受 Salesforce 供应链攻击影响，全球汽车巨头 Stellantis 数据遭泄露

代码卫士

2025-09-23

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

专栏·供应链安全

数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。

随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。

为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。

注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。

全球汽车制造巨头 Stellantis 证实称，攻击者获得对第三方服务提供商平台的访问权限后，其北美客户的部分数据被盗。

Stellantis 是一家跨国汽车制造公司，成立于2021年，由法国标志雪铁龙集团和意大利-美国菲亚特克莱斯勒公司合并而成。目前 Stellantis 是全球营收最高的汽车公司之一，从销量来看是全球第五大汽车制造商。

Stellantis 公司旗下拥有14个主要汽车品牌，包括阿尔法·罗密欧、克莱斯勒、雪铁龙、道奇、DS汽车、菲亚特、吉普、蓝旗亚、玛莎拉蒂、欧宝、标致、公羊和沃克斯豪尔。Stellantis 在欧洲、北美、南美等多个地区设有制造基地，业务遍及全球130多个国家。

Stellantis 公司在上周末发布一份声明称，因为被攻陷的平台并未用于存储金融或其它敏感的个人信息，因此攻击者仅盗取了客户的通讯录信息。该公司表示，“我们最近检测到支撑我们北美客户服务运营的一家第三方服务提供商平台遭越权访问。发现后，我们立即启动事件响应协议，开展全面调查并立即采取措施，遏制和缓解攻击。我们还上报相关机构并直接通知受影响客户。”

Stellantis 公司还建议客户警惕可能得钓鱼尝试，在收到异常邮件、文本或电话时，避免点击可疑链接或共享个人信息。

Salesforce 数据泄露

尽管 Stellantis 公司并未分享更多相关信息，但据悉与最近的 Salesforce 数据泄露事件有关。ShinyHunters 勒索组织或与该事件有关。

今天早些时候，ShinyHunters 声称为 Stellantis 数据泄露事件负责并表示已经从该公司的 Salesforce 实例中盗取超过1800万条 Salesforce 记录，包括姓名和联系详情。

从今年年初开始，ShinyHunters 组织就一直通过语音钓鱼攻击（电话诈骗）盗取Salesforce 客户数据，受影响公司包括谷歌、思科、澳洲航空、阿迪达斯、安联人寿、农夫保险公司、Workday以及路威酩轩集团旗下的子公司如迪奥、路易威登和蒂芙尼。

ShinyHunters 团伙还声称利用 Salesloft Drift AI 聊天与 Salesforce 的集成，在获得对客户 Salesforce 实例的访问权限后，窃取敏感信息如密码、AWS访问密钥和 Snowflake 令牌。通过这种方法，他们声称盗取多家企业的客户信息，如谷歌、Cloudflare、Zscaler、Tenable、Palo Alto Networks、CyberArk、Nutanix、Qualys、Rubrik、Elastic、BeyondTrust、Prooftpoint、JFrog、Cato Networks 等等。

上周，FBI发布一份紧急警报，分享了在攻击中发现的妥协指标并警告称，威胁行动者们正在入侵企业的 Salesforce 环境，窃取数据并勒索受害者。与此同时，该勒索团伙向 BleepingComputer 表示，他们利用被泄露的 Salesforce Drift OAuth 令牌从760家公司盗取了超过15亿条 Salesforce 记录。