Salesforce platformu üzerinde çalışan Gainsight uygulamalarında 23 Ekim 2025’te başlayan yetkisiz erişim ve keşif faaliyetleri, 21 Kasım itibarıyla etkilenen müşteri sayısının artmasıyla kritik bir güvenlik olayı haline geldi. İlk etapta sadece 3 müşteri etkilendiği açıklanırken, Gainsight CEO’su Chuck Ganapathi’nin belirttiği üzere şu anda etkilenen müşteri sayısının daha fazla olduğu ancak kesin rakamın paylaşılmadığı bildirildi.
İhlal, ShinyHunters (diğer adıyla Bling Libra) adlı siber suç grubunun geliştirdiği yeni fidye yazılımı hizmeti (RaaS) platformu ShinySp1d3r ile bağlantılı. Bu platform, Windows Olay Görüntüleyici kayıtlarını engellemek için EtwEventWrite fonksiyonunu bloke etme, açık dosyaları tutan işlemleri iteratif olarak sonlandırma ve sürücüde boş alanı rastgele veri ile doldurma gibi gelişmiş teknikler kullanıyor. Ayrıca, deployViaSCM, deployViaWMI ve attemptGPODeployment yöntemleriyle yerel ağda yayılma kabiliyetine sahip.
Türkiye İçin Ne Anlama Geliyor?
Türkiye’deki kurumlar, özellikle KVKK kapsamında kişisel veri işleyen şirketler ve kritik altyapılar, Gainsight-Salesforce ihlalinden doğrudan etkilenebilir. Örneğin, bir e-ticaret platformunda Gainsight entegrasyonu kullanılıyorsa, ele geçirilen erişim tokenlarıyla müşteri verilerine yetkisiz erişim sağlanabilir. Bu durum, hem veri sızıntısı hem de hizmet kesintisi riskini beraberinde getirir. Ayrıca, Türkiye’deki KOBİ’ler genellikle bulut tabanlı CRM ve müşteri başarı platformlarına bağımlı olduğundan, bu tür ihlaller operasyonel sürekliliği tehdit edebilir.
Mevzuat açısından, KVKK’nın 12. ve 13. maddeleri uyarınca kişisel verilerin korunması zorunludur; bu nedenle ihlal sonrası hızlı ve etkili müdahale, hem yasal yükümlülüklerin yerine getirilmesi hem de itibarın korunması için kritik. Ayrıca, Türkiye’deki SOC ekipleri ve BT yöneticileri, OAuth token güvenliği, SSO yapılandırmaları ve üçüncü taraf entegrasyonların denetimini artırmalıdır.
Senaryo olarak, bir finans kurumunda Gainsight entegrasyonu kullanılırken bu açık üzerinden yetkisiz erişim sağlanması, müşteri finansal verilerinin sızmasına ve dolandırıcılık faaliyetlerine yol açabilir. Bu nedenle, kurumların hem teknik hem de organizasyonel önlemlerle bu tür riskleri minimize etmesi gerekmektedir.
Sistem Yöneticileri ve SOC Ekipleri İçin Hızlı Kontrol Listesi
- Gainsight ve Salesforce entegrasyonunda kullanılan tüm erişim tokenlarını derhal iptal edip yenileriyle değiştirin.
- S3 bucket erişim anahtarları ve BigQuery, Zuora, Snowflake gibi diğer bağlayıcıların anahtarlarını güncelleyin.
- SSO kullanmayan kullanıcıların Gainsight NXT şifrelerini sıfırlayın ve zorunlu şifre politikaları uygulayın.
- OAuth istemcilerini, özellikle gainsightcloud[.]com gibi URI’lere sahip olanları geçici olarak devre dışı bırakın.
- EDR ve SIEM sistemlerinde “Salesforce-Multi-Org-Fetcher/1.0” kullanıcı ajan dizisi ve benzeri IoC’leri izleyin.
- Gainsight ve Salesforce uygulamalarındaki olağandışı API çağrılarını ve erişim loglarını detaylı inceleyin.
- Firewall ve ağ segmentasyon politikalarını gözden geçirerek, gereksiz dış erişimleri kısıtlayın.
- Çalışanlara yönelik siber güvenlik farkındalığı eğitimlerini güncelleyerek, kimlik avı ve sosyal mühendislik saldırılarına karşı hazırlıklı olun.
Teknik Özet
- Kullanılan Zararlılar / Araçlar: ShinySp1d3r RaaS platformu, EtwEventWrite engelleme, deployViaSCM/WMI, attemptGPODeployment yayılma teknikleri.
- Hedef Sektörler / Bölgeler: Salesforce platformu kullanan kurumsal müşteriler, özellikle CRM ve müşteri başarı yönetimi alanında faaliyet gösteren şirketler; küresel çapta etkili, Türkiye dahil.
- Kullanılan Zafiyetler: OAuth tokenlarının ele geçirilmesi ve kötüye kullanımı; Salesforce ve Gainsight entegrasyonlarındaki yetkisiz erişim zafiyetleri (CVE-2025-XXXX gibi ilgili OAuth ve API güvenlik açıkları araştırılmalı).
- Saldırı Zinciri Özeti: 1) Erişim tokenlarının ele geçirilmesi, 2) Yetkisiz API çağrıları ve keşif faaliyetleri, 3) Yayılma ve veri sızıntısı / fidye yazılımı dağıtımı.
- Önerilen Temel Savunma Yaklaşımı: Çok katmanlı erişim kontrolü, token yönetimi ve rotasyonu, gelişmiş log analizi, ağ segmentasyonu ve kullanıcı davranış analizi (UBA) ile anomali tespiti.
Bu olay, bulut tabanlı uygulamalarda OAuth ve API güvenliğinin önemini bir kez daha ortaya koydu. Gainsight ve Salesforce gibi platformlarda kullanılan üçüncü taraf entegrasyonların güvenlik denetimleri artırılmalı, MCP istemcileri ve Pydantic AI tabanlı analiz araçlarıyla anomali tespiti güçlendirilmelidir. Ayrıca, AsyncRAT benzeri uzaktan erişim araçlarının kötüye kullanımına karşı konteynerlerde rastgele SSH portları kullanımı ve erişim kısıtlamaları uygulanabilir.
Son olarak, Türkiye’deki kurumların e-posta güvenliği, fidye yazılımı koruması ve bulut güvenliği alanlarında kapsamlı politikalar geliştirerek, benzer saldırıların önüne geçmeleri kritik önem taşıyor.