基于Lapsus$的数字幽灵卷土重来，手段更加sophisticated且目标明确：数字供应链。Dfense Group旗下网络安全初创公司ZenoX发布的一份新威胁情报报告显示，臭名昭著、自称“Scattered Lapsus$ Hunters”的团体分支是迄今为止有记录的最大规模供应链攻击之一背后的推手，通过探索Salesforce平台集成，窃取了9.89亿至15亿条企业记录。
《数字幽灵：Lapsus$在Scattered Hunters中的蜕变》
这项研究详细描述了该团伙如何从2021年至2022年间瘫痪微软、英伟达和卫生部等巨头企业的混乱战术，演变为一个具有经济动机且战略清晰的犯罪行动。ZenoX的调查指出，最近的活动利用了Salesforce与销售参与平台Salesloft Drift之间集成的漏洞。
通过利用数字供应链中的漏洞，犯罪分子入侵了Salesloft并获取了能够绕过多重身份验证（MFA）的访问令牌（OAuth），从而为黑客攻击数百家企业使用的Salesforce实例铺平了道路。受影响行业包括科技(Google AdSense, Cisco)、航空业(Qantas, Air France, KLM, FedEx)、零售业(Home Depot, IKEA)、奢侈品行业(Louis Vuitton, Chanel, Dior, Cartier)、汽车行业(Toyota, Stellantis)、餐饮业(McDonald’s, KFC)、媒体与娱乐业(Disney/Hulu, HBO Max)和金融业(Allianz Life, TransUnion)等。
攻击手法演变：从社会工程学到产业化勒索
“我们目睹的是一个幽灵的成熟。最初由青少年组成的Lapsus$证明了精心策划的社会工程学比任何复杂的恶意软件都更具破坏性。如今，Scattered Lapsus$ Hunters的继承者们吸取了教训，与其他经验丰富的组织如Scattered Spider和ShinyHunters联手，实现了产业化。”ZenoX首席风险官Ana Cerqueira分析道，“他们证明，最强大的突破口不再仅仅是不经意的员工，而是我们对互联软件生态系统所赋予的信任。”
ZenoX的报告详细指出，泄露的数据具有极高的敏感性，包括全名、社会安全号码（SSN）、出生日期、驾照信息、电子邮件、电话号码、购买历史、支持工单内容、API密钥、访问令牌以及其他企业凭证。
多重勒索策略升级
该团体的动机在一封最后通牒中表露无遗：网络罪犯要求直接从Salesforce支付20枚比特币（约130万美元），并将截止日期定为2025年10月10日；如果未付款，该团伙不仅威胁要公开释放这十亿条记录，还威胁要与律师事务所合作对Salesforce提起诉讼，并向欧洲和美国的监管机构报告该公司（GDPR、CCPA）。
“双重勒索策略已演变为三重或四重勒索：他们威胁核心公司、客户公司，并承诺向监管机构提供证据。这是一种展示武力的行为，使整个SaaS行业进入‘警戒’状态。”Cerqueira补充道，“传统防御措施不足以应对以信任为主要攻击矢量的对手。唯一有效的回应是主动情报工作，监控合作伙伴生态系统和犯罪世界，以便在这些行动演变成全球性危机之前预判并阻止它们。”