesforce que pagara antes del 10 de octubre o se filtrarían unos mil millones de registros.
0.73
Ciberseguridad24/09/2026@CyberDesk
Salesforce desconecta las aplicaciones de Gainsight tras accesos sospechosos a datos de clientes
Gainsight350, Bay Street, Fisherman's Wharf, North Beach, San Francisco, California, 94133, United States
Empieza el 19/11/2025CONFIRMADO 88% DE CONFIANZAhace 310 díasCronología del incidente de Gainsight^[1][3][4] (PST): «19 de noviembre de 2025 - Por la tarde, Salesforce notifica a Gainsight actividad inusual relacionada con la aplicación conectada de Gainsight para Salesforce»; The Register^[5] indica que Salesforce anunció la revocación el miércoles 19 de noviembre.
Salesforce revocó todos los tokens de las aplicaciones publicadas por Gainsight y las retiró de AppExchange tras detectar llamadas a la API desde IP no reconocidas hacia los datos de Salesforce de sus clientes.
0.70
Ciberseguridad24/09/2026@CyberDesk
Cl0p empieza a enviar correos a directivos afirmando haber robado datos de Oracle E-Business Suite
2300, Oracle Way, Lakeshore, Austin, Travis County, Texas, 78741, United StatesOracle
Empieza el 29/09/2025CONFIRMADO 87% DE CONFIANZAhace 361 díasGoogle^[1] Threat Intelligence Group: «A partir del 29 de septiembre de 2025, Google Threat Intelligence Group (GTIG) y Mandiant empezaron a rastrear una nueva campaña de extorsión a gran escala de un actor de amenazas que afirma estar afiliado a la marca de extorsión CL0P».
Un grupo que usa la marca de extorsión Cl0p empezó a enviar correos masivos a directivos afirmando que había robado datos de los sistemas Oracle E-Business Suite de sus empresas y exigiendo un pago.
0.69
Ciberseguridad24/09/2026@CyberDesk
Los hackers publican datos de Qantas y Vietnam Airlines tras vencer el plazo de Salesforce
QantasQantas Group Headquarters, 10, Bourke Road, Mascot, Sydney, New South Wales, 2020, Australia
Empieza el 11/10/2025 3:30CONFIRMADO 87% DE CONFIANZAhace 349 díasInformation Age: «Los datos se filtraron primero en un foro de hacking de la web abierta hacia las 14:30 AEDT del sábado» (11 de octubre de 2025), cerca de una hora antes de publicarse gratis en la dark web.^[1]
Al vencer el plazo del rescate, Scattered Lapsus$ Hunters publicó datos de Salesforce robados a seis empresas, entre ellos 5 millones de registros de clientes de Qantas y 7,3 millones de direcciones de correo de Vietnam Airlines.
0.69
Derecho24/09/2026@LawDesk
Primera demanda colectiva contra Salesforce por los robos de datos de clientes de 2025
Phillip Burton Federal Building & United States Courthouse, 450, Golden Gate Avenue, Civic Center, San Francisco, California, 94102, United StatesSalesforce
Empieza el 27/08/2025CONFIRMADO 89% DE CONFIANZAhace 1,1 añosLa demanda en Scott v. Salesforce, Inc., n.º 3:25-cv-07232, lleva el sello «Filed 08/27/25» y el expediente de CourtListener^[1][2][3] la registra como entrada 1 el 27 de agosto de 2025.
Un cliente de Farmers Insurance demandó a Salesforce ante un tribunal federal de San Francisco, al que acusa de ser el «eje» de una brecha que expuso los datos de los clientes de sus clientes corporativos.
0.69
Ciberseguridad24/09/2026@CyberDesk
Un hacker afirma haber robado 6 millones de registros de inicio de sesión de Oracle Cloud
Oracle2300, Oracle Way, Lakeshore, Austin, Travis County, Texas, 78741, United States
Empieza el 20/03/2025CONFIRMADO 89% DE CONFIANZAhace 1,5 añosBleepingComputer^[1][2][3] (21 de marzo de 2025) dice que rose87168 «publicó ayer varios archivos de texto», y su artículo de seguimiento del 3 de abril indica que los 6 millones de registros salieron a la venta en BreachForums «el 20 de marzo».
Un hacker llamado rose87168 puso a la venta 6 millones de registros que, según dijo, procedían de los servidores de inicio de sesión único de Oracle Cloud; Oracle negó cualquier brecha en Oracle Cloud.
0.68
Derecho24/09/2026@LawDesk
Una jueza permite seguir adelante la demanda colectiva por la brecha de datos de clientes de Salesforce
Phillip Burton Federal Building & United States Courthouse, 450, Golden Gate Avenue, Civic Center, San Francisco, California, 94102, United StatesSalesforce
Empieza el 14/09/2026CONFIRMADO 85% DE CONFIANZAhace 11 díasLa orden en In re Salesforce Customers Security Incident Litigation está «Fechada el 14 de septiembre de 2026» y se registró en el expediente ese día como entrada 110.^[1]
La jueza Jacqueline Scott Corley se negó a desestimar la mayoría de las pretensiones según las cuales la laxa seguridad OAuth de Salesforce permitió a unos hackers robar datos de clientes de Allianz, Farmers y TransUnion.
0.68
Ciberseguridad24/09/2026@CyberDesk
Salesforce comunica a sus clientes que no pagará el rescate de Scattered Lapsus$ Hunters
SalesforceSalesforce Tower, 415, Mission Street, Rincon Hill, San Francisco, California, 94105, United States
Empieza el 07/10/2025CONFIRMADO 86% DE CONFIANZAhace 353 díasBleepingComputer^[1][4], 7 de octubre de 2025: «Salesforce envió el martes un correo a sus clientes para decirles que no pagaría ningún rescate»; ese martes fue el 7 de octubre.
A tres días del plazo de filtración fijado por la banda, Salesforce informó por correo a sus clientes de que no dialogaría, no negociaría ni pagaría ninguna exigencia de extorsión.
0.68
Ciberseguridad24/09/2026@CyberDesk
Una brecha en servidores heredados de Cerner de Oracle Health expone datos de pacientes
OracleCerner Corporation, North Kansas City, Clay County, Missouri, 64117, United States
Empieza el 28/03/2025CONFIRMADO 89% DE CONFIANZAhace 1,5 añosBleepingComputer^[1][3], 28 de marzo de 2025: «Una brecha en Oracle Health afecta a múltiples organizaciones sanitarias y hospitales de EE. UU.», información basada en el aviso de Oracle Health a sus clientes, mientras «Oracle Health aún no ha revelado públicamente el incidente».
Unos atacantes copiaron datos de pacientes de antiguos servidores de migración de datos de Cerner que Oracle Health aún no había trasladado a Oracle Cloud, y después se extorsionó a hospitales estadounidenses con ellos.
0.64

Más como este

Referencias 485% DE CONFIANZA

Sugerir una corrección

Comentarios

Hilo

Más como este