通常のアップロード。そして、忍び寄るデータ侵害
すべては、日常的な業務から始まります。
顧客がPDFをアップロード。
パートナーがケースのコメントにリンクを追加。
外部契約業者が、他のサービスで使い回している認証情報でログイン。
一見すると何の変哲もない光景です。しかしその数分後、承認されたアプリを介して、API経由でデータが外部へと動き始めます。
これが、現代のSalesforceにおけるデータ侵害の始まりです。
攻撃者は、システムを強引にこじ開けて侵入するのではありません。ポータル、Webフォーム、信頼された連携システムなど、「すでに開かれている入口」をそのまま利用するのです。彼らはQRコードの背後にリンクを隠し、本物そっくりの類似ドメインを登録し、誰も不審に思わない「正規のアカウント」を乗っ取って行動します。
Salesforceは「繋がり」のために構築されています。そこは顧客データが保管され、取引が成立し、自動化によってビジネスが稼働する場所です。
しかし、その優れたオープン性こそが、攻撃者にとって格好の標的となる理由でもあります。
Salesforceの防御は、最初のアップロードの瞬間から、プラットフォーム内の「すべての動き」を可視化することから始まります。
Salesforceの内部で多層的な攻撃が展開される仕組み
攻撃者は単発のアクションではなく、一連の「連続した手順」に沿って行動します。
それぞれのステップが次のステップの布石となり、最終的なゴール（永続的なアクセスの確保、データの窃取、あるいは身代金要求の足がかり）へと一歩ずつ近づいていきます。
セキュリティチームはこれを、攻撃者が最初の侵入から目的を果たすまでのプロセスを示す「アタックキルチェーン」と呼びます。
彼らは最初から必ずしもマルウェア付きのファイルを送り込んでくるわけではありません。多くの場合、まずは侵入経路（Webフォーム、Experience Cloudポータル、メール-to-ケースの受信トレイ、あるいはユーザーになりすまして正規アクセスを得るための窃取された認証情報など）を探すことから始めます。この侵入が1つでも成功すると、キルチェーンが動き出します。
ここからは、Salesforceの内部でこれらの攻撃チェーンがどのように形成され、そしてリアルタイムの検知によって被害が出る前にいかにしてそれらを遮断できるかを見ていきましょう。
侵入が「正規のアクセス」に見えるとき
それは、Experience Cloudポータルへの提案書（RFP）のアップロード、メール-to-ケースへの請求書の添付、あるいはWeb-to-リードを介して送信されるドキュメントといった、ごく日常的なアップロードから始まります。
そのPDFの中にはQRコードが埋め込まれています。そのQRコードには短縮リンクが含まれており、スキャンするとモバイルブラウザが起動し、新規に登録された不審なドメイン上にホストされているログインフォームへとリダイレクトされます。
図1： 回避型の攻撃戦術は、何重ものレイヤーに身を隠します。
Salesforceはデフォルトでこのファイルをそのまま保存します。プラットフォーム自体は、埋め込まれたすべてのQRコードを検査したり、転送先のURLをデコードしたりはしないため、ここにギャップが生じます。多忙なサポート担当者が、利便性のためにスマートフォンでそのQRコードをスキャンしてサインインしてしまうと、攻撃者は自身のサーバーでその認証情報をあっさりと奪取します。その後、攻撃者はこれらの情報を使ってログインしたり、接続アプリを作成したりします。
日常的な業務アクティビティが、一瞬にして「認証情報の収集イベント」へと変貌を遂げてしまうのです。
図2： Salesforceのインスタンスを標的にした認証情報窃取キャンペーンで使用された、偽のMicrosoftログインページ。デザインは本物のサービスとほぼ同一ですが、ドメインは新規に登録されたものです。
「レイヤー」の影にさらなるレイヤーが隠されているとき
パートナーを装ったユーザーが、Experience Cloud内のケースコメントに短縮リンクを投稿します。
一見すると、共有ドキュメントやステータスページへの無害なリンクのように見えます。
しかし実際には、その短縮リンクはリダイレクターへと展開され、最終的にSalesforce自身のログインページを模倣したフィッシングサイトへとユーザーを誘導します。
このリンクは完全にSalesforceのデータ内部に存在しているため、外部のメールフィルターをすり抜けます。アラートは一切鳴りません。クリックされた瞬間、リンクは「bit.ly → リダイレクター → 偽ドメイン」へと瞬時に展開され、コンテキストが1レイヤーずつ剥ぎ取られていきます。
ユーザーが認証情報を入力してしまう頃には、攻撃者はすでにセッションを掌握しており、アクセスを「永続化」するための次のステップへと進んでいます。
アクセスが「永続化」に変わるとき
初期侵入に成功した後、攻撃者はアクセスの永続化を試みます。その一般的なパターンを分解してみましょう。
パターン1： 盗んだ認証情報でログインし、接続アプリを承認してリフレッシュトークンを取得することで、長期的なアクセス権を確立する。
パターン2： 侵害したアカウントを直接使用し、APIコール、データエクスポート、スケジュールジョブなどの実行を通じて、通常のユーザーアクティビティを装って行動する。
どちらのアプローチも、攻撃者が「静かに、かつゆっくりと」動くことを可能にします。そこには従来のマルウェアは存在せず、一般的なセキュリティツールが検知できるような異常も発生しないため、すべての行為が正規の信頼されたプロセスとして実行されてしまいます。
2025年に発生したあるキャンペーンでは、攻撃者がSalesforceのサポートになりすまし、クローンされたMFAページを使用してユーザー名、パスワード、およびMFAコードを詐取しました。攻撃者はこれらの認証情報を転送してログインを完了させ、セッション（OAuth）トークンを生成しようとしました。このインシデントにおいて、WithSecure Cloud Protection for SalesforceはフィッシングURLを検出し、ポータル内でページを事前にブロックしたため、大規模なデータ抽出に悪用される前にトークンの発行を阻止することができました。
図3： Salesforceを騙るキャンペーンで使用されたフィッシングリンク。誘導先のクローンされたログインおよびMFAページには、わずかですが決定的な「スペルミス」が含まれており、これが偽ポータルを見分けるための微細な手がかりとなります。
データの持ち出しが「通常業務」に見えるとき
最終段階における攻撃者の目的はシンプルです。Salesforceからデータを外へ持ち出すことです。
攻撃者は、レポートのエクスポート、データローダーのジョブ、あるいは接続アプリを介したAPI同期など、「誰もが普段から使っている機能」をそのまま悪用してこれを実行します。これらの操作はすべて標準的なビジネス活動に見えるため、アラートが作動することはありません。
近年発生した複数のランサムウェア・恐喝事件において、攻撃者は顧客データを含むSalesforceのレコードを窃取し、それを企業への脅迫（身代金要求）の材料として利用しました。被害企業が支払いを拒否した場合、そのデータはリークサイトに公開されます。攻撃者がSalesforceのデータにたどり着いた時点で、すでに彼らが絶対的に有利な立場（交渉のカード）を握っているのです。
防御側にとって、これには2つの重大なリスクが伴います。システムがロックダウンされた場合の「業務停止」と、顧客データが公開された場合の「企業のレピュテーションへの壊滅的な打撃」です。何が起きたのかを正確に示す可視性がなければ、これらの被害から回復することは極めて困難です。
Salesforceのインシデント対応チームは、ある厳しい現実に直面しています。Salesforceの内部には限られたログ情報しか存在せず、従来のデジタルフォレンジックツールは、このプラットフォーム専用に設計されているわけではないという事実です。
現場からのシグナル — 2025
WithSecureのテレメトリデータによると、2024年後半から2025年初頭にかけて、スキャンされたファイル100万件あたりの脅威検出数は20倍に急増しました。さらに、ファイルベースの脅威検出のうち27%が「QRコードが埋め込まれた画像ファイル（Quishing / クイッシング）」でした。これらの脅威テレメトリに基づくと、単一のSalesforce組織（org）内には平均900件の悪意のあるURLが存在していることになります。
攻撃者は、従来のセキュリティツールが滅多に検査しない場所に悪意を隠すため、高度にレイヤー化された戦術を展開しています。QRコードの陰にリンクを隠し、ブロックされたドメインの代わりに新しいドメインを次々と登録し、信頼されたSaaSツールを配信チャネルとして悪用しています。
トラブルの最初の兆候は、多くの場合、Salesforce内での何気ない日常のやり取りの中に隠されています。
内部からアタックキルチェーンを断ち切る
レイヤー化された攻撃を阻止するには、検知側も全く同じ「レイヤー」に目を向ける必要があります。
だからこそ、WithSecure Cloud Protection for Salesforceは、SalesforceのネイティブアプリとしてSalesforceプラットフォームの内部で直接動作し、すべてのファイルとリンクをリアルタイムで検査します。
ゼロデイマルウェア、偽装されたQRコード攻撃（Quishing）、そしてユーザーの認証情報漏洩が深刻な脅威に発展する前に、Salesforce環境の内部で直接検知します。また、従来のセキュリティツールでは死角となりがちだった「Salesforceコミュニティユーザー（外部ユーザー）」の認証情報リスクも継続的に監視します。
以下は、Salesforce内部でアタック・キルチェーンの進行を断ち切る仕組みです。
侵入時のファイルをキャッチする
すべてのファイルのアップロードおよびダウンロードは、リアルタイムでスキャン・分析されます。
一般的なファイル形式はすべて展開され、マルウェアやランサムウェアなどの隠された悪意のあるスクリプト、あるいはファイル内に埋め込まれたURLがないか検査されます。暗号化されたファイルや、パスワードで保護されたアーカイブファイルはブロックされます。もしリンク先が新規ドメインやリスクの高いドメインを指している場合は、誰かがクリックする前に遮断されます。
さらに、「挙動分析」がより深く解析を行います。ファイル名や拡張子といった「見かけ」ではなく、そのファイルが「何をしようとしているか」という動作そのものを監視します。
画像ファイルとしてあり得ない不審な動きをしていないか？
暗号化やスクリプトの実行を試みていないか？
これらの不審な挙動を検知した瞬間、システムは即座にブロックを実行し、管理者へアラートを通知します。
隠されたフィッシングリンクを暴く
本ソリューションは、レコード、コメント、アップロードされたファイルなど、Salesforce内のオープンなテキストフィールドに存在するリンクも漏れなく検査します。
リンクやQRコードは、そのドメインの評価や登録からの経過日数を含め、徹底的にデコードされて分析されます。
「URL 保護」は、「コンテンツが投稿された瞬間」と「ユーザーがそれをクリックした瞬間」の2回、スキャンを実行します。この解析プロセスは、Agentforceのアクションによってもトリガーされます。
これと同じメカニズムが、ユーザーがファイルをダウンロードする際にも再スキャンを行うため、ファイルが保存された後に新たなシグネチャが追加された場合でも確実に検知できます。
この「ダブルチェック」の仕組みが、標的型フィッシングでよく使われる「時間差で有効化される（タイムバム型）脅威」を確実に捉えます。
図4： WithSecure Cloud Protection for Salesforceは、投稿時とクリック時の双方でフィッシングリンクなどの悪意あるURLを検出し、回避型の脅威を無効化します。
侵害されたユーザーアイデンティティを封じ込める
WithSecure Cloud Protection for Salesforceの「Identity 保護」機能は、社内ユーザーおよびコミュニティ（外部）ユーザーのアカウントを対象に、サードパーティのデータ侵害によって認証情報が漏洩していないかを継続的に監視します。
暗号化されたメールアドレスを、検証済みのデータ侵害フィード（情報漏洩リスト）と照合し、侵害が確認されたユーザーにSalesforce内で直接フラグを立てて通知します。これにより、管理者は攻撃者がその資格情報を悪用する前に、セッションを強制終了してパスワードリセットを実行することができます。
これにより、認証情報の窃取が長期的な不正アクセスへと発展するのを防ぐとともに、規制当局から対応の証明を求められた際に、セキュリティチームは確実な「対応の軌跡（証跡）」を提出することができます。
この機能は、公開データおよびダークウェブの侵害インテリジェンスの双方を活用しており、一般的なオープンソースツールよりも最大6ヶ月早く、侵害された認証情報を検出します。
調査と対応のための「可視性」
すべての検知、すべてのレスポンス、すべてのインタラクションがログとして記録されます。
管理者はこれらをSalesforceの標準レポートやダッシュボードで確認できるほか、集中管理・分析のためにSIEMへとエクスポートすることも可能です。
監査証跡は24ヶ月間保持されるため、セキュリティチームとコンプライアンスチームの双方に完全な可視性を提供します。
この可視性により、インシデント対応チームは「脅威がどこから侵入し、何に触れ、どこまで拡散したか」を正確に追跡できます。従来のSalesforce環境ではこうした証跡が不足していることが多く、これを提供することで、迅速な封じ込めを可能にし、法執行機関との連携をサポートし、フォレンジックチームに憶測ではなく「コンテキスト」をもたらします。
多くの組織にとって、このレベルの確実な証跡があるかどうかが、「数日〜数週間にわたる不透明な状況」と「数時間での封じ込め」の明暗を分ける決定打となります。Salesforceの内部に完全な監査証跡を保持していることは、潜在的なコンプライアンスの危機を、適切に文書化された「ベストプラクティス対応の実例」へと昇華させます。
可視性は、強力な予防を可能にし、確実なレスポンスを実現するための基盤です。
なぜ「多層的な検知」が不可欠なのか
攻撃者は、自らの意図を隠し通すために手法を何重にもレイヤー化します。
キルチェーンの各リンクは、その手前のステップを巧みに隠蔽します。「ドキュメント（時には拡張子すら偽装されたもの）の中にQRコードがあり、そのQRコードの背後に短縮リンクがあり、その短縮リンクの先にフィッシングサイトがある…」といった具合です。このようにレイヤーを重ねることで、防御側や表面的な検知ツールが頼りにしている「文脈（コンテキスト）」が少しずつ削ぎ落とされていきます。
シグネチャによるスキャンは既知のパターンにしか一致しませんが、回避型の攻撃チェーンはパターンを次々と変化させます。
プラットフォームの内部で行われる「多層的な検知」こそが、これらの点を線で結びます。
ファイル解析が、武器化されたコンテンツを検出する。
URLおよびQRコード検査が、悪意のあるリダイレクトやフィッシングドメインを暴く。
アイデンティティ保護が、有効な認証情報がすでに漏洩している事実を明らかにする。
従来型の表面的なセキュリティツールは、最初の異常にフラグを立てた後、その先で何が起きているかを見失ってしまいます。これに対し、Salesforceの内部で動作する多層的な防御は、そのキルチェーンの軌跡を最後まで追跡し続けることができるのです。
なぜ、今これが必要なのか
Salesforceは、エンタープライズのシステムスタックの中で、最も標的とされるビジネスプラットフォームの一つとなっています。
攻撃者は、そこに含まれるデータが極めて豊富であること、アクセス権限の設定が複雑であること、そして人間のミスが避けられないことを知っています。
コンテンツに起因する脅威の検知数は、この1年で20倍に増加しました。ファイルベースのマルウェアからQRコードを用いたフィッシングまで、これらの脅威は、一般的なセキュリティ製品からは見えない「SaaS環境の内部アクティビティ」を巧みに突いてきます。
Salesforceのような複雑なプラットフォームにおいては、侵害の発生に天才的なハッキングスキルは必要ありません。攻撃者が待ち構えているのは、「パスワードの使い回し」「過剰なアクセス権限」「人為的ミス」「見落とされたアラート」といった、日常のささいな隙なのです。
今日の脅威からSalesforceを保護するとは、プラットフォームの複雑さを排除することではなく、その暗部に光を当てて「可視化」することにほかなりません。
どれほど優れた防御壁を築いても、「完璧なセキュリティ」を約束することはできません。近年発生した攻撃の中には、100万ドルのセキュリティスタックを導入していながら、たった1本のなりすまし電話と偽アプリによって侵入を許してしまったケースもあります。だからこそ、データ侵害が発生した際に最も重要となるのは、「いかに早く事態を把握し、封じ込め、被害を最小限に抑え、そして何が起きたのかを証明できるか」という能力なのです。