La seguridad en la nube vuelve a ponerse a prueba. Esta vez, el impacto lo están viviendo empresas que utilizan las integraciones de Gainsight dentro del ecosistema de Salesforce. Lo que comenzó como un aviso limitado por actividad sospechosa terminó convirtiéndose en un incidente mucho más amplio, con clientes adicionales afectados y un cibergrupo conocido reclamando la autoría.
Si tú o tu empresa dependen de integraciones en Salesforce, este caso es una advertencia clara: tus herramientas de confianza pueden convertirse en puntos de entrada para atacantes si un proveedor externo es vulnerado. En TecnetOne te contamos lo que debes saber y cómo protegerte.
Gainsight informó que la lista inicial de clientes comprometidos, solo tres, según la comunicación de Salesforce, se quedó corta. Después del 21 de noviembre de 2025, la compañía confirmó que el número de afectados creció, aunque no reveló la cifra exacta.
Chuck Ganapathi, CEO de Gainsight, trató de transmitir calma asegurando que “solo un puñado de clientes tiene datos realmente afectados”. Sin embargo, el incidente dejó claro que el daño se sigue evaluando y que el alcance real aún está en análisis.
La alerta se originó cuando Salesforce detectó actividad inusual desde aplicaciones publicadas por Gainsight y conectadas a su plataforma. Para contener el incidente, Salesforce revocó todos los tokens de acceso y actualización asociados a estas aplicaciones.
Poco después, el grupo cibercriminal ShinyHunters, también conocido como Bling Libra, reclamó la brecha.
Para minimizar riesgos, otros proveedores que dependen de Gainsight tomaron medidas inmediatas:
Esto refleja un patrón cada vez más común: cuando un proveedor sufre un ataque, las integraciones satélite reaccionan de forma preventiva para evitar un ataque en cadena.
La compañía publicó una lista de productos cuya capacidad para leer y escribir en Salesforce fue suspendida temporalmente:
Aunque Gainsight insistió en que Staircase no fue comprometido, Salesforce eliminó su conexión por precaución mientras la investigación continúa.
Tanto Salesforce como Gainsight publicaron IoCs (Indicators of Compromise) relacionados con la brecha. Uno de los más destacados fue el user-agent:
“Salesforce-Multi-Org-Fetcher/1.0”
Este agente también se había identificado en actividad previa asociada a Salesloft Drift, lo que sugiere herramientas o tácticas compartidas entre grupos criminales.
Según Salesforce, los primeros intentos de reconocimiento ocurrieron desde la IP 3.239.45[.]43 el 23 de octubre de 2025. Después hubo nuevas olas de acceso no autorizado a partir del 8 de noviembre.
En términos prácticos: el ataque llevaba semanas en marcha antes de ser detectado y contenido.
Gainsight recomendó una serie de acciones preventivas que, si usas integraciones con Salesforce u otros servicios en la nube, deberías aplicar cuanto antes:
Incluye:
Evita usarlo a través de Salesforce hasta que la integración sea completamente restaurada.
Especialmente aquellos que no utilizan SSO.
Cualquier herramienta que dependa de credenciales o tokens debe obtener autorizaciones nuevas.
Gainsight enfatizó que estas medidas son preventivas y tienen como objetivo blindar los entornos de los clientes durante la investigación.
Títulos similares: Trinity of Chaos: Una Alianza Cibercriminal
El incidente ocurre mientras aparece una nueva plataforma de ransomware-as-a-service (RaaS) conocida como ShinySp1d3r (Sh1nySp1d3r), desarrollada por una alianza entre:
De acuerdo con ZeroFox, esta alianza ha estado detrás de más de 51 ciberataques en un año.
Pero lo que preocupa no es solo la cantidad, sino la sofisticación.
ShinySp1d3r introduce técnicas nunca vistas en otros RaaS:
Una combinación peligrosa, que demuestra que el crimen organizado ya opera con capacidades técnicas propias de equipos avanzados.
El periodista Brian Krebs reveló que el desarrollador responsable del ransomware es un miembro central de SLSH conocido como “Rey” (@ReyXBF). Es uno de los administradores del canal de Telegram del grupo y, según la investigación, anteriormente administró BreachForums y el sitio de filtraciones del ransomware HellCat.
Su identidad real: Saif Al-Din Khader.
Khader incluso afirmó que ShinySp1d3r es una versión modificada de HellCat creada con ayuda de herramientas de inteligencia artificial.
Lo más sorprendente: asegura que coopera con las autoridades desde junio de 2025, lo que abre la posibilidad de operaciones encubiertas o acuerdos judiciales.
El caso Gainsight-Salesforce demuestra una tendencia que sigue creciendo:
Los atacantes ya no van tras ti directamente, sino tras tus proveedores.
Y si un proveedor cae, la brecha puede expandirse a:
Por eso, desde TecnetOne insistimos en que la ciberseguridad debe incluir estrategias de:
La cadena es tan fuerte como su eslabón más débil y ese eslabón puede ser un proveedor al que rara vez vigilas.