网络安全巨头CrowdStrike解雇与黑客合作的内部人员

据报道，总部位于德克萨斯州的美国网络安全公司CrowdStrike解雇了一名员工，该员工被指控向一个近期声称对涉及Salesforce连接系统的企业入侵事件负责的黑客犯罪集体泄露内部信息。 

该安全公司在发现该“内部人员”与被称为Scattered Lapsus$ Hunters的团体合作后将其解雇，该团体于周四晚和周五上午在其Telegram频道上开始发布所谓的内部截图。

Scattered Lapsus$发布了多张显示与公司资源相关的仪表板的图像，包括员工用于访问内部应用程序的Okta面板。黑客声称这些截图来自被入侵的员工，并证明他们在本周早些时候入侵Gainsight后成功渗透了CrowdStrike。

CrowdStrike和Gainsight仍在调查被盗信息

根据CrowdStrike的说法，黑客集团的断言和Telegram上的图像仅属于一名员工，该员工曾未经授权将屏幕照片分享给外部人员，CrowdStrike坚持认为其系统没有发生入侵。 

“我们的系统从未受到侵害，客户在整个过程中都受到保护，”发言人Kevin Benacci 表示 向新闻出版物TechCrunch表示。他补充说，公司在终止该内部人员的访问权限后，“已将案件移交给相关执法机构”。

CrowdStrike声称，一旦确认该员工“将电脑屏幕图片分享给外部人员”，他们就立即打包了他的办公桌，并且黑客频道中流传的说法是“虚假的”。

Salesforce确认客户数据遭入侵

周五早上，Salesforce更新了其事件页面，称一起入侵事件正在影响部分客户，导致“连接失败”。未经授权的行为者访问了“某些客户的Salesforce数据”，尽管它没有指出哪些组织受到影响。 

Salesforce表示，入侵是通过客户支持和分析服务提供商Gainsight开发的应用程序发生的。

当天晚些时候，Google威胁情报集团（Google的网络安全部门）的首席威胁分析师Austin Larsen表示，该公司“知道有超过200个可能受影响的Salesforce实例”。 

Scattered Lapsus$ Hunters公开声称对通过Gainsight集成访问数据负责，并利用被盗信息针对其他企业客户。

该集体中一个名为ShinyHunters的团体的发言人吹嘘称，“Gainsight是Salesloft Drift的客户，他们受到了影响，因此完全被我们攻破。” 

自攻击公开以来，Gainsight一直在其事件页面上发布更新。周五，该公司表示已聘请Google的事件响应部门Mandiant协助调查此次入侵。 

据该公司公开更新称，Salesforce还暂时撤销了与Gainsight连接的应用程序的活跃访问令牌作为预防措施，并通知了数据被盗的客户。 

“使用Hubspot的客户可能会发现，Gainsight应用已作为预防措施暂时从Hubspot Marketplace下架。在审查期间，这也可能影响客户连接的OAuth访问。我们将在彻底审查后与Hubspot合作重新上架，”周四发布的一份进展报告指出。

Scattered Lapsus$家族负责多起高调入侵事件

Scattered Lapsus$ Hunters是由几个讲英语的黑客犯罪团体组成的协作组织，包括ShinyHunters、Scattered Spider和Lapsus$。该集体因使用社会工程技术欺骗员工泄露登录详细信息、授予远程访问权限或批准身份验证提示而广受欢迎。 

在其“征服”名单中，该组织此前曾针对美高梅酒店集团（MGM Resorts）、Coinbase、DoorDash、Workday等公司， 安联保险以及其他大型企业。早在10月，Scattered Lapsus$ Hunters声称从使用Salesforce管理客户信息的企业中窃取了超过10亿条记录。 

他们发布了一份泄露的目录列表数据，涉及保险公司Allianz Life、航空公司Qantas、汽车制造商Stellantis、TransUnion、员工管理平台Workday等。

在过去的一年半里，Scattered Lapsus$家族还声称对Atlassian、DocuSign、F5、GitLab、LinkedIn、Malwarebytes、SonicWall、Thomson Reuters和Verizon的事件负责。 

黑客在其Telegram频道上表示，他们计划下周为最新行动中受影响的公司在新的勒索网站上发布数据。 

“下一个数据泄露网站将包含Salesloft和GainSight活动的数据，”黑客向DataBreaches.net分享了他们的计划。