Google-Salesforce-Hack: Sind deine CRM-Kundendaten noch sicher?

Im Juni 2025 wurde ein internes Salesforce-CRM-System von Google gehackt. Besonders kritisch: Dieses System wird gezielt für die Verwaltung von Kunden- und Kontaktdaten kleiner und mittlerer Unternehmen genutzt und enthält damit Informationen, die für viele Firmen besonders sensibel sind. Die Angreifer:innen, bekannt als ShinyHunters (UNC6040), verschafften sich Zugriff auf Kontaktinformationen und Vertriebsnotizen. Google hat den Vorfall am 5. August 2025 offengelegt; nach Googles Angaben war die Salesforce-Instanz im Juni 2025 betroffen.

Obwohl die gestohlenen Informationen als grundlegend und größtenteils öffentlich zugänglich gelten, bergen sie dennoch hohes Missbrauchspotenzial. Dieser Angriff ist Teil einer größeren, laufenden Kampagne gegen Salesforce-Datenbanken. Neben Google waren auch Unternehmen wie Adidas, Qantas, Cisco, Allianz Life, Pandora und mehrere LVMH-Marken betroffen. Laut der Google Threat Intelligence Group (4. Juni 2025) manipulierten die Angreifer:innen in allen beobachteten Fällen Nutzer:innen und nutzten keine Schwachstelle in Salesforce selbst aus.

Laut Google wurden die Daten innerhalb eines kurzen Zeitfensters abgerufen, bevor der Zugriff unterbunden wurde. Dennoch warnt das Unternehmen vor möglichen Folgerisiken, vor allem im Hinblick auf Erpressungstaktiken.

Angriffsmethode – So wurden Google-Daten gestohlen

Social-Engineering durch Vishing

Die Hacker:innen nutzten Voice-Phishing, riefen Mitarbeitende an und gaben sich als interne IT-Support-Teams aus. Ziel war es, Mitarbeitende dazu zu bringen, eine manipulierte Version des Salesforce Data Loader zu autorisieren, oft getarnt als scheinbar legitime App mit Namen wie „My Ticket Portal“.

Technische Ausführung

Die Angriffe liefen über sogenannte Connected Apps mit OAuth-Integration. Teilweise kamen speziell entwickelte Python-Skripte zum Einsatz, um Uploads und Downloads gezielt zu automatisieren und Sicherheitskontrollen zu umgehen.

Die Operation war auf mehrere Cluster verteilt: UNC6040 übernahm die initiale Kompromittierung, während UNC6240 für mögliche Erpressungs- und Veröffentlichungsmaßnahmen zuständig sein könnte.

Extortion-Risiko über Data Leak Sites

Google geht davon aus, dass ShinyHunters eine Veröffentlichung der Daten auf einer Data Leak Site vorbereitet. Diese Plattformen dienen dazu, gestohlene Daten öffentlich zu machen und Unternehmen unter Druck zu setzen, Lösegeld zu zahlen. Selbst scheinbar harmlose Basisdaten können so zum Hebel für gezielte Folgeangriffe werden.

Wer ist ShinyHunters und welche anderen Ziele traf es?

ShinyHunters ist seit Jahren in der Cybercrime-Szene aktiv und bekannt für Angriffe auf große Marken und deren Cloud-Datenbanken.

Ihre Stärke liegt in der Kombination aus Social Engineering, ausgefeilten Täuschungsmanövern und dem gezielten Ausnutzen der Cloud-Konnektivität von Tools wie Salesforce. Technische Schwachstellen der Plattform werden dabei meist umgangen – der Fokus liegt auf dem Menschen als Einfallstor.

Risiken für Unternehmen – Was bedeutet das für dich?

  • Phishing-Welle: Gestohlene Basisdaten reichen oft aus, um täuschend echte Phishing-Mails oder Anrufe zu gestalten
  • Reputationsschaden: Veröffentlichte oder falsch kontextualisierte Daten können das Vertrauen von Kund:innen und Partner:innen nachhaltig beschädigen
  • Compliance-Risiken: Lücken in der Zugriffskontrolle können trotz fehlender sensibler Daten zu Bußgeldern führen, etwa bei Verstößen gegen DSGVO-Anforderungen
  • Finanzielle Verluste: Angriffe dieser Art können Folgekosten verursachen, von Incident-Response bis Kundenkommunikation

Sofortmaßnahmen – Was kannst du jetzt tun?

Maßnahme Beschreibung
Employee Awareness Regelmäßige Schulungen zu Social Engineering, Vishing und Cloud-Security
MFA & Least Privilege Mehrfaktor-Authentifizierung auf allen Konten, Rechte nur so weit wie nötig vergeben
Connected Apps kontrollieren Nur geprüfte Anwendungen zulassen, App-Audits regelmäßig durchführen
Monitoring & Logging Auffällige Aktivitäten, besonders in Cloud-Diensten, automatisiert überwachen
Incident Response Plan Breach-Szenarien simulieren, klare Eskalationswege und Kommunikationspläne hinterlegen

Praxisbeispiel – Pandora

Auch Pandora, ein globaler Schmuckhändler, wurde als Opfer dieser Serie von Salesforce-bezogenen Angriffen genannt (TechCrunch, 6. August 2025).

Ermittlungen und Strafverfolgung

Am 23. Juni 2025 nahm die französische Polizei vier Männer fest, die im Verdacht stehen, am Betrieb der Plattform BreachForums und an Angriffen auf französische Organisationen beteiligt gewesen zu sein (The Register, 25. Juni 2025). Ein belegter Zusammenhang mit der in diesem Artikel beschriebenen Salesforce-Kampagne besteht laut dieser Quelle nicht.

Fazit – und wie heyData hier ins Spiel kommt

Der Salesforce-Hack bei Google zeigt deutlich: Selbst Konzerne mit riesigen IT-Budgets können Opfer von Social Engineering werden. Technische Absicherung ist nur die halbe Miete, der Mensch bleibt das schwächste Glied.

Genau hier kann heyData helfen:

Mit heyData erhältst du nicht nur Tools, sondern auch Expertenwissen, das deine Organisation resilient gegen Angriffe wie diesen macht.