HR-reus Workday is tevens getroffen door de golf aan Salesforce-aanvallen. Althans, zo lijkt het. Op vrijdag bevestigde het bedrijf dat een “externe CRM-omgeving” via social engineering was geïnfiltreerd. Hoewel geen klantsystemen zijn geraakt, bevat gestolen informatie bedrijfscontactgegevens die mogelijk voor nieuwe aanvallen gebruikt worden.
Workday waarschuwt dat aanvallers contact opnemen met werknemers via telefoon of sms, waarbij ze zich voordoen als HR- of IT-medewerkers. Het doel is het verkrijgen van inloggegevens of persoonlijke informatie.
De timing van deze nieuwe incident onderstreept de voortdurende dreiging van social engineering-aanvallen. Waar technische beveiliging steeds sterker wordt, weten criminelen via menselijke zwakheden alsnog binnen te dringen in bedrijfssystemen.
ShinyHunters achter Salesforce-golf
Alhoewel Workday dit niet expliciet bevestigt, past het incident precies in een grootschalige campagne van de hackersgroep ShinyHunters. Deze groep voert sinds begin dit jaar gerichte aanvallen uit op Salesforce CRM-omgevingen van internationale bedrijven.
Recente slachtoffers van deze campagne zijn onder meer Google, Chanel, Adidas, Qantas, Allianz Life, Louis Vuitton, Dior en Tiffany & Co. De aanvalsmethode blijft consistent: door middel van voice phishing weten criminelen werknemers te misleiden om een kwaadaardige OAuth-app te koppelen aan hun bedrijfs-Salesforce.
Grootschalige campagne treft tech-gigant
Workday ontdekte op 6 augustus dat aanvallers toegang hadden verkregen tot informatie in hun externe CRM-platform. Het bedrijf bedient ruim 11.000 organisaties, waaronder meer dan 60 procent van de Fortune 500-bedrijven.
Volgens Workday bevatten de gestolen gegevens voornamelijk “algemeen beschikbare zakelijke contactinformatie, zoals namen, e-mailadressen en telefoonnummers”. Deze informatie kan door criminelen worden gebruikt voor vervolgaanvallen via social engineering.
Voor getroffen organisaties betekent dit verhoogde waakzaamheid voor phishing-pogingen waarin de gestolen contactgegevens worden gebruikt om vertrouwen te wekken bij potentiële slachtoffers.