Microsoft analysiert einjährige "ShinyHunters"-Kampagne: OAuth-Tokens als unsichtbares Einfallstor in Salesforce-Umgebungen

Die Angriffe auf Salesforce-Umgebungen zeigen, wie gefährlich unsichtbare Vertrauensbeziehungen in SaaS-Ökosystemen werden können.

Zwischen Mitte 2025 und Mitte 2026 infiltrierten Cyberkriminelle systematisch und ohne den Einsatz klassischer Software-Exploits hunderte Unternehmensnetzwerke. Im Zentrum der weitreichenden Angriffe, die häufig unter dem Banner des Daten-Erpressungsnetzwerks "ShinyHunters" firmierten, stehen kompromittierte OAuth-Verbindungen sowie unzureichend gesicherte Drittanbieter-Integrationen in Salesforce-Umgebungen. Die Vorfälle markieren einen Paradigmenwechsel in der Bedrohungslandschaft von SaaS-Ökosystemen.

Der blinde Fleck der Cloud-Sicherheit

Ein am 13. Juli 2026 veröffentlichter Bericht der Microsoft Security-Forschungsabteilung gewährt detaillierte Einblicke in eine großangelegte und monatelang andauernde Angriffsserie. Analysiert wurden Vektoren, über die Angreifer Zugriff auf Salesforce-Instanzen von Unternehmen diverser Sektoren (unter anderem Einzelhandel, Bildung und Fertigung) erlangten.

Das zentrale Charakteristikum dieser Kampagnen: Die Kriminellen nutzten keine Zero-Day- noch überhaupt eine Schwachstelle im Code der CRM-Plattform aus. Stattdessen konzentrierten sie sich darauf, legitime Vertrauensstellungen – explizit OAuth-Tokens und Service-Integrationen – zu missbrauchen.

Die Herausforderung für betroffene Organisationen lag in der fehlenden Sichtbarkeit. Da die Zugriffe über verifizierte, oft hochprivilegierte Applikationsidentitäten erfolgten, werteten klassische Sicherheitssysteme und Authentifizierungsprotokolle (wie MFA oder Conditional Access) den Datenabfluss als regulären API-Traffic.

Drei primäre Angriffsvektoren Microsoft gliedert das Vorgehen der Angreifer, das auch vom FBI in offiziellen Warnungen zu den Gruppierungen UNC6040 und UNC6395 behandelt wurde, in drei deutlich unterscheidbare Intrusionspfade:

1. Vishing und manipulierte OAuth-Zustimmungen Die erste Welle (von Google Mandiant als UNC6040 klassifiziert) stützte sich ab Mitte 2025 auf klassisches Social Engineering in Form von Voice-Phishing (Vishing). Die Angreifer gaben sich am Telefon als IT-Support aus und instruierten Mitarbeiter von Zielunternehmen, im Salesforce-Zustimmungsfenster eine verbundene App zu autorisieren. Diese war trügerisch als legitimes "Salesforce Data Loader"-Tool getarnt. Nach dem Klick des Mitarbeiters konnte die böswillige App im Hintergrund über API-Calls CRM-Datensätze abgreifen und nach Zugangsdaten für weitere SaaS-Plattformen suchen. Zu den Zielen dieser Welle gehörten namhafte Akteure wie Google, Adidas, Chanel, Qantas sowie diverse Marken des LVMH-Konzerns.
2. Supply-Chain-Kompromittierungen über Drittanbieter Der zweite, weitaus skalierbarere Pfad umging den Endnutzer vollständig. Die Täter infiltrierten Drittanbieter, die bereits tief in die Salesforce-Umgebungen ihrer Kunden integriert waren. Anstatt einzelne Firmen anzugreifen, stahlen sie OAuth- und Refresh-Tokens direkt von den Dienstleistern. Ein prominenter Fall war im August 2025 der KI-Chatbot Drift des Anbieters Salesloft. Angreifer (getrackt als UNC6395 oder GRUB1) erlangten über GitHub Zugriff auf die AWS-Umgebung von Drift, extrahierten Tokens und wandten diese gegen rund 700 Organisationen an – darunter Cloudflare, Zscaler und Palo Alto Networks. Das Ziel war unter anderem das Abgreifen von AWS-Schlüsseln und Snowflake-Tokens über automatisierte Suchabfragen (SOQL). Im November 2025 folgte ein vergleichbarer Vorfall beim Anbieter Gainsight, der über 200 Instanzen betraf. Der jüngste Vorfall aus dem Juni 2026 betraf die Plattform Klue. Hierbei nutzten die Täter ein längst inaktives Service-Konto eines nicht realisierten Prototyps. Das von Microsoft als "Storm-3138" und von anderen Analysten als "Icarus" bezeichnete Kollektiv griff tiefgreifende Salesforce- und Gong-Daten von Kunden wie Huntress und Recorded Future ab.
3. Fehlkonfigurierte Gastzugriffe (Aura-Framework) Der dritte Pfad erforderte keinerlei gestohlene Identitäten. Die Angreifer richteten sich gegen Salesforce Aura-Endpunkte, das Framework hinter den sogenannten Experience Cloud-Webseiten. Bei Unternehmen, die Gastbenutzerberechtigungen zu großzügig konfiguriert hatten, konnten die Täter unauthentifiziert auf Funktionen zugreifen. Über den GraphQL-Aura-Controller und Cursor-basierte Paginierung (Cursor-based Pagination) war es möglich, das reguläre Abfragelimit von 2.000 Datensätzen zu umgehen und massive Datenmengen zu exfiltrieren.

Detektion und Gegenmaßnahmen

Die Herausforderung für Security Operation Center (SOC) lag bei diesen Vorfällen nicht in der fehlenden Verschlüsselung, sondern in der legitimen Maskierung der Angreifer. Als Reaktion darauf haben Microsoft und Salesforce neue Tools in Defender for Cloud Apps implementiert. Für Kunden, die das Salesforce Shield Event Monitoring nutzen, lassen sich Authentifizierungs- und API-Logs nun in Echtzeit korrelieren.

Die neuen Governance-Dashboards zielen darauf ab, exzessive Berechtigungen sichtbar zu machen. Administratoren können z. B. Anwendungen identifizieren, die längere Zeit inaktiv waren, aber weiterhin umfassende Zugriffsrechte (OAuth-Scopes) besitzen, und Risikobewertungen pro Applikation in automatisierte Sicherheitsrichtlinien integrieren.

Einordnung

Die Erkenntnisse aus der Kampagne verdeutlichen die Schwächen einer rein auf menschliche Zugänge zentrierten Sicherheitsarchitektur. API-Verbindungen und Machine-to-Machine-Kommunikation in SaaS-Landschaften fungieren als massive und oft unzureichend überwachte Angriffsflächen.

Die Zuschreibung zu "ShinyHunters" darf dabei nicht über die Heterogenität der Akteure hinwegtäuschen: Oft agieren spezialisierte Intrusionsgruppen (wie Icarus oder UNC6395), während der Name "ShinyHunters" als reine Marke im Moment der Daten-Erpressung fungiert.

Für Organisationen kristallisiert sich ein klarer Handlungsauftrag heraus: Das Third-Party-Risk-Management muss über die reine Lieferantenprüfung hinausgehen. Ohne ein striktes Inventar aller verbundenen Applikationen, die konsequente Durchsetzung des Least-Privilege-Prinzips für API-Schnittstellen und eine rigorose Deaktivierung ungenutzter Tokens bleiben Cloud-Ökosysteme dauerhaft verwundbar.