「Salesforceがすべての悪意あるコンテンツから守ってくれる」—その誤解がリスクの始まりです
Salesforceは強力なビジネスアプリケーションプラットフォームであり、セキュリティ専用のソリューションではありません。 Email-to-Case、Experience Cloudポータル、Agentforceのワークフロー、Slack連携、Webフォーム、あるいはレコードへの添付ファイルなどを通じて組織内に流れ込むファイルやリンクには、マルウェアやフィッシングリンク、さらにはランサムウェアが潜んでいる可能性があります。
その結果生まれるのが、「偽りの安心感」です。これがリスクの高い行動につながり、ビジネスに最も不可欠なシステムのひとつにセキュリティの盲点を生み出してしまうのです。
適切な防御策を講じなければ、Salesforceに直接アップロードされた感染ファイルを通じて、データ侵害や組織全体のセキュリティ妥協（コンプライアンス違反）を招くリスクにさらされることになります。
あなたの責任（そしてリスク）が本当に始まる場所
自社がどれほどのリスクにさらされているかを理解するために、Salesforce側ではなく、企業自身がセキュリティ責任を負うべき3つの重要な領域を明確に定義しましょう。
1. Salesforce内部におけるマルウェアとファイルベースの脅威
Salesforceは「器」を提供します。しかし、その中に何を保存するかはユーザーの責任です。
Salesforceは、コンテンツ内にマルウェア、ウイルス、ランサムウェア、あるいはフィッシングリンクが含まれているかをネイティブにスキャンすることはありません。
潜むリスク：
顧客やパートナーが、以下のような経路でドキュメント、画像、リンクをアップロードした場合、それらは即座にSalesforce環境内に保存されます。
- Service Cloudのフォーム
- Experience Cloudポータル
- ケースの添付ファイル（Email-to-CaseやWebフォームを含む）
…それらのファイルやリンクは、すぐにSalesforce環境に保存されます。
専用のスキャンソリューションを導入していない場合、悪意あるファイルは気づかれないまま保存され、社内で共有され、最終的に従業員の端末（エンドポイント）へと行き着き、社内ネットワーク全体を危険にさらします。
エンドポイントのセキュリティ対策が反応する頃には、脅威はすでに企業の核心であるCRMの内部に入り込んでいるのです。
2. エンドポイント保護だけでは不十分：Salesforceという「盲点」
多くの組織は、エンドポイント保護（EPP）やEDR/XDRに大きく依存しており、それだけでSalesforceも「十分にカバーできている」と思い込んでいます。
これらのツールは不可欠ですが、あくまで最後の防衛線であり、最初の防衛線ではありません。ましてや、Salesforceのようなクラウドプラットフォームにおける「プライマリの制御策」としては適切ではありません。
端末側の検知だけに頼るということは、以下の事態を許していることを意味します。
- 悪意あるファイルがすでにCRM内に侵入している
- そのファイルがすでに閲覧、ダウンロード、あるいは社内で共有されている可能性がある
- 顧客データや商談データが保管されている業務最優先のシステム内に、脅威が保存されたままになっている
自問してみてください：
今日、最新のクラウドセキュリティやマルウェアスキャン機能が組み込まれていないメールソリューションを導入するでしょうか？
おそらく、絶対にしないはずです。
では、顧客データとサービス運用のエンジンであるSalesforceを、なぜ特別扱いするのでしょうか？
攻撃は、エンドポイントに到達する前、つまりプラットフォームの発生源で阻止する方が、はるかに安価で、簡単で、迅速です。
3. エンタープライズセキュリティ vs. 形だけの「チェックボックスの罠」
Salesforceのような重要システムにおけるセキュリティは、「チェックボックスに印を入れて終わり」にするような形式的な作業であってはなりません。
特に重要な環境や規制の厳しい業界において、基本的な一次元のスキャンだけに頼ることは、「最低限のコンプライアンス要件の達成」と「実際の防御」を混同した極めて危険な賭けです。
攻撃者はその隙を狙っています。彼らはすでに、以下のような従来の対策をすり抜けるよう設計された高度な技術を使用しています。
- 境界セキュリティ
- 単純な添付ファイルスキャナー
- パターンマッチング（シグネチャ）のみのアンチウイルスエンジン
当社の脅威インテリジェンスによると、現代の脅威の大部分（95%以上）は、単なるマルウェアファイルではなく、高度に検知を回避するよう設計されたURLベースの攻撃です。
これらの攻撃は、基本的なツールが残したまさにその「隙」を突いてきます。
- ファイル（PDFやOffice文書など）の内部に埋め込まれた悪意あるURL
- 真の移動先を隠蔽するQRコードや短縮リンク
- 複数の階層化されたペイロード（マルウェア本体）を含むアーカイブなどのネスト（入れ子）されたコンテンツ
このようなシナリオでは、ファイルのみ、あるいはシグネチャベースの防御ではまったく歯が立ちません。
簡易的なスキャナーは「安心感という錯覚」を生むだけで、最も洗練された脅威を野放しにします。結果として、調査、意思決定、コンプライアンス対応の負担は依然として社内チームに降りかかり、追いつくためにはエンタープライズクラスのツールとインテリジェンスが必要になります。
なぜ2025年が警鐘となったのか（そして2026年がもたらすもの）
2025年に発生したSalesforce関連のセキュリティインシデントは、Salesforceプラットフォーム自体の欠陥によるものではありませんでした。
それらはすべて、顧客側が自らの責任範囲にあるセキュリティの隙間を埋めていなかったことが原因でした。そして現在、このリスクはかつてないほど浮き彫りになっています。
業界のデータによると、2025年に最も標的とされ、データ侵害が発生したSaaSプラットフォームはSalesforceが突出して最多であり、企業自身が管理すべきセキュリティ責任の重大性を物語っています。
2026年を迎えた現在、以下のような傾向がさらに強まると予測されます。
- CRMに流入するファイルやコンテンツタイプのさらなる複雑化
- 高度化するURLベースの攻撃およびアイデンティティ（ID）主導型の攻撃
- Salesforceのような「高価値・高信頼」システムへの継続的な標的化
手動でのチェック、スポット監査、あるいはSalesforceの内部を見ることができない境界防御に頼る手法は、もはや通用しません。特に、以下のような業界においてはデータ損失は死活問題です。
- 金融
- 製造業
- 公共部門
- その他、データ損失が一切許されない高度に規制された業界
セキュリティの隙間を埋める：WithSecure™ Cloud Protection for Salesforce
ファイルやURLのマルウェアスキャンが自社の責任であるならば、つぎはぎの手動制御ではなく、専用かつ統合された、業務を妨げないソリューションが必要です。
そこで力を発揮するのが、WithSecure™ Cloud Protection for Salesforceです。本ソリューションは、最もリスクの高い環境である「Service Cloud」および「Experience Cloud」のセキュリティギャップを埋めるために専用設計されています。
Salesforceのために構築された専用設計（後付けではない一体型アーキテクチャ）
1. 数々の受賞歴を誇るAI駆動型のマルウェア検知
リアルタイムに進化して未知の脅威を阻止する分析プラットフォーム「WithSecure™ Security Cloud」を基盤に構築されています。
2. 外部ポータル不要のSalesforceネイティブアーキテクチャ
AppExchangeから入手可能で、外部ポータルを必要とせず数分でデプロイできます。すべてのSalesforce機能に自動的に統合されます。
3. リアルタイムの脅威緩和
すべてのファイル、URL、アイデンティティベースの脅威は、WithSecureのクラウドセキュリティプラットフォームによって分析され、エンドポイントやユーザーに到達する前に、Salesforce内部で自動的に処理されます。
4. Fortune 500企業や政府機関による信頼の実績
あらゆる業界の最も要求の厳しい環境向けに構築された、エンタープライズグレードのソリューションです。
次にとるべきステップ
インシデントが発生してから、自社の責任範囲がどこにあるかに気づくのでは遅すぎます。
外部ソースからSalesforceにファイルやURLが流れ込んでくる環境であれば、事後調査に追われる前に、今すぐマルウェアおよびコンテンツ保護対策が必要です。
お客様の状況に合わせて、最適なステップをお選びください。
コンテンツリスク診断 (無料)
貴組織における具体的なSalesforceセキュリティリスクを詳細に記載した、パーソナライズされたレポートを即座に作成します。
手遅れになる前に、今すぐSalesforceの保護を始めましょう。
現在のリスク状況を当社エキスパートと一緒に確認しましょう。
Cloud Protection for Salesforceは数分で導入でき、CRMに流入するすべてのファイルとURLのスキャンを即座に開始できます。