Stellantis поінформувала про несанкціонований доступ до платформи стороннього постачальника, що підтримує клієнтські операції в Північній Америці. За попередніми даними, зловмисники отримали контактні відомості частини клієнтів. Компанія підкреслює, що фінансові записи та інші чутливі персональні дані на скомпрометованій платформі не зберігалися.
Що сталося і як реагує Stellantis
Після виявлення інциденту Stellantis активувала протоколи реагування на кіберінциденти, розпочала розслідування, повідомила регуляторів і безпосередньо інформує залучених користувачів. Компанія рекомендує клієнтам уважно ставитися до можливих фішингових та вишингових контактів і не переходити за підозрілими посиланнями, навіть якщо повідомлення виглядає персоналізованим.
Контекст: атаки на екосистему Salesforce та заява ShinyHunters
Хоча Stellantis не розкриває технічний вектор, профільні медіа (зокрема BleepingComputer) пов’язують подію з ширшою хвилею атак на інтеграції Salesforce. Група ShinyHunters приписує собі викрадення даних у Stellantis і заявляє про доступ до мільйонів записів через корпоративні інтеграції Salesforce. Ці твердження потребують незалежної перевірки, однак загальна тенденція до компрометації SaaS‑ланцюга постачання простежується чітко.
Вишинг як початковий вектор атак
З початку року зловмисники активно застосовують голосовий фішинг (вишинг) проти працівників компаній — клієнтів Salesforce, намагаючись виманити облікові дані або підтвердження входу (MFA‑push). У публічних повідомленнях про дотичні інциденти згадувалися великі бренди, серед яких Google, Cisco, Qantas, Adidas, Allianz Life та кілька марок LVMH (Louis Vuitton, Dior, Tiffany & Co). Перелік формується за відкритими джерелами і не завжди підтверджений самими компаніями.
OAuth‑токени, Salesloft/Drift і SaaS‑ланцюг постачання
Окремий вектор стосується інтеграційних платформ на кшталт Salesloft і чат‑бота Drift, що взаємодіють із Salesforce. Атакувальники полюють на OAuth‑ і refresh‑токени, які дозволяють отримувати дані з підключених CRM без повторного введення пароля. У матеріалах ЗМІ в контексті таких атак згадувалися Cloudflare, Zscaler, Proofpoint, Palo Alto Networks, Tenable, CyberArk, Nutanix, Qualys, Rubrik, Elastic, BeyondTrust, JFrog, Cato Networks тощо. Ці заяви також потребують верифікації, проте тренд на зловживання SaaS‑інтеграціями є системним.
Чому «лише контакти» — не дрібниця для безпеки
Контактні дані (ім’я, e‑mail, телефон) — цінний матеріал для таргетованого фішингу та соціальної інженерії. Персоналізовані повідомлення різко підвищують конверсію атак. За Verizon DBIR 2024, соціальна інженерія й надалі належить до провідних причин компрометацій, а зловживання токенами доступу в хмарних середовищах демонструє стабільне зростання. Навіть без фінансових реквізитів контактна база здатна масштабувати подальші атаки на користувачів і партнерів.
Практичні кроки зниження ризиків
Для клієнтів і партнерів Stellantis
Перевіряйте домени відправників і номер абонента, не переходьте за лінками з несподіваних листів або дзвінків, використовуйте менеджер паролів і активуйте MFA, надаючи перевагу FIDO2‑токенам; окремо перевіряйте прохання про підтвердження входу, здійснюйте дзвінок‑перевірку через офіційні канали.
Для організацій, що працюють із Salesforce та підключеними SaaS
Проведіть інвентаризацію всіх OAuth‑додатків і відключіть непотрібні; впровадьте allow‑list для додатків та принцип найменших привілеїв для scopes. Регулярно ротируйте OAuth/refresh‑токени, використовуйте короткий TTL, вмикайте умовний доступ (перевірка пристроїв, геолокації, оцінка ризику сесії), посильте моніторинг API‑логів і подій OAuth з аномалійним алертингом.
Тренуйте персонал на вишинг‑сценаріях (симуляції, політика call‑back, антиспуф‑контроли для номерів). Проводьте due diligence постачальників: сертифікації SOC 2/ISO 27001, підтримка SSO (SAML/OIDC), мінімізація зберігання даних, наявність планів IR та контрактних SLA щодо інцидент‑сповіщення. Перегляньте довірені інтеграції та актуалізуйте плани реагування з урахуванням OAuth‑ризиків.
Інцидент зі Stellantis ще раз підкреслює, що уразливість SaaS‑інтеграцій і ланцюга постачання може відчинити двері до широкого кола даних. Перевірте власний ландшафт інтеграцій, наведіть лад в OAuth‑гігієні, підсиліть видимість подій і відпрацюйте сценарії реагування. Це зменшить імовірність ескалації атак і допоможе запобігти вторинним витокам, коли ставки для бізнесу зростають щодня.
