Chatterはチームの連携を劇的に加速させますが、それは同時にマルウェアやフィッシング詐欺が組織内を駆け巡る「高速道路」をも提供してしまいます。自動スキャン機能によるチェックが欠如していれば、悪意ある投稿は誰にも気づかれることなく、次の被害者を待ち続ける「見えない脅威」として環境内に永続化します。

• Chatterのメッセージには、悪意のあるファイルやフィッシングURLが含まれている場合があります。
• コンテンツは社内で信頼されがちであり、ユーザーの疑念をすり抜けてしまうことがあります。
• 侵害されたアカウントへのアクセス権を持つ攻撃者は、Chatterを悪用して横方向の移動を行ったり、極めて説得力のあるソーシャルエンジニアリングを仕掛けたりすることが可能です。

攻撃経路

社内ユーザー

悪意のあるファイルやリンクを含む投稿

御社の Salesforce 環境

攻撃シナリオ: Salesforce Chatterを介して拡散されるマルウェア

1.アカウント侵害

営業担当者がSalesforce外のフィッシングリンクをクリックし、知らず知らずのうちに攻撃者に認証情報を渡してしまう。

2. Chatterを経由した悪意あるコンテンツの共有

攻撃者がログインし、マルウェアが埋め込まれたファイルをチームのChatterグループに投稿する。

3. 他のユーザーがアクセス

同僚がそのファイルを信頼できる社内コンテンツだと誤解し、Salesforce環境から直接アクセスする。

4. 複数のデバイスが感染

マルウェアは、信頼された通信経路を悪用して、社内システム全体に気付かれずに拡散する。

5. 脅威検知の導入

WithSecure™ Cloud Protection for Salesforceを導入し、Chatterの投稿をリアルタイムでスキャンすることで、将来の脅威を阻止する。

外部システムと連携するカスタムAPIを通じて、悪意のあるファイルやリンクがSalesforceインスタンスに流入する可能性があります。こうした連携機能は、ユーザーの目から隠れてしまうことが多く、検知までの時間を延ばす要因となります。

• APIチャネルは、マルウェアや悪意のあるURLを送り込むために悪用される可能性があります。
• 連携機能に対して過剰な権限が付与されている場合があります。
• API経由でアップロードされたファイルは、ユーザーや管理者によって確認されることがほとんどなく、長期間にわたりSalesforce内に潜在的な脅威として残存する可能性があります。

攻撃経路

侵害された外部システム

API経由でのマルウェア等のアップロード

御社の Salesforce 環境

攻撃シナリオ: 侵害されたAPI連携によるマルウェアの注入：侵害されたAPI連携によるマルウェアの注入

1. パートナー企業のアプリが侵害を受ける

自社のSalesforce には、セキュリティ対策が十分でない外部パートナー企業が接続。あるパートナー企業が注文処理を自動化するためにAPI経由で自社開発のアプリを連携させていたが、そのアプリが攻撃者によって乗っ取られる。

2. APIを介してマルウェアが注入される

乗っ取られたアプリから、注文関連のファイル群がSalesforceへと送り込まれます。その中には、巧妙に悪意のあるプログラムが埋め込まれたファイルが混入。

3. 商談レコードを通じてファイルが拡散

自社の営業担当者は、そのファイルが危険なものとは知らずに「商談レコード」に添付します。そして、通常の営業プロセスとして、同僚や見込み客へそのファイルを共有・転送してしまいます。

4. 社内および顧客へ被害が拡大

複数の従業員や顧客がそのファイルを受け取って開封した結果、マルウェアが実行されてしまいます。これにより、気づかないうちに社内システムや個人のデバイスが次々と侵害されていきます。

5. 防御策の導入

このような事態を防ぐため、組織は「WithSecure™ Cloud Protection for Salesforce」を導入しました。これにより、APIを介して流入するすべてのコンテンツをリアルタイムでスキャンし、外部連携に潜む脅威を未然に阻止する体制を構築しました。

Email-to-Case streamlines ticket creation, but also opens the door to file-based attacks. Threat actors can submit a case with a malicious attachment that bypasses traditional email security, landing directly inside Salesforce. From there, the threat can spread across both internal and external users.

• File attachments enter Salesforce without inline scanning
• Malware can sit undetected in the case record until opened
• Endpoint protection may not recognize novel or embedded threats
• Email security will not detect threats that appear safe when uploaded, but turn malicious over time as the code morphs

Attack path

External user

Email-to-case

Malicious file attachment on email stored on the case

Human agent downloads

Attack scenario: Malware delivered via Email-to-Case

Fraudulent sent to support

An attacker emails the support address connected to Email-to-Case with a disguised Excel file attached.

File enters case record

Salesforce automatically converts the email into a new case, with the file uploaded to the record.

Agent opens attachment

A human support agent downloads and opens the file while triaging the case.

Malware executes

The file constains an infostealer malware that launches on the agent’s device.

Protections corrected

After the incident, WithSecure™ Cloud Protection for Salesforce is deployed to scan all files entering through Email-to-Case and other user flows in real time.

Web-to-Case forms allow customers to submit issues via browser, but attackers can inject malicious URLs that are stored in case descriptions or comments. These links may be clicked by agents or reused in outbound replies.

• Malicious URLs can be embedded in text fields
• AI or human agents may echo links in replies
• Threats can spread internally or to customers

Attack path

External user

Web-to-Case

Phishing URL embedded in a text field

Human agent clicks or shares

Threat spreads

Attack scenario: Phishing link embedded in support request

Web form abuse

An attacker fills out a support form with a fake complaint and embeds a phishing link in the message body.

Link lands in Salesforce

The form submission creates a new case; the URL is stored in the description.

Agent reads and clicks

A support agent sees the message and clicks the link, thinking it’s relevant to the issue.

Credential theft occurs

The agent is redirected to a spoofed login page and unknowingly enters their corporate credentials.

URL protection introduced

WithSecure™ Cloud Protection for Salesforce is configured to scan and block malicious links within case fields and notes both at the time of upload and retroactively when a user clicks links in Salesforce.

Experience Cloudポータルでは、顧客、パートナー、またはベンダーが、ケースの提出、フォームへの入力、共有レコードとのやり取りの際にファイルをアップロードできることがよくあります。保護対策を講じない場合、これらのアップロードがマルウェアの侵入経路となる可能性があります。

• コミュニティユーザーが、知らずに感染したファイルや改ざんされたファイルをアップロードする可能性があります
• 攻撃者が、Experience Cloudの機能を通じてマルウェアを仕込むために、意図的にファイルアップロード機能を利用する可能性があります
• コミュニティユーザーのアカウントが侵害され、攻撃者が信頼できるユーザーになりすます可能性があります
• Salesforceには、ファイルスキャンやフィッシング検知などの組み込みの脅威対策機能がありません
• 外部ソースからの非構造化データ（ファイルやURLなど）が社内に残存し、内部で再共有される可能性があります

攻撃経路

外部のコミュニティユーザー

Experience Cloud 経由のファイルアップロード

御社の Salesforce環境へ保存

内部ユーザーによるアクセス

マルウェアの実行

攻撃シナリオ: Experience Cloud ポータル経由でアップロードされたマルウェア

ポータルでの操作

攻撃者が顧客を装い、サポートポータルを使用して、ケースの一部として「発注書」のPDFをアップロードする。

ファイルの受入と保存

一見正当なファイルに見えるファイルが、ポータル経由でアップロードされ、Salesforceレコードに保存される。

内部アクセス

サポートチームの従業員がレコードにアクセスし、PDFをダウンロードします。

脅威の活性化

PDFにはマルウェアが埋め込まれており、ユーザーのエンドポイント上で実行されます。

保護対策の導入

WithSecure™ Cloud Protection for Salesforceを導入し、社内のユーザーが操作する前に、Experience Cloudへのすべてのファイルアップロードをリアルタイムでスキャンします。

Experience Cloudは、求職者が履歴書や各種書類を提出できる採用ポータルや人事ポータルの構築によく利用されています。攻撃者は、この信頼されているチャネルを悪用し、履歴書、カバーレター、証明書など一見無害に見える悪意のあるファイルや、プロフェッショナルポートフォリオやLinkedInプロフィールへのリンクのようなURLを送り込む可能性があります。

• 履歴書や関連書類、リンクは安全であると見なされ、業務プロセスの一環として精査されることなく開かれることがよくあります。
• 偽の応募者（またはサイバー犯罪者）は、悪意のあるファイルやURLを用いて特定の役職やチームを標的にすることができます。

攻撃経路

外部の応募者

Experience Cloud経由でアップロードされた履歴書

候補者レコードに保存されたファイル

人事担当者/採用担当者がファイルを開く

マルウェアが起動

攻撃シナリオ: HRポータル経由で送信された悪意のある履歴書

偽の履歴書の提出

攻撃者は、企業のExperience Cloudベースの採用ポータルを通じて、PDFのように見える履歴書ファイルを送信します。

ファイルが候補者レコードに保存される

ポータルは自動的にSalesforceに新しいレコードを作成し、アップロードされた履歴書を保存します。

採用担当者が履歴書を開く

人事チームのメンバーが応募書類を確認し、Salesforceのレコードから履歴書をダウンロードする。

マルウェアが実行される

それはPDF版の履歴書を装った偽装された実行可能ファイルで、採用担当者のPCに情報窃取型マルウェアやバックドアをインストールする。

ファイルスキャン機能の導入

同社は、WithSecure™ Cloud Protection for Salesforceを導入し、Experience Cloudへのすべてのアップロードファイルを内部ユーザーに届く前にスキャンするようにしました。これにより、ファイルが特定の形式（PDFなど）に見えても実際には別の形式（実行ファイルなど）であるというファイル形式の偽装攻撃も検出可能です。

多くのExperience Cloudの導入環境では、ユーザーがコメントを投稿したり、フォームを送信したり、メッセージを送信したりすることができます。こうしたテキストベースの入力内容にはフィッシングURLが含まれる可能性があり、社内のユーザーがクリックするか、送信メッセージ内で再利用されるまで、その状態が維持されることがあります。

• フォームフィールドやコメントボックスを通じて送信されたリンクは、確認されない可能性があります。
• 社内ユーザーが、疑いを持たずにこれらのリンクをクリックしたりコピーしたりする可能性があります。
• 遅延リスク：フィッシングリンクはレコード内に残存し、後で再活性化される可能性があります。

攻撃経路

外部ユーザー

フォームまたはメッセージ内のフィッシングリンク

御社の Salesforce環境へ保存

社内でクリックまたは再利用

攻撃シナリオ: コミュニティフォームに隠されたフィッシングリンク

メッセージの送信

攻撃者が Experience Cloud フォームを通じてサービスリクエストを送信し、説明欄に偽装されたフィッシングリンクを埋め込みます。

Salesforce 環境へのリンクの保存

リンクはレコードの一部として保存され、フォローアップのメモや社内での議論にコピーされる可能性があります。

後日リンクがクリックされる

その後、サポート担当者や営業担当者がケースを確認中にリンクをクリックします。

認証情報の盗難

ユーザーは、Salesforce または企業の認証情報を盗むために設計された偽のログインページにリダイレクトされます。

脅威の検出の実装

WithSecure™ Cloud Protection for Salesforce は、コミュニティユーザーからの URL をスキャンし、侵入時およびクリック時に悪意のあるリンクをブロックするように設定されています。