Het Franse modehuis Chanel is getroffen door een datalek als gevolg van een aanhoudende serie aanvallen gericht op gebruikers van Salesforce.
Op 25 juli werd het datalek ontdekt. Dit gebeurde nadat onbevoegde derden toegang kregen tot een Chanel-database die werd beheerd door een externe dienstverlener. Alleen klanten in de Verenigde Staten zijn getroffen.
Het gaat bij de blootgestelde gegevens om namen, e-mailadressen, postadressen en telefoonnummers van mensen die contact opnamen met de afdeling klantcontact van Chanel in de VS. Volgens het bedrijf waren er geen andere gegevens aanwezig in de getroffen database. Het bedrijf informeerde de betrokken klanten inmiddels.
Hoewel Chanel zelf geen verdere toelichting gaf en de naam van de externe dienstverlener niet werd genoemd, meldt BleepingComputer dat de informatie afkomstig was uit de Salesforce-omgeving van het modehuis. De aanval zou het werk zijn van de afpersingsgroep ShinyHunters, die verantwoordelijk wordt gehouden voor een reeks soortgelijke aanvallen op Salesforce-klanten.
Deze groep maakt gebruik van vishing-technieken om inloggegevens te verkrijgen of medewerkers te overtuigen om een kwaadaardige OAuth-app toegang te geven tot de Salesforce-omgeving van hun organisatie. Eenmaal binnen exfiltreren zij data en gebruiken die als drukmiddel bij afpersingspogingen.
Salesforce ontkent kwetsbaarheden
Salesforce verklaarde zelf op vragen van BleepingComputer dat het platform niet is gecompromitteerd. Volgens het bedrijf zijn de incidenten het resultaat van social engineering en niet van kwetsbaarheden in hun technologie. Klanten spelen volgens Salesforce een cruciale rol in het beveiligen van hun gegevens, vooral gezien de toename van geavanceerde phishing- en social engineering-aanvallen.
Het bedrijf blijft klanten aansporen om best practices te volgen, zoals het gebruik van multi-factor authenticatie, het beperken van toegangsrechten en het zorgvuldig beheren van gekoppelde applicaties.
Tot nu toe is er geen bewijs dat gestolen gegevens openbaar zijn gemaakt. Wel worden getroffen bedrijven via e-mail afgeperst. Naast Chanel zijn ook andere grote merken slachtoffer geworden van soortgelijke aanvallen, waaronder Adidas, Qantas, Allianz Life en diverse LVMH-merken zoals Louis Vuitton, Dior en Tiffany & Co.
BleepingComputer is op de hoogte van meer mogelijk getroffen bedrijven, maar kan deze informatie nog niet onafhankelijk bevestigen.