Bezpieczny CRM 2025: nowe zasady w Salesforce

Fala zaawansowanych ataków socjotechnicznych wymusiła na Salesforce radykalne zmiany w polityce bezpieczeństwa aplikacji zewnętrznych i autoryzacji użytkowników. Gigant reaguje po latach krytyki, ale czy to nie za późno, gdy cyberprzestępcy wyprzedzili zabezpieczenia, atakując klientów takich jak Adidas czy Google? Nadchodzące tygodnie przyniosą największą od lat aktualizację mechanizmów ochronnych. Przedstawiamy, co się zmienia, dlaczego to tak istotne i o czym muszą pamiętać administratorzy oraz liderzy biznesu korzystający z Salesforce.

Lukę wykryto, gdy giganci padli ofiarą — jak cyberprzestępcy przechytrzyli Salesforce?

Ostatnie miesiące przyniosły serię głośnych ataków na użytkowników Salesforce w największych światowych firmach, takich jak Adidas, Chanel czy Google. Na łamach naszego portalu informowaliśmy już miesiąc temu o tych atakach. Hakerzy podszywający się pod wsparcie techniczne kontaktowali się telefonicznie z pracownikami, by namówić ich na instalację fałszywej wersji narzędzia Data Loader. W rzeczywistości były to złośliwe oprogramowania, wykorzystujące niedostateczną ochronę tzw. „niezainstalowanych aplikacji powiązanych” (connected apps).

Jak donosi Matt Meyers z EzProtect, lukę stanowił mechanizm umożliwiający autoryzację zewnętrznych narzędzi przez użytkownika bez konieczności zatwierdzenia przez administratora. Przestępcy z grupy ShinyHunters uzyskali w ten sposób dostęp do danych CRM tych przedsiębiorstw. Ataki te podkreśliły poważne zaniedbania – obowiązujący w branży od lat wymóg zatwierdzeń administracyjnych dla integracji zewnętrznych wciąż nie był standardem w Salesforce.

Co się zmienia od września 2025? Harmonogram i nowe restrykcje

Salesforce ogłosił szybką ścieżkę wdrażania poprawek: już 28 sierpnia nowe organizacje będą mieć zaktualizowane zasady, a do początku września zmiana obejmie wszystkich dotychczasowych klientów. Przełomową decyzją jest całkowite wycofanie mechanizmu logowania OAuth 2.0 Device Flow w narzędziu Data Loader – od 2 września nie będzie możliwości korzystania z tej metody autoryzacji.

Jakie nowe reguły wejdą w życie?

– Zablokowanie dostępu do niezatwierdzonych aplikacji powiązanych. Użytkownicy nie będą mogli sami ich autoryzować.
– Każdy nowy dostęp do zewnętrznej integracji wymagać będzie administracyjnej zgody.
– Zniesienie możliwości używania Device Flow oznacza, że organizacje muszą przejść na inne sposoby uwierzytelniania, np. User-Agent Flow lub połączenie hasło + token.

Tylko użytkownicy z nowymi, restrykcyjnymi uprawnieniami „Approve Uninstalled Connected Apps” lub „Use Any API Client” będą mogli korzystać z niecertyfikowanych integracji. Salesforce zaleca, aby przyznawać je wyłącznie zaufanym administratorom i programistom.

Jak przygotować organizację? Praktyczny przewodnik dla administratorów

Zbliżające się zmiany wymagają aktywnego zaangażowania zespołów IT oraz działów bezpieczeństwa. Eksperci podkreślają konieczność przeprowadzenia natychmiastowego audytu zainstalowanych aplikacji oraz uprawnień użytkowników. Od czego zacząć?

1. Przejrzyj listę wszystkich połączonych aplikacji w panelu Connected Apps. Skup się na tych, które są niezatwierdzone (widoczny przycisk „Install”).
2. Przeanalizuj historię autoryzacji i użytkowania – kto i kiedy korzystał z każdej aplikacji.
3. Podziel aplikacje na zaufane i nieznane. Aplikacje nieznanego pochodzenia powinny zostać natychmiast zablokowane.
4. Zarządzaj uprawnieniami. Sprawdź, kto posiada nowo wprowadzone przywileje administracyjne, usuń je z profili niepowołanych.
5. Przygotuj się na zmianę sposobu korzystania z Data Loader – przetestuj nowe metody logowania z wybranymi użytkownikami przed oficjalną migracją.
6. Komunikuj zmiany pracownikom, aby ograniczyć liczbę zgłoszeń do helpdesku i paniki po wejściu nowych mechanizmów.

Nie należy zwlekać – atakujący nie czekają na koniec sierpnia. Regularne audyty, jasne zasady uprawnień i edukacja zespołów IT pozostaną podstawą bezpieczeństwa, nawet przy najnowszych zabezpieczeniach od Salesforce.

Dlaczego reakcja Salesforce była tak opóźniona i co to oznacza dla rynku?

Eksperci nie kryją zaskoczenia, że tak elementarna kwestia, jak administracyjna kontrola nad integracjami, tak długo pozostawała w tyle za konkurencją. Jak podaje Matt Meyers, w innych systemach klasy enterprise takie mechanizmy są standardem od wielu lat. Sytuacja unaoczniła, że żaden nawet największy dostawca usług w chmurze nie powinien być jedynym strażnikiem bezpieczeństwa.

Przypadek ataku na takich klientów jak Workday czy Chanel – firmy o ścisłych procedurach bezpieczeństwa – przypomina też, że nawet najlepiej chronione środowiska są podatne na błędy ludzkie. Współodpowiedzialność za ochronę danych pozostaje na barkach zarówno dostawcy, jak i klienta (tzw. model współdzielonej odpowiedzialności). Konieczne są cykliczne szkolenia użytkowników z zakresu socjotechniki oraz weryfikacja wszystkich integracji i nadanych uprawnień.

Czy branża wyciągnie lekcję z zaniedbań?

Aktualizacje bezpieczeństwa Salesforce można traktować jako krok we właściwym kierunku, choć w opinii wielu ekspertów – zdecydowanie spóźniony. Przykład z ostatnich miesięcy jest jednoznacznym sygnałem, że poleganie wyłącznie na dostawcy to zbyt mało, a podstawowe mechanizmy ochronne muszą być wdrażane i stale weryfikowane na poziomie każdej organizacji.

Czy nowe ograniczenia i restrykcje faktycznie ograniczą skuteczność ataków socjotechnicznych na użytkowników Salesforce w przyszłości? Czy twoja firma jest gotowa na natychmiastową adaptację i przejęcie większej odpowiedzialności za własne bezpieczeństwo? Odpowiedź pozostaje otwarta – i zależy od podjętych już dziś działań.