O grupo de crimes cibernéticos ShinyHunters afirmou ter invadido a empresa imobiliária global Cushman & Wakefield, alegando o roubo de centenas de milhares de registros como parte de uma campanha em andamento direcionada a ambientes Salesforce.
De acordo com a publicação do grupo em seu site de vazamento, mais de 500.000 registros ligados aos sistemas Salesforce da empresa foram acessados. Os atacantes afirmam que os dados incluem informações pessoais identificáveis e registros corporativos internos, embora nenhuma evidência tenha sido divulgada publicamente para verificar a alegação.
A suposta violação segue um padrão visto nas recentes atividades do ShinyHunters, onde organizações são listadas em portais de vazamento junto com ultimatos de “pague ou vaze”. Neste caso, o grupo teria emitido um prazo curto, alertando a empresa para fazer contato ou correr o risco de exposição pública dos dados.
A Cushman & Wakefield não confirmou o incidente no momento da reportagem, e ainda não está claro se algum sistema foi realmente comprometido ou se dados foram exfiltrados. A ausência de amostras de prova é consistente com algumas tentativas anteriores de extorsão, onde as alegações são usadas para pressionar as vítimas antes da verificação.
O incidente está ligado a uma campanha mais ampla voltada para organizações que utilizam a plataforma Experience Cloud da Salesforce. Avisos de segurança indicam que atacantes têm explorado ambientes mal configurados, especialmente portais públicos com configurações de acesso de convidados excessivamente permissivas.
Em vez de explorar vulnerabilidades no próprio Salesforce, esses ataques normalmente dependem de fraquezas de configuração ou engenharia social. Controles de acesso mal configurados podem permitir que usuários não autorizados consultem e extraiam dados de CRM sem autenticação, dependendo de como os sistemas são configurados.
A ShinyHunters esteve associada a múltiplos casos de grande destaque de roubo de dados e extorsão em 2026, frequentemente mirando em plataformas SaaS e sistemas empresariais baseados em nuvem. A estratégia do grupo frequentemente envolve extração de dados em larga escala seguida de campanhas de pressão pública destinadas a forçar pagamentos de resgate.
A reivindicação da Cushman & Wakefield reflete a expansão contínua dessas operações em diversos setores, incluindo imóveis, finanças e tecnologia. À medida que as investigações avançam, o caso destaca riscos contínuos ligados às configurações dos serviços em nuvem e ao uso crescente de táticas de extorsão em incidentes de violação de dados.