Andrew Hanna
Tekunda Team
TL;DR: منذ أوائل سبتمبر 2025، بدأت Salesforce تقييد الوصول إلى Connected Apps غير المثبتة وإزالة OAuth 2.0 Device Flow من Data Loader. تتطلب هذه التحسينات الأمنية تحركا فوريا من admins لمنع تعطيل التكاملات الحالية.
قدمت Salesforce في سبتمبر تغييرات مهمة على Connected App security تغير هذا التوازن، ومن الضروري أن تستعد الآن.
في الأشهر الأخيرة، استهدفت موجة من voice-phishing (“vishing”) وهجمات social-engineering عملاء Salesforce. انتحل مهاجمون صفة موظفي IT help desk وخدعوا الموظفين لمنح OAuth access لتطبيقات ضارة، ثم استخدموا credentials لاستخراج بيانات العملاء.
شملت الضحايا البارزة Google، حيث سرق المهاجمون business contact details وsales notes، إضافة إلى Chanel وFarmers Insurance وعلامات LVMH مثل Louis Vuitton وDior وTiffany & Co. وفي قطاع الطيران، أعلنت Air France وKLM في أغسطس 2025 أن منصة customer-service خارجية مخترقة كشفت أسماء وعناوين بريد وأرقام هاتف وتفاصيل loyalty programme.
توضح هذه الحوادث لماذا تشدد Salesforce السيطرة على connected apps غير المثبتة وتوقف OAuth Device Flow.
كمسؤولي Salesforce، نوازن بين سهولة الوصول والأمان. نريد أن يحصل المستخدمون على الأدوات التي يحتاجونها مع حماية مؤسساتنا من التهديدات.
التغيير الرئيسي واضح لكنه مؤثر: لم تعد Connected Apps غير المثبتة متاحة لمعظم المستخدمين. إذا لم يكن التطبيق مثبتا رسميا في org لديك، فسيتم حظره.
هذا يعني:
قدمت Salesforce طرقا جديدة للمستخدمين الموثوقين لتجاوز هذه القيود، لكن بمسؤولية إضافية:
تعتمد فعالية هذه الصلاحيات على إعدادات API Access Control في org لديك.
في 2 سبتمبر 2025، تمت إزالة خيار OAuth Device Flow لتطبيق Data Loader المثبت تلقائيا بالكامل. يجب على المستخدمين الآن التحول إلى password authentication أو OAuth Web Server Flow.
الإجابة بسيطة: الأمان. استهدفت هجمات social engineering الأخيرة مستخدمي Salesforce، وخدعتهم لتصريح Connected Apps ضارة تتنكر كأدوات شرعية مثل Data Loader. نجحت هذه الهجمات لأنها استغلت الفجوة بين راحة المستخدم وسيطرة المؤسسة.
يوضح باحثو الأمن أن مجموعات مثل ShinyHunters/UNC6040 تستخدم social engineering عبر الهاتف لتجاوز multi-factor authentication وإقناع الموظفين بالموافقة على OAuth scopes. وبعد الحصول على الوصول، يستخرج المهاجمون customer-care records بهدوء ثم يستخدمون البيانات للابتزاز أو phishing إضافي.
كما أوضح تحليل Google، لم يستغل المهاجمون ثغرات في Salesforce نفسها، بل تلاعبوا بالمستخدمين لمنح الوصول لتطبيقات ضارة. من خلال نهج “الباب المغلق” افتراضيا، تجبر Salesforce المؤسسات على اتخاذ قرارات واعية حول التطبيقات التي يمكن للمستخدمين فتحها.
إجراء فوري مطلوب: اذهب إلى Setup → Connected Apps OAuth Usage وراجع كل تطبيق مستخدم.
ابحث عن زر “Install” في عمود Actions. إذا رأيته، فهذا التطبيق غير مثبت ومتأثر بالقيود الجديدة.
عند المراجعة، انتبه إلى:
لكل تطبيق غير مثبت تحدده:
راجع أو ثبت أو احظر التطبيقات بعملية approval واضحة. استخدم Serpent لتتبع الصلاحيات والحفاظ على أمان org دون إبطاء delivery.
امنح صلاحية “Approve Uninstalled Connected Apps” فقط عند الضرورة. المرشحون المناسبون قد يشملون:
⚠️ تذكر: هذه صلاحية شاملة. يستطيع مستخدموها تصريح أي Connected App غير مثبتة، فاختر بحكمة.
إذا كان المستخدمون يعتمدون على Data Loader:
إذا كان المستخدمون يعتمدون على Data Loader:
استخدم هذا الانتقال كفرصة لرفع مستوى Connected App governance:
تحقق من طلبات help desk وقلل third-party access. بدأت كثير من خروقات 2025 عندما انتحل المهاجمون دعم IT وأقنعوا موظفي service desk بمنح أو إعادة ضبط credentials. اطلب تحقق هوية صارما لكل إجراء service desk، وفعّل multi-factor authentication على كل الحسابات، وراجع scopes تطبيقات الطرف الثالث، واحذف التكاملات غير المستخدمة. راجع connected apps بانتظام واسحب tokens طويلة العمر لتقليل الأثر إذا تعرضت منصة طرف ثالث للاختراق.
دع Tekunda تصمم استراتيجية DevOps تبدأ من الأمان ومصممة لإعداد Salesforce لديك، حتى تركز على قيمة الأعمال بينما نتولى governance.
بدأ الطرح في أواخر أغسطس ويستمر خلال سبتمبر:
من المهم معرفة أن ليس كل شيء يتغير. سيبقى التالي كما هو:
رغم أن Salesforce توفر هذه controls الأمنية الجديدة، يبقى أمان المنصة مسؤولية مشتركة. لا تستطيع أقوى controls التقنية حماية المؤسسة إذا خدع مستخدم ومنح الوصول لتطبيق ضار.
استخدم هذا الانتقال لتعزيز security awareness في مؤسستك:
تظهر هذه التحديثات التزام Salesforce بسد الفجوات الأمنية مع الحفاظ على المرونة التي تجعل المنصة قوية. عندما تضع هذه التغييرات في سياق الحوادث الأخيرة، من Google وChanel إلى Air France–KLM، يتضح سبب ضرورة تقييد التطبيقات غير المثبتة وإزالة OAuth Device Flow. يسيء المهاجمون استخدام الثقة والراحة بشكل متزايد؛ ويجب أن تتطور governance وتوعية المستخدمين بالسرعة نفسها.
تمنح هذه التغييرات admins مزيدا من التحكم، لكنها تتطلب أيضا استعدادا استباقيا. عبر مراجعة Connected Apps، وتحديث الصلاحيات، وتدريب المستخدمين، ستتجنب التعطيل وتقوي وضع الأمان طوال الطرح.
يعتمد عليك المستخدمون لإبقاء الأبواب الصحيحة مفتوحة والخاطئة مغلقة بإحكام.
Andrew Hanna
Serpent Team
Tekunda Team
Tekunda Team
Tekunda Team
Andrew Hanna