Nach Darstellung von Salesforce nimmt eine öffentlich erreichbare Experience-Site ein „Gastnutzer-Profil" an, das anonymen, nicht angemeldeten Besuchern Zugang zu eigentlich öffentlichen Daten gewähren soll. Ist dieses Profil falsch konfiguriert und mit zu weitreichenden Berechtigungen versehen, können Besucher laut dem Unternehmen „Salesforce-CRM-Objekte direkt abfragen, ohne sich anzumelden".
Salesforce hält ausdrücklich fest, dass es sich nicht um eine Schwachstelle der eigenen Plattform handele: Die bisherige Untersuchung bestätige, dass die Aktivität auf eine kundenseitig konfigurierte Gastnutzer-Einstellung zurückgehe und nicht auf einen Sicherheitsfehler des Dienstes. Als wirksamste Maßnahme empfiehlt das Unternehmen, den Gastzugriff auf öffentliche APIs zu deaktivieren und die Einstellung „API Enabled" aus dem Gastprofil zu entfernen. Außerdem rät Salesforce, Gastnutzer-Berechtigungen zu prüfen, das Prinzip der minimalen Rechtevergabe anzuwenden, die Aura-Event-Monitoring-Protokolle auf ungewöhnliche Zugriffsmuster und unbekannte IP-Adressen zu kontrollieren und einen Sicherheitskontakt zu benennen.
Mandiant Consulting bestätigte gegenüber BleepingComputer, dass Angreifer AuraInspector für Einbruchsversuche nutzen. „Uns ist ein Bedrohungsakteur bekannt, der versucht, Einbrüche zu ermöglichen, indem er das quelloffene Werkzeug AuraInspector missbraucht, um Schwachstellen-Scans über Salesforce-Umgebungen hinweg zu automatisieren", sagte Charles Carmakal, Chief Technology Officer von Mandiant. Er wies zugleich darauf hin, dass das Auftauchen von Scan-Aktivitäten in den Protokollen einer Organisation noch keine Kompromittierung bedeute.
ShinyHunters gibt an, rund 100 namhafte Unternehmen kompromittiert zu haben, viele davon aus der Cybersicherheitsbranche; insgesamt seien zwischen 300 und 400 Organisationen betroffen. Den Angreifern zufolge begannen sie im September 2025, Unternehmen mit unsicheren Zugriffskonfigurationen für Gastnutzer anzugreifen, und identifizierten Aura-Instanzen, indem sie das Internet nach dem Endpunkt /s/sfsites/ absuchten.
Laut den Angreifern ließen sich über die GraphQL-API von Salesforce zunächst nur 2.000 Datensätze pro Abfrage abrufen, was den Datendiebstahl verlangsamte. Über den Parameter sortBy hätten sie diese Begrenzung umgangen. Nachdem AuraInspector erschienen war, veränderte ShinyHunters nach eigener Aussage den Code für zusätzliche Erkundung; Salesforce bestätigt in seiner Mitteilung, dass die Variante des Werkzeugs „zum massenhaften Scannen öffentlich erreichbarer Experience-Cloud-Seiten" eingesetzt wurde. Anschließend entwickelten die Täter ein eigenes Werkzeug zum Datendiebstahl, dessen Name dem während der Snowflake-Angriffe verwendeten Werkzeug „RapeFlake" ähnelt.
ShinyHunters behauptet, nachdem Salesforce den sortBy-Trick behoben habe, eine neue Methode zur Umgehung der 2.000-Datensatz-Grenze gefunden zu haben, die sie seither verdeckt ausnutze. Salesforce habe diese Methode an einem Wochenende vor Veröffentlichung der Mitteilung geschlossen; die Gruppe gibt jedoch an, inzwischen eine Schwachstelle gefunden zu haben, die Datendiebstahl auch aus korrekt konfigurierten Aura-Instanzen erlaube. BleepingComputer konnte dies nicht unabhängig bestätigen. Auf Anfrage erklärte Salesforce weiterhin, es gebe keine Schwachstelle in seiner Plattform. Nach Einschätzung der Angreifer könnten sich Kunden schützen, indem sie den öffentlichen Zugriff auf eine Instanz deaktivieren – damit entfiele allerdings auch der Gastzugang, und die Website würde zu einem privaten Portal.