Microsoft ha pubblicato il 13 luglio 2026 un report tecnico che documenta campagne di threat actor con tradecraft associato a ShinyHunters, attive tra il metà 2025 e il metà 2026, mirate a ecosistemi SaaS attraverso l'abuso di relazioni OAuth trusted. L'analisi rivela un pattern inquietante: gli attaccanti non sfruttano vulnerabilità software, ma operano attraverso flussi di consenso legittimi e compromissioni di vendor terzi, rendendo l'attività "indistinguibile da comportamenti di integrazione legittimi", secondo la terminazione stessa del report.
- Microsoft ha identificato due vettori primari: vishing per consenso OAuth a app camuffate da Salesforce Data Loader, e supply chain compromise di integrazioni trusted di vendor terzi.
- I vendor Salesloft, Gainsight e Klue sono stati compromessi in sequenza tra agosto 2025 e giugno 2026, con accesso a OAuth tokens in multipli tenant Salesforce.
- Le attività sono state osservate in tenant multipli appartenenti a settori retail, education e manufacturing.
- Microsoft ha rilasciato nuove posture capabilities in Defender for Cloud Apps, inclusa visibilità sugli OAuth scopes e risk scoring 0-100 per le connected applications.
Il meccanismo invisibile: quando il consenso legittimo diventa un'arma
La campagna vishing ha preso avvio nel metà 2025. Gli attori della minaccia impersonavano il supporto IT per indurre i dipendenti a autorizzare app malevole camuffate da legittimi strumenti Salesforce Data Loader. Una volta ottenuto il consenso OAuth, gli attaccanti disponevano di accesso programmatico che non generava anomalie di autenticazione tradizionali.
Il secondo vettore si è materializzato attraverso la compromissione di vendor terzi le cui integrazioni erano già trusted. Ad agosto 2025, credenziali compromesse di Salesloft Drift hanno permesso agli attaccanti di ottenere connection secrets e utilizzare OAuth tokens in multipli customer Salesforce instances. A novembre 2025, la campagna ha targetizzato applicazioni Gainsight integrate con Salesforce per mantenere accesso API persistente. A giugno 2026, l'incidente Klue ha visto il threat actor Storm-3138 ottenere accesso a credenziali utilizzate per Salesforce customer instances.
L'ecosistema di conferme: vendor e investigazioni indipendenti
La ricostruzione di Microsoft trova corrispondenze in dichiarazioni autonome dei vendor coinvolti. Salesloft, con supporto Mandiant, conferma l'intrusione Drift tra marzo e settembre 2025, l'esfiltrazione di secrets e la rotazione di OAuth tokens. Gainsight conferma la disabilitazione temporanea dell'integrazione Salesforce, un'indagine condotta con Mandiant e CrowdStrike, e riferisce che una "handful of customers" ha subito impatto sui dati. Klue conferma l'incidente di giugno 2026, la compromissione di una legacy credential e l'uso di OAuth tokens per accedere a Salesforce, con investigazione affidata a CrowdStrike.
È rilevante notare che Klue non nomina Storm-3138 nel testo estratto della propria comunicazione: l'attribuzione a questo threat actor proviene esclusivamente dal report Microsoft. Analogamente, la connessione a ShinyHunters è presentata da Microsoft come "overlapping tradecraft commonly associated with", non come attribuzione definitiva.
Il paradosso della telemetria: vedere l'invisibile richiede co-progettazione
"This activity was not the result of a vulnerability inherent to Salesforce. Rather, the threat actors abused trusted OAuth relationships for unauthorized access, data exfiltration, and persistence." — Microsoft Security Blog
La sfida tecnica centrale emerge dalla seconda citazione del report: "These activities often appeared indistinguishable from legitimate integration behavior". Per affrontarla, Microsoft ha collaborato con Salesforce per migliorare la telemetria RTEM (Real-Time Event Monitoring) all'interno di Defender for Cloud Apps. La co-progettazione è stata necessaria perché i flussi OAuth sanctioned non generano segnali di compromissione convenzionali: l'autenticazione è valida, il consenso è stato fornito, le API sono quelle ufficiali.
Il risultato è un set di posture capabilities che ampliano la superficie di visibilità: visibilità sugli OAuth scopes concessi, insight sulle highly privileged apps, identificazione di unused apps con soglia di inactivity di 90 giorni, e un risk scoring model 0-100 per le connected applications. Questi strumenti non eliminano il vettore, ma riducono l'asimmetria informativa tra attaccanti e difensori.
Cosa fare adesso
- Rivedere gli OAuth scopes concessi a connected applications in Salesforce e ambienti SaaS correlati, con attenzione prioritaria alle app con privilegi elevati su dati sensibili.
- Attivare le nuove posture capabilities in Defender for Cloud Apps, in particolare il risk scoring 0-100 e l'identificazione di unused apps, per ridurre la superficie di attacco.
- Valutare la telemetria RTEM integrata con Salesforce come layer di rilevamento per attività che appaiono legittime ma presentano pattern anomali di accesso ai dati.
- Verificare la catena di trust delle integrazioni SaaS terze parti, richiedendo trasparenza su come vendor come Salesloft, Gainsight e Klue gestiscono secrets e OAuth tokens.
Un modello replicabile: la supply chain SaaS come nuova frontiera
Il pattern documentato da Microsoft non è circoscritto a un singolo ecosistema. La logica è trasferibile: ogni piattaforma SaaS con ecosistema di integrazioni trusted è potenzialmente esposta a compromissioni che ereditano privilegi attraverso vendor terzi. La novità non sta nella tecnica OAuth, che è ben nota, ma nella sistematicità con cui è stata operativizzata e nella difficoltà di rilevamento intrinseca.
Il report Microsoft del 13 luglio 2026 non conclude l'indagine. Non emerge che l'attività sia cessata, né che tutti i tenant potenzialmente coinvolti siano stati identificati. Il numero esatto di organizzazioni compromesse e il volume di dati esfiltrati non sono quantificati. Resta inoltre aperto il quesito sul terzo vettore "misconfigured guest access" riportato esclusivamente da Arrowwood Services, non presente nel post Microsoft primario: il dossier non permette di stabilire se si tratti di una campagna separata o di un'estrapolazione editoriale.
Fonti
- https://www.microsoft.com/en-us/security/blog/2026/07/13/defending-saas-based-applications-against-shinyhunters-oauth-abuse/
- https://www.arrowwoodservices.com/defending-saas-based-applications-against-shinyhunters-oauth-abuse/
- https://trust.salesloft.com/a/659c728a-e351-4d28-a690-7395f99cdc80?lng=en
- https://www.gainsight.com/blog/supporting-our-customers-and-community-an-update-on-the-recent-security-advisory-related-to-gainsight/
- https://klue.com/blog/an-update-on-recent-klue-security-incident
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.