Pourquoi forcer une serrure quand on peut emprunter le couloir ? C’est en substance la stratégie que Microsoft décrit dans une campagne d’environ un an attribuée à des activités liées à ShinyHunters. Le but : siphonner des données dans des environnements Salesforce, sans jamais exploiter une faille logicielle de la plateforme.
Le groupe ne s’attaque pas à une vulnérabilité unique. Il exploite la confiance accordée aux intégrations SaaS, aux relations fournisseur et aux droits d’accès exposés dans des interfaces publiques. Résultat : les vérifications classiques de connexion restent muettes, puisque les requêtes empruntent des canaux déjà jugés légitimes. Microsoft relie ces opérations à une série d’attaques observées entre mi-2025 et mi-2026.
Points clés
- Microsoft attribue à ShinyHunters une campagne d’environ un an d’abus OAuth visant Salesforce, sans exploiter de faille logicielle.
- Trois chemins d’intrusion : vishing pour autoriser une app OAuth, compromission d’outils tiers connectés, et accès invité trop permissifs dans Experience Cloud.
- Les requêtes passant par des canaux déjà approuvés, la détection classique des connexions anormales reste aveugle.
- Microsoft recommande d’auditer les apps OAuth connectées, les intégrations tierces et les permissions des comptes invités.
Trois couloirs pour un même butin
Microsoft distingue trois chemins d’intrusion. Le premier passe par le vishing (hameçonnage vocal) pour pousser une victime à autoriser une application OAuth malveillante. Le deuxième repose sur la compromission d’outils tiers déjà connectés à Salesforce, avec des jetons et secrets récupérés chez des éditeurs ou intégrateurs. Le troisième exploite des accès invité trop permissifs dans Salesforce Experience Cloud, notamment sur les points de terminaison Aura.
Une fois entrés, les attaquants héritent des privilèges de l’utilisateur ou de l’application approuvée. Ils peuvent alors interroger et extraire des données CRM sans déclencher les alarmes habituelles liées aux identifiants compromis ou aux connexions anormales.
Les acteurs ont « abusé de relations OAuth de confiance pour un accès non autorisé, l’exfiltration de données et la persistance », indique Microsoft dans son analyse.
Un scénario déjà rodé
Le billet s’inscrit dans une série d’incidents associés à ShinyHunters et à des campagnes voisines visant Salesforce et d’autres applications SaaS. En juin 2026, plusieurs analyses de sécurité ont décrit des vols de jetons OAuth liés à des intégrations tierces, ainsi que des abus de l’interface Experience Cloud. Ces épisodes ont touché des environnements clients via des intégrations de confiance, jamais par une faille logicielle dans Salesforce lui-même.
Le point aveugle est là : une surveillance centrée sur les seules connexions interactives ne voit rien passer. Les requêtes transitent par des applications autorisées, des partenaires techniques ou des comptes invités déjà présents. La détection doit donc porter sur les applications OAuth connectées, les configurations d’accès invité et les intégrations tierces qui disposent de droits sur le CRM.
Ce que Microsoft conseille aux équipes sécurité
L’éditeur appelle les organisations à surveiller les applications SaaS connectées, à vérifier les intégrations tierces et à activer le suivi des événements Salesforce. Il recommande aussi de revoir les permissions des utilisateurs invités dans Experience Cloud et de couper les relations de confiance avec les applications OAuth orphelines, celles qui n’ont plus de propriétaire clairement identifié.
La logique tient en une phrase : si une application, un fournisseur ou un portail invité a déjà l’autorisation de parler à Salesforce, l’attaquant n’a pas besoin d’enfoncer la porte. Il lui suffit de flasher son badge.
