La rottura vera è nel confine di fiducia: basta compromettere il tenant Salesforce di un vendor per sottrarre PII operativa senza toccare il database centrale del prodotto. La risposta standard, centrata sul SIS, rischia quindi di mancare il punto debole reale: il livello commerciale e di supporto dove finiscono contatti, ruoli e ticket.
ShinyHunters dice di aver preso dati dall’istanza Salesforce di Infinite Campus a marzo. L’analisi di Have I Been Pwned parla di circa 137.100 account di personale scolastico esposti, con nomi, email, numeri di telefono, indirizzi, username, datori di lavoro e ticket di supporto; Infinite Campus afferma di non avere evidenza di compromissione dei database clienti e che i dati esposti erano soprattutto informazioni di directory.
Per i vendor EdTech e per chi archivia PII di dipendenti o clienti in Salesforce, il punto è che un attacco al CRM può bastare per ricostruire struttura interna, contatti e flussi di supporto anche quando il core product resta intatto.