O notório grupo de cibercriminosos ShinyHunters alegou responsabilidade por três violações de dados separadas que visam a Cisco Systems, Inc., afirmando que mais de 3 milhões de registros do Salesforce contendo informações pessoais identificáveis (PII), repositórios do GitHub, buckets do AWS S3 e outros dados corporativos internos sensíveis foram comprometidos.
Reivindicações de violação alegadas
O pesquisador de segurança Dominic Alvieri detalhou que no site de vazamento de dados do ShinyHunters, que sinalizou a Cisco com um aviso de "FINAL WARNING", exigindo que a empresa entre em contato antes de 3 de abril de 2026, ou enfrentaria a exposição pública de dados. A listagem, atualizada em 31 de março de 2026, indica uma contagem de registros superior a 3 milhões e referencia três vetores distintos de violação: Salesforce CRM, Salesforce Aura (Experience Cloud) e ambientes de conta AWS.
De acordo com a inteligência de ameaças publicada pela Resecurity, os registros alegadamente roubados da Cisco originam-se claramente de seu ambiente Salesforce e contêm referências tanto a clientes quanto a funcionários da Cisco. Alarmantemente, o conjunto de dados supostamente inclui registros vinculados a pessoal do FBI, DHS, DISA, IRS e NASA, bem como ao Ministério da Defesa da Austrália e a múltiplas agências governamentais indianas — todos provavelmente vinculados à aquisição ou configuração de produtos Cisco.
Tais dados são altamente valiosos para adversários planejando phishing direcionado, engenharia social ou ataques à cadeia de suprimentos. A exposição de dados governamentais e de infraestrutura crítica aumenta o risco de ataques de estado-nação contra a cadeia de suprimentos de tecnologia.
Modus operandi e vetores de ataque
O grupo ShinyHunters é um hacker de chapéu preto prolífico e grupo de extorsão que se acredita ter se formado por volta de 2019 e desde então evoluiu para uma das operações de roubo de dados e extorsão mais ativas no ecossistema de cibercrime. O grupo opera sob múltiplos apelidos rastreados, incluindo UNC6040 e UNC6395, e foi vinculado a campanhas de vishing (phishing de voz) que enganam funcionários de empresas para conceder acesso a tokens OAuth a aplicativos Salesforce de terceiros maliciosos.
Em março de 2026, o ShinyHunters alegou ter violado entre 300 e 400 organizações explorando controles de acesso de usuário convidado mal configurados no Salesforce Experience Cloud (Aura), usando uma ferramenta de código aberto chamada AuraInspector para automatizar a varredura de vulnerabilidades em ambientes Salesforce. O cluster UNC6040 do ShinyHunters é conhecido por enganar funcionários de suporte ao cliente via vishing para autorizar aplicativos conectados ao Salesforce maliciosos usando tokens OAuth.
Uma vez que o acesso OAuth é concedido, ele efetivamente contorna o MFA, redefinições de senha e monitoramento de login, já que os tokens são emitidos nativamente pelo Salesforce. Em uma etapa subsequente atribuída ao UNC6395, tokens roubados são ainda mais armados para exfiltrar segredos, incluindo chaves AWS, senhas e tokens Snowflake — permitindo movimento lateral para ambientes em nuvem.
Histórico de violações anteriores da Cisco
Em outubro de 2024, o ator de ameaças IntelBroker alegou ter baixado 4,5 TB de dados do ambiente DevHub de frente pública da Cisco, que incluía código-fonte, credenciais embutidas, tokens de API e buckets privados do AWS. A Cisco confirmou que, embora seus sistemas principais não tenham sido violados, certos arquivos destinados a permanecer privados foram expostos inadvertidamente devido a um erro de configuração. Em agosto de 2025, a Cisco também divulgou uma violação de dados de CRM separada por meio de um ataque de vishing atribuído a atores vinculados ao ShinyHunters.
O grupo ShinyHunters mostrou um padrão consistente de escalar seus ataques com tema Salesforce, anteriormente reivindicando violações contra Snowflake, Okta, LastPass, Google, AMD, Sony e Crunchbase. A Cisco não emitiu ainda uma declaração pública oficial abordando especificamente a reivindicação de extorsão do ShinyHunters de março de 2026.
Medidas de mitigação recomendadas
Pesquisadores de segurança aconselham as organizações a auditarem imediatamente aplicativos conectados ao OAuth do Salesforce, impor o Controle de Acesso à API do Salesforce, revogar tokens não reconhecidos e monitorar atividades não autorizadas do Salesforce Data Loader como principais mitigações contra intrusões de estilo UNC6040.
Para executivos de segurança, a prioridade deve ser a revisão de todos os aplicativos de terceiros com permissão de acesso ao Salesforce. A implementação de políticas de menor privilégio para tokens OAuth e a habilitação de monitoramento de sessão em tempo real são essenciais. Além disso, a Cisco deve ser monitorada por comunicados oficiais, pois a confirmação de um vazamento de código-fonte pode impactar a confiança em produtos e serviços críticos.
Implicações para governança de risco
A exposição de dados de agências governamentais e de defesa em um vazamento de dados de um fornecedor de infraestrutura de rede como a Cisco levanta questões sérias sobre a segurança da cadeia de suprimentos. Organizações que dependem de produtos Cisco para proteger suas redes devem considerar a possibilidade de que credenciais ou dados de configuração possam ter sido comprometidos e, portanto, devem revisar seus controles de acesso e monitorar tráfego de rede para atividades anômalas.
A conformidade com regulamentações como a LGPD e o GDPR pode ser afetada se dados pessoais de clientes ou funcionários forem expostos. A notificação de violação pode ser necessária dependendo da jurisdição e da natureza dos dados vazados. A transparência e a resposta rápida são cruciais para manter a confiança do mercado e dos clientes.
O que os CISOs devem fazer imediatamente
1. Revisar e auditar todos os aplicativos OAuth conectados ao Salesforce em sua organização.
2. Revogar tokens de acesso não reconhecidos ou antigos imediatamente.
3. Implementar monitoramento de atividades de API do Salesforce para detectar exfiltração de dados.
4. Revisar políticas de acesso de terceiros e aplicar o princípio do menor privilégio.
5. Monitorar dark web e sites de vazamento de dados para menções de credenciais da organização.