フィッシング対策の意識向上トレーニングは大きな進歩を遂げており、多くのセキュリティ担当者がその重要性に同意しています。しかし、ここで一歩踏み込んだ、厳しい質問をさせてください。
貴社のフィッシング訓練は、今日のリアルな脅威を反映していますか？ それとも、ただの『受信トレイ』対策にとどまっていますか？
現実を直視しましょう。これまでのセキュリティトレーニングの成果により、ユーザーは不審なメールに対して高い警戒心を持つようになりました。これは素晴らしい成果です。しかし、攻撃者もまた、メールだけに留まってはいません。今日のフィッシングは、AI、巧妙な偽装レイヤー、そしてQRコード、コールバック詐欺（電話誘導型詐欺）、信頼されたファイル内に埋め込まれた脅威といった配信トリックを駆使する、いわば「イノベーションのエンジン」と化しています。
現在、攻撃者はSalesforceのようなプラットフォームへと活動の場を移しています。そこでは、不審な挙動のシグナルがメールとは異なり、プラットフォームに組み込まれたネイティブの防御機能にも限界があるからです。
そして、まさにその場所で、これまでの対策が決壊することになります。
十分なトレーニングを受けたユーザーであってもミスは防げない（特にメール以外の場所で）
Salesforce環境において、フィッシングリンクは共有ファイル、QRコード、サポートポータルのメッセージ、さらには自律型AI（Agentforceなど）のワークフロー内にすら潜むことができます。ユーザーは、まったく予想もしない場所や、企業のセキュリティ統制が及びにくいモバイルデバイス（スマートフォンなど）でこれらの脅威に遭遇します。
さらに、攻撃者はこれらの脅威を「無害」に見せる術を熟知しています。フィッシングリンクがごくありふれたPDFファイルの中に埋め込まれているため、一見しただけでは見分けるのが非常に困難です。ユーザーにとって、これらのファイルは日常業務で扱うありふれたファイルに過ぎませんが、攻撃者にとっては完璧な配信手段となります。
これに加え、多くのユーザーは日々の業務プレッシャーに晒されています。ワークフローを行き来し、顧客に対応し、迅速な意思決定を迫られる毎日です。注意散漫、焦り、マルチタスクは、特殊な例外ではなく「日常の常態」です。そのため、どれほど訓練されたユーザーであっても、つい手元が滑ってしまうのです。
ユーザーを責めるのではなく、ユーザーを「保護」する
ユーザーがSalesforce内でフィッシングリンクをクリックしてしまったとき、「人為的ミス」を原因にするのは簡単です。しかし、より本質的な問いは、「テクノロジーによって、それを未然に防ぐことはできなかったのか？」ということです。
実のところ、フィッシング訓練だけでセキュリティの重荷をすべて背負いきれるわけがありません。私たちは、ユーザーがマルウェアのアナリストになることを期待していません。それなのに、なぜ彼らにフィッシングの捜査官になることを求めるのでしょうか？
ユーザーを非難するのではなく、彼らが気付けない脅威を検知するテクノロジーで背中を支えてあげる必要があります。そこで役立つのが、WithSecure Cloud Protection for Salesforceのようなソリューションです。アップロードやインタラクション（操作）の瞬間に、ファイル、リンク、QRコードをスキャンし、ユーザーがアクションを起こす前に脅威を阻止します。言うまでもなく、予防は事後対応よりも常に低コストで済みます。
新しい脅威には、新しい防御が必要
攻撃者は急速に進化しており、攻撃の参入障壁はかつてないほど下がっています。今日、私たちは以下のような脅威を目にしています。
- AIを駆使したフィッシングキャンペーン： 洗練され、ブランドロゴが忠実に再現され、極めて自然な表現で書かれたテキスト
- サービスとしてのフィッシング（PaaS）： メールテンプレートや偽のログインページから、リアルタイムの認証情報窃取に至るまで、エンドツーエンドの攻撃インフラを丸ごと提供するキット
これらのキャンペーンを実行するのに、天才的なハッカーである必要はありません。攻撃はスケールしやすく、説得力があり、極めて効果的です。そして、コラボレーション、自動化、そして「信頼」が融合したSalesforceのようなプラットフォームは、彼らにとって魅力的な標的となっています。
Salesforceプラットフォームは、すでに攻撃の対象となっています。多くの企業が、Salesforceのチャネルを通じてフィッシング、マルウェア、あるいはソーシャルエンジニアリングの脅威が侵入するのを経験しています。この事実は、Salesforce公式も認めているところです。
MFA（多要素認証）ですら限界があります。攻撃者はすでにMFAをバイパスする多くの手法を見出しています。すべてのMFAがフィッシング耐性を備えているわけではなく、すべての実装が強固であるとは限りません。だからこそ、多層防御は「ユーザーが実際に業務を行う場所」に適用される必要があるのです。
フィッシングは急速に進化する一大産業である
フィッシングは、実行がより容易になり、検知はより困難になっています。
AIが作成した誘導テキスト、偽のブランディング、そしてサービスとして販売されるフィッシングキットにより、スキルの低い攻撃者であっても、数分のうちに説得力のある巧妙な標的型キャンペーンを展開できます。
そして今、その標的はSalesforceのようなビジネスに不可欠なプラットフォームへと移行しています。そこには「信頼関係」があり、また「まさかここが狙われるはずがない」という不意打ちの要素があるため、ユーザーはさらに脆弱になります。
自律型AIのユースケースはリスクをさらに増幅させ、脅威がマシンスピードで拡散する可能性を秘めています。
なぜ従来のツールでは対応できないのか
エンドポイント保護は不可欠ですが、それだけでは十分ではありません。
Salesforceはクラウドファーストのプラットフォームです。ファイルやリンクは、チャット、メール、フォーム、API、コミュニティポータル、あるいはユーザーによる直接のアップロードを介して侵入するため、保護された端末に一切触れることなくSalesforce内に格納されることがよくあります。そして、Salesforce自体はコンテンツの脅威スキャンをネイティブでは行いません。
もしEPPだけに依存している場合、以下の大きなリスクを見落とすことになります。
- アップロード時に検査が行われない： ファイルやリンクは、一見無害な状態でSalesforceのレコードや添付ファイルとして保管され続けます。
- リアルタイムでのスキャンが行われない： 誰かがクリックしたり、共有したり、自動化処理によって実行された瞬間に脅威が有効化します。
- 可視性が欠如する： 被害が発生するまで、自社環境内でどのような脅威が拡散しているかを把握できません。
メールのセキュリティをEPPだけに頼ることはしないはずです。では、なぜSalesforceを特別扱いするのでしょうか？
受信トレイを専用のメールセキュリティで保護するのと同様に、Salesforceに対しても、同等の多層防御を拡張する必要があります。
ユーザー（そして企業のレピュテーション）を守ることの価値
セキュリティの役割は、単にミスを捕まえることだけではありません。人間の不確実な行動と、ビジネス上のリスクとの間に「緩衝材」を作り出すことであるべきです。
WithSecure Cloud Protection for Salesforceは、まさにその緩衝材として機能します。フィッシングリンク、マルウェア、悪意のあるQRコードなどの脅威が環境に入り込んだ瞬間に検知します。Salesforceにネイティブに統合されているため、ユーザーはこれまでの働き方を変えることなく、常に保護された状態を維持できます。
これは、複雑さを増すことなく、既存のセキュリティ投資の効果を最大化するための賢明なアプローチです。そして、顧客、パートナー、あるいはAIワークフローへ脅威が拡散するのを未然に防ぐのに役立ちます。
ビジネスにとっても、キャリアにとっても、最も賢明な選択
Salesforceのセキュリティ強化に対して自ら主導権を握ることは、攻撃者、経営陣、そして同僚に向けて明確なメッセージを送ることになります。
それこそが、「プロアクティブなセキュリティ」です。
これはビジネスにとって賢明であるだけでなく、組織におけるあなたの役割の成熟度と先見性をアピールすることにも繋がります。あなたがセキュリティ、Salesforce/CRMチーム、IT、運用のどの部門に属していようとも、最も保護が必要な場所で防御策を率先して提唱する存在になることは、真のリーダーシップの証明です。そしてその行動は、必ず評価されます。
次に取るべきステップ
- フィッシング訓練は今後も継続してください。それは極めて重要です。
- ただし、人為的ミスは常に発生するため、訓練だけに依存しないでください。
- 対策が抜け落ちている場所、すなわちSalesforceの内部にフィッシング保護を追加してください。
- Salesforceを「クラウド上のエンドポイント」として扱い、メールと同じように保護を徹底してください。
- お互いを責め立てる文化を避け、プロアクティブなセキュリティ文化を推進してください。
ユーザーがすべての脅威に怯えることなく、本来の業務に集中できる環境を整えてください。
トレーニングだけでは守りきれない領域で、Salesforceユーザーを保護しましょう。
WithSecure Cloud Protection for Salesforceで、電子メールの先にある領域へと保護を拡張してください。信頼されたワークフローの内部で、リンク、ファイル、QRコード、そしてアイデンティティのリスクをリアルタイムにスキャンします。