Google 在今年 6 月披露了一种针对 Salesforce 账号的新骗局，该骗局是一种社会工程攻击，攻击者滥用了 Salesforce 的一项功能，该功能允许客户关联账户与第三方应用，将数据与用于博客、地图工具和类似资源的内部系统集成。攻击者伪装成 IT 部门直接联络目标要求访问权限，指示公司员工将外部应用连接到 Salesforce 实例，之后攻击者会要求员工输入 Salesforce 界面的八位数安全码，随后使用安全码访问该实例及其中存储的所有数据。遭到该骗局的知名公司包括了阿迪达斯、澳洲航空、安联人寿、思科，LVMH 旗下奢侈品牌路易威登、迪奥和蒂芙尼，以及 Google 自己。现在犯罪组织创建了一个网站，称恢复了 9.8945 亿条记录，要求 Salesforce 就赎金金额展开谈判，否则将泄漏该公司客户的数据，截止日期为周五。Salesforce 公开声明拒绝支付赎金。

arstechnica.com/security/2025/10/salesforce-says-it-wont-pay-extortion-demand-in-1-billion-records-breach/