近日，网络安全领域再起波澜，全球知名软件服务提供商Salesforce卷入一场大规模数据盗窃与勒索风波。据多方消息证实，Salesforce已明确表态，不会与实施攻击的网络威胁组织进行任何形式的谈判，也绝不会支付赎金。
此次事件源于一个名为“Scattered Lapsus$ Hunters”的黑客组织，该组织近期建立了一个数据泄露 ，并试图对39家数据遭窃的公司进行勒索。该 托管在域名breachforums[.]hn下，此域名与臭名昭著的黑客论坛BreachForums有关联，后者以买卖和泄露被盗数据而闻名。
被列在该数据泄露 上的企业阵容强大，包括联邦快递、迪士尼/Hulu、家得宝、万豪国际、谷歌、思科、丰田、盖璞、开云集团、麦当劳、沃尔格林、Instacart、卡地亚、阿迪达斯、萨克斯第五大道、法航-荷航集团、环联、HBO MAX、联合包裹、香奈儿以及宜家等众多知名品牌和机构。黑客组织声称，若这些企业未单独支付赎金，或Salesforce未统一支付覆盖所有受影响客户的赎金，他们将逐步公开窃取的近10亿条数据记录。
Salesforce在向客户发送的电子邮件中明确表示，不会支付赎金，并警告称，根据“可信的威胁情报”，攻击者正计划公开泄露所窃取的数据。Salesforce还向BleepingComputer证实，不会与任何勒索方接触、谈判或满足其勒索要求。
这场数据盗窃事件可追溯至2025年发生的两起独立攻击行动。第一波攻击始于2024年底，攻击者通过社会工程手段，冒充IT技术支持人员，诱骗企业员工将恶意OAuth应用连接至公司的Salesforce系统。一旦获得授权，攻击者便利用该访问权限下载并窃取数据库，随后通过电子邮件对企业实施勒索。此次攻击影响的企业包括谷歌、思科、澳洲航空、阿迪达斯、安联人寿、农夫保险、Workday、开云集团，以及LVMH集团旗下子公司如迪奥、路易威登和蒂芙尼等。
第二波攻击始于2025年8月初，攻击者利用从SalesLoft Drift平台窃取的OAuth令牌，横向渗透至其客户的CRM环境并实施数据外泄。此次攻击主要聚焦于窃取客户支持工单数据，从中扫描提取登录凭证、API密钥、身份验证令牌及其他敏感信息，以便进一步入侵企业的内部基础设施和云服务系统。其中一名参与攻击的黑客组织成员——“ShinyHunters”向BleepingComputer透露，在此次攻击活动中，他们共窃取了超过760家企业的约15亿条数据记录。
截至目前，已有包括谷歌、Cloudflare、Zscaler、Tenable、CyberArk、Elastic、BeyondTrust、Proofpoint、JFrog、Nutanix、Qualys、Rubrik、Cato Networks、Palo Alto Networks在内的多家企业确认受到了SalesLoft供应链攻击的影响。
近期上线的数据泄露 最初主要用于勒索第一波社会工程攻击中的受害者。攻击者曾宣称，将于10月10日之后开始公开勒索受SalesLoft攻击影响的企业。然而，目前该数据泄露 已被关闭。其域名当前使用的DNS服务器为surina.ns.cloudflare.com和hans.ns.cloudflare.com，这两个IP地址此前曾被美国联邦调查局（FBI）用于查封非法域名时使用。
BleepingComputer已就此联系FBI，询问是否由其执行了此次域名查封，但截至发稿时尚未收到回应。
