Une vague d’emails frauduleux cible actuellement les administrateurs Salesforce en prétendant que leurs connexions SOAP API ne sont plus supportées. Ces messages exigent une mise à jour urgente via un lien suspect, exploitant la peur d’une rupture de service pour dérober des identifiants.

Le mécanisme d’une arnaque technique crédible

Depuis plusieurs mois, des dizaines d’administrateurs IT et de responsables CRM reçoivent des courriels au sujet alarmant : « ACTION REQUIRED: Update Unsupported Platform SOAP API login() ». Le corps du message explique que la version actuelle de l’API utilisée par l’organisation est obsolète et qu’une action immédiate est nécessaire pour éviter un blocage complet des accès.

Cette campagne de phishing Salesforce SOAP API repose sur une ingénierie sociale sophistiquée. Elle ne joue pas sur l’urgence financière classique (facture impayée), mais sur la peur technique. Pour un DSI ou un administrateur système, l’idée qu’une interface critique cesse de fonctionner du jour au lendemain est un cauchemar professionnel. Cette pression psychologique contourne la vigilance habituelle face aux emails non sollicités.

Les attaquants savent que le vocabulaire technique intime souvent le respect et décourage la vérification immédiate. En utilisant des termes comme « Winter ’27 », « INSUFFICIENT_ACCESS » ou « Use Any API Auth user permission », ils donnent au message une apparence de légitimité technique difficile à contester rapidement pour un profil métier moins aguerri aux détails de l’infrastructure.

Distinguer le faux du vrai : les incohérences révélées

Pourquoi ces emails sont-ils des leurres ? La première preuve réside dans le décalage temporel. Les messages font référence à des changements prévus pour des versions futures de la plateforme (comme Summer ’27 ou Winter ’27), tout en exigeant une action immédiate. Or, les cycles de déploiement de Salesforce sont publics, transparents et planifiés mois à l’avance.

Une vérification rapide sur les canaux officiels montre que ces demandes de mise à jour urgentes ne correspondent pas aux procédures standard. Comme indiqué dans la documentation officielle des releases, aucune migration massive et soudaine des authentifications SOAP n’est imposée sans une longue période de préavis et sans passer par le Trust Site ou la console d’administration.

Un autre signe qui ne trompe pas : le lien fourni dans l’email. Il pointe rarement vers le domaine exact de votre instance Salesforce (comme my.salesforce.com) ou vers un sous-domaine verified.force.com. Souvent, il redirige vers une page de connexion générique hébergée sur un serveur tiers, dont l’URL contient des variations subtiles (fautes de frappe, domaines en .info ou .net au lieu de .com).

La méthode de vérification sécurisée

Face à ce type d’alerte, la règle d’or de la cybersécurité s’applique : ne jamais cliquer. La recommandation principale des experts, relayée par des organismes comme l’ANSSI via Cyber.gouv.fr, est de toujours vérifier l’expéditeur réel et de passer par les canaux internes officiels pour toute mise à jour.

• Vérifiez les headers de l’email : Regardez l’adresse d’expédition complète, pas seulement le nom affiché. Les communications officielles proviennent toujours de domaines @salesforce.com ou @force.com vérifiés.
• Consultez le Trust Site : Rendez-vous directement sur trust.salesforce.com pour voir s’il existe des maintenances ou des alertes de sécurité actives concernant les API.
• Connectez-vous via votre bookmark : N’utilisez jamais le lien de l’email. Ouvrez votre navigateur, tapez l’URL de votre instance ou utilisez vos favoris sécurisés, puis naviguez vers la section Setup > Security Controls pour vérifier l’état des API.

Cette approche « zero trust » vis-à-vis des liens entrants permet de neutraliser la plupart des tentatives d’hameçonnage ciblé (spear phishing) qui visent spécifiquement les comptes à privilèges élevés comme les administrateurs CRM.

La complexité réelle des migrations SOAP vers OAuth

Au-delà de l’arnaque, ces emails prospèrent parce qu’ils touchent une vraie douleur des entreprises : la complexité des migrations techniques. Beaucoup d’organisations utilisent encore le protocole SOAP pour des intégrations historiques, notamment avec des outils comme Microsoft Entra pour le provisionnement des utilisateurs ou des connecteurs legacy.

Comme le rapportent plusieurs administrateurs sur les forums spécialisés, la transition vers OAuth ou SCIM n’est pas toujours triviale. Certains packages installés ou des outils en ligne de commande continuent de dépendre de connexions SOAP anciennes. Cette zone grise technique crée un terrain fertile pour les escrocs qui promettent une « solution miracle » en un clic.

Il est crucial de comprendre que Salesforce ne désactive pas les anciennes versions d’API du jour au lendemain sans offrir des chemins de migration clairs. Si vous recevez une alerte technique, elle doit être traitée comme un ticket de support interne, pas comme une injonction externe. Prenez le temps d’auditer vos connexions API via les logs de connexion de votre organisation plutôt que de réagir à la panique d’un email.

Recommandations pour éviter les faux emails de mise à jour Salesforce

Nous pensons que la responsabilité de la sécurité repose autant sur l’éditeur que sur l’utilisateur. Si Salesforce communique mieux sur les échéances techniques réelles via des tableaux de bord in-app plutôt que par email, l’impact de ces campagnes de phishing diminuera drastiquement. En attendant, notre conseil est strict : formez vos équipes à reconnaître les signes d’une fausse urgence technique. Un administrateur pressé est une porte ouverte aux pirates. Vérifiez systématiquement l’origine de l’information avant d’agir, car la sécurité de vos données clients en dépend.