Cyberattaques Salesforce : une campagne d’ingénierie sociale qui inquiète les grandes entreprises

Au cours des dernières semaines, plusieurs grandes entreprises mondiales – dont Air France-KLM, Google, Bouygues Telecom, Allianz Life et Cisco – ont révélé avoir été victimes de cyberattaques ciblant leurs environnements Salesforce.
Ces attaques sophistiquées reposent principalement sur des techniques d’ingénierie sociale et un détournement de l’outil Data Loader, utilisé pour importer ou exporter des données dans Salesforce.

Quelles entreprises ont été touchées ?

Air France-KLM : fuite de données personnelles liées au programme de fidélité Flying Blue (coordonnées, numéros de compte, statut client).
Bouygues Telecom : exposition des données de 6,4 millions de clients (coordonnées, données contractuelles, IBAN, etc.).
Google : exfiltration de 2,55 millions de contacts professionnels liés à Google Ads, avec une rançon exigée de 2,3 millions de dollars en bitcoins.
Allianz Life : compromission de données sensibles concernant la majorité de ses 1,4 million de clients.
D’autres acteurs comme Cisco, Qantas, Pandora ou des maisons du groupe LVMH ont également été mentionnés comme cibles potentielles.

Qui est derrière ces attaques ?

Les enquêtes pointent vers les collectifs ShinyHunters et Scattered Spider, connus pour leurs attaques massives contre des entreprises comme Santander, TicketMaster, France Travail ou encore SFR.
Ces groupes cybercriminels exploitent principalement le phishing vocal (vishing) et des versions modifiées de Salesforce Data Loader pour piéger les utilisateurs et obtenir des accès frauduleux.

Comment fonctionne l’attaque ?

Les cybercriminels contactent les utilisateurs par email ou téléphone en se faisant passer pour un service officiel.
Ils incitent les victimes à se connecter à une version frauduleuse de Data Loader contrôlée par les attaquants.
Une fois l’accès accordé, les données sont massivement exfiltrées via des adresses IP TOR.
Quelques jours plus tard, une demande de rançon est adressée à l’entreprise ciblée.

La réponse de Salesforce

Salesforce a réagi en affirmant que sa plateforme n’a pas été compromise et qu’il ne s’agit pas d’une faille de sécurité interne.
Depuis mars, l’éditeur a communiqué auprès de ses clients afin de renforcer la vigilance contre l’ingénierie sociale et a recommandé de :

sensibiliser les équipes aux techniques de phishing et vishing,
vérifier systématiquement l’origine des demandes de connexion,
désigner un responsable sécurité dédié,
mettre en place une authentification renforcée pour les accès sensibles.

Que retenir de cette campagne ?

Cette vague d’attaques démontre que les cybercriminels ciblent désormais directement les utilisateurs et non uniquement les systèmes.
Même des entreprises dotées d’infrastructures robustes comme Google ou Air France-KLM restent vulnérables si leurs collaborateurs sont piégés par des techniques d’ingénierie sociale.

👉 Pour les entreprises, la priorité est donc de combiner technologies de sécurité et sensibilisation des équipes. La protection ne repose pas uniquement sur l’éditeur ou les outils, mais aussi sur la vigilance humaine.