Piratage de Salesforce : ShinyHunters revendique le vol de 1,5 milliard de données

Cette compromission massive a touché des dizaines d'organisations, dont Google, Cloudflare et plusieurs sociétés de cybersécurité majeures.

Un porte-parole du groupe cybercriminel ShinyHunters a détaillé à Bleeping Computer, le 17 septembre 2025, le piratage massif de Salesforce, un logiciel de gestion de la relation client (CRM). Amorcée début 2025, la cyberattaque a exploité la compromission de jetons OAuth utilisés par Salesloft Drift, un chatbot utilisant l’IA, intégré au CRM.

Ce point d’accès a permis aux attaquants de dérober, entre le 8 et le 18 août 2025, d’importantes quantités de données à des entreprises clientes de Salesforce. Parmi les victimes figurent Google, Cloudflare et les sociétés de cybersécurité CyberArk, Proofpoint et Palo Alto Networks, ainsi que Zscaler, Tenable, Elastic, JFrog, Nutanix, Qualys, Rubrik ou Cato Networks.

Le consortium cybercriminel Scattered Lapsus$ Hunters, qui réunit les groupes anglophones ShinyHunters, Scattered Spider et Lapsus$, a revendiqué le piratage. Selon le porte-parole de ShinyHunters, cette opération aurait permis le vol de 1,5 milliard de données Salesforce.

Google Threat Intelligence (GTI) a attribué l’attaque à deux groupes qu’il a baptisés UNC6040 et UNC6395. Le FBI a émis une alerte à leur sujet début septembre 2025.

Le 18 septembre 2025, quatorze groupes cybercriminels, dont Scattered Spider et Lapsus$, ont annoncé qu’ils suspendaient leurs communications sur Telegram, en suggérant une pause dans leurs activités. Ce même jour, la police britannique a révélé l’arrestation de deux adolescents, suspectés d’être des membres de Scattered Spider.