和易會計師事務所

• 113年10月起國外發生多起大型企業客戶資料外洩的資安事件，都跟Salesforce平台的使用有關，駭客組織發動兩次大規模的攻擊行動，主要受害企業分別在114年8月及114年6月間曝光，FBI因此於114年9月發布了一份通告，通告原文對駭客手法講得還挺清楚的，值得花點時間閱讀。

• 先講114年8月曝光的這起資安事件。許多國際大型企業有使用Salesforce的雲端CRM平台管理其客戶資料，這些企業有些同時使用一個叫Drift的聊天機器人產品，他們把Drift嵌入企業的網站或APP，用它來跟客戶對話互動，而這些在Drift的對話記錄，就透過Salesforce OAuth憑證，串接到Salesforce的CRM平台進行記錄，讓企業的銷售部門和客服部門可藉此追蹤潛在客戶。然而，在114年8月間駭客入侵了Drift的雲端環境，竊走了大量企業的OAuth憑證，並利用這些OAuth憑證竊取這些企業客戶在Salesforce CRM平台的資料，受害企業大概有700多家，裡面有好幾家資安業者，包括Cloudflare、Palo Alto Networks，都有證實他們的客戶資料有外洩，只是被竊取的資料範圍究竟有多大，是只有與潛在客戶的行銷對話紀錄，還是有其他正式客戶資料，新聞並沒有明說。

•  嚴格來說，這個資安事件並不是Salesforce本身核心平台漏洞所造成，而是企業與第三方應用整合的OAuth憑證被濫用。Drift不是核心資通系統、第一類電腦系統，也不太算是存取機敏資料的廠商，這些企業在遴選聊天機器人的時候，可能覺得只是用在行銷對話不重要的小工具，沒想到竟然會成為攻擊者竊取企業核心CRM的後門。

• 所以「金融機構資通系統與服務供應鏈風險管理規範」第4條要求資通系統與服務委外前應「分析委外項目之資訊安全風險(如：可能受影響之資訊資產、流程及作業環境)與委外可行性，並依據分析結果擬訂資訊安全要求 」是有它的道理的，查核時可以確認一下受查單位對資通系統服務委外前分析評估作業的落實情形。

•  Salesforce有個機制，允許企業客戶整合第三方的connected app，以OAuth Token方式存取企業在Salesforce的instance，這就是為什麼Drift可以存取這些企業在Salesforce的CRM instance的原因。當然，第三方的connected app要拿到OAuth Token，必須經過企業的授權，但駭客卻用社交攻擊手段，突破了這層控管。

• 在114年6月曝光的另一起攻擊行動，駭客利用語音釣魚的社交攻擊手段，冒充受害企業的IT支援人員，誘騙企業Call Center人員說要關掉一個自動產生的Ticket，需要Call Center人員授權一支connected app程式，存取他們企業的Salesforce instance，當然，這支connected app是駭客控制，而且還是用Salesforce的試用版帳號註冊的，以致無法追蹤撰寫者的身分。駭客藉由這支connected app查詢匯出受害企業在Salesforce環境的敏感資料。有好幾家大型企業的客戶資料都因此外洩，像Google、Cisco、安聯人壽、愛迪達、迪奧、LV都陸續發布資料外洩訊息。

• 所以，如果您的機構有跟第三方合作，允許第三方以API方式存取內部資料，查核時可能要進一步確認，對需求方的驗證，如果只有API Key或Access Token，是否足夠？有沒有對需求方的IP進行限制，還要監控資料存取情形，如果有持續大量資料存取，就應該要告警。

日期：114-12-19