Salesforceを標的にした攻撃が急増しています。現在、このプラットフォームはサイバー犯罪者にとって絶好のターゲットとなっており、すでに大企業を中心とする約40社のSalesforce利用企業が、サイバー犯罪グループによる不正アクセスの被害に遭っています。Salesforceは、外部システムとの接続性が極めて高いこと、そして大量の機密個人情報やビジネス上の重要データが保管されていることから、攻撃者にとって非常に魅力的な標的なのです。
業のSalesforce環境がサイバー攻撃の直接的な標的となる中、十分なリソースを持つ超大企業でさえも、その備えができていないのが現状です。
「機密データを保持・処理する組織のSaaSサービスを標的にすることは、ランサムウェア実行犯の間で極めて一般的なTTP（戦術・技術・手順）となっています。ネットワーク全体を完全に侵害するために多大な時間と費用をかけずとも、機密データの窃盗に基づく恐喝活動だけで十分に目的を達成（成功）できることが明らかになったからです。これにより、攻撃者は効率的かつスケーラブルに、多くの組織をターゲットにできるようになりました」と、WithSecureの脅威インテリジェンス担当ディレクターであるTim West (ティム・ウェスト）は説明します。「Salesforceが持つビジネス上の価値、そして内部に保管されている機密データの量は、金銭目的の攻撃者にとって、これ以上ないほど魅力的な標的なのです」
Salesforceへの攻撃が引き起こしたデータ流出の実態
Salesforce利用企業を標的にした一連のサイバー攻撃の成功を受け、2025年9月12日、米連邦捜査局（FBI）は「FLASH（緊急セキュリティアラート）」を発令しました。このアラートでは、データ窃盗や恐喝キャンペーンにおいて、最近Salesforceインスタンスを標的にしていることが確認されたグループに関連する「侵害インジケーター（IoC）」が共有されました。FLASHは、セキュリティチームが不審なアクティビティを迅速に検知し、防御を強化できるよう、重大な脅威情報やIoCを業界へ迅速に周知するためのFBIの手法です。
さらに10月には、事態はより深刻化しました。「Scattered Lapsus$ Hunters」と名乗るグループが、盗み出したSalesforceの顧客データの流出を開始し、数十社に及ぶ世界的ブランドを公開恐喝し始めたのです。Salesforce社自身もこのグループから恐喝を受けました。被害企業が交渉や身代金の支払いを拒否したため、この恐喝グループはデータの公開に踏み切りました。
ここで最大の課題となるのは、「攻撃者の適応スピードが極めて速い」という点です。彼らは技術的な脆弱性（エクスプロイト）を突くことよりも、アクセス権、信頼関係、そして「人間の心理や行動」の隙を突いています。
Salesforceは、まさにこのような攻撃にとって「格好の環境」となってしまっています。なぜなら、Salesforceにはウイルス対策機能が標準搭載されておらず、流入するデータに対するサイバー脅威のスキャンも行われないためです。 プラットフォーム上のデータとユーザーを保護することは、あくまで「利用企業側の責任範囲」となります。攻撃者は、このセキュリティのギャップを完全に把握しているのです。
ダークウェブ上で顧客情報は高値で取引され、さらなる標的型攻撃やなりすまし詐欺に悪用される危険性があります。
2025年に確認された主なSalesforce関連の侵害・インシデント
- Google: 8月に侵害が公表されましたが、追跡調査により6月のアクティビティが原因と判明。Google広告の検討顧客データ管理用のSalesforce CRMインスタンスが標的となり、中小企業の連絡先情報や営業ノートなどのレコードが影響を受けました。
- Salesloft-Drift ハック: 攻撃者がチャットボットツール「Drift」の連携を通じてOAuthトークンを窃取。これを受けてSalesforceはSalesloftとのすべての接続を一時遮断しました。盗まれたトークンは、Salesforceアカウントから直接データを引き出すために悪用され、被害企業にはZscaler、Palo Alto Networks、Proofpoint、Tenable、Qualys、Cloudflareなどのセキュリティ大手企業も含まれていました。
- Workday: 7月にサードパーティ製CRMの侵害を公表。ビジネス上の連絡先データ（氏名、メールアドレス、電話番号）が流出しました。Salesforce自体の名称は伏せられたものの、攻撃者がさらなる攻撃の踏み台として、いかに価値の高いSaaSやIDデータを標的にしているかを示す事例となりました。
- アリアンツ生命: 同様に7月、サードパーティのクラウド型CRMを経由した侵害が発生し、140万人の顧客に影響が出ました。Salesforceキャンペーンで見られたソーシャルエンジニアリングの手法との関連が指摘されています。
- LVMH 傘下ブランド（Louis Vuitton、Dior、Tiffany & Co.）、Adidas: 7月下旬に公表。いずれも同一のSalesforceを標的にしたキャンペーンとの関連が確認されています。
- GAP: Salesforceインスタンスを標的とする恐喝グループの被害者リストに、同社とみられる名前が掲載されました。
- Chanel: 7月25日に不審なアクティビティを検知し、8月4日に公表。個人の連絡先データが流出し、一連のSalesforceデータ窃盗・恐喝の波との関連が確認されています。
- Farmers Insurance（アメリカの大手保険会社）: 5月、サードパーティ製データベースを経由した侵害により、110万人の顧客データ（氏名、住所、運転免許証情報、社会保障番号の一部）が流出。広範な「ビッシング（音声フィッシング）」キャンペーンとの関連が指摘されています。
- Coca-Cola (中東): 5月に公表。UAE、オマーン、バーレーンの従業員約1,000人に影響するデータ流出が発生。攻撃チェーンの一部にSalesforce上のファイルへのアクセスが含まれていたと報じられています。
- Coca-Cola Europacific Partners (CCEP): ダッシュボード経由で2,300万件以上のSalesforceレコード（アカウント、ケース、連絡先、製品情報）が窃取・流出。
- 英国の小売大手 (M&S, Co-op, Harrods): 5月に発生したランサムウェアおよびデータ窃盗インシデント。同様のソーシャルエンジニアリングとアクセス権の悪用戦術が確認されています。
- IKEA: ハッカーによる侵害が主張されているものの、公式な発表は行われていません。
- Stellantis（オランダに本拠を置く世界有数の多国籍自動車メーカー）: 9月にサードパーティプロバイダー経由のデータ侵害を公表。連絡先データ流出の恐れがあるとして警告が出されました。Salesforceを狙う攻撃の波と手口は一致していますが、関連性は未確定です。
- 航空セクター (Hawaiian Airlines, WestJet, KLM, Air France, Vietnam Airlines, Qantas): 6月〜7月にかけて標的となりました。Salesforceの直接的な侵害とは断定されていませんが、侵入手法（ヘルプデスクの誘導、MFAのバイパス）はCRMを標的にした侵害の手口と酷似しています。
攻撃グループの帰属（アトリビューション）について:
サイバー攻撃の犯行グループ特定は容易ではなく、ケースバイケースです。2025年に確認されたSalesforce標的キャンペーンの多くは「ShinyHunters」のブランドを冠するグループによるものですが、「Scattered Spider」などの他のランサムウェアグループも同様の戦術をとっており、手口が重複しています。
近年、複数の情報源から「Scattered Lapsus$ Hunters」は、ShinyHunters、Scattered Spider、Lapsus$による緩やかな共同組織であると指摘されています。これは、防御側のセキュリティ対策の進化に対抗し、これらのグループが名前、戦術、同盟関係を流動的に変化させていることを示しており、業界のエキスパートにとっても犯行の特定を難しくさせています。
UNC6040 / ShinyHunters: ソーシャルエンジニアリングとOAuthの悪用でSalesforceユーザーを標的に
2025年、Googleの脅威インテリジェンスグループ（GTIG）は、金銭目的の脅威アクター「UNC6040」によるキャンペーンに関するレポートを発表しました。このグループは、ソーシャルエンジニアリングとOAuth（認可）の悪用を組み合わせてSalesforce環境を執拗に狙っています。
GTIGは、その後のデータ窃盗と恐喝フェーズを別クラスタ（UNC6240、一般的には「ShinyHunters」として知られる）として追跡しています。
このグループの手口（プレイブック）は、まずアカウント情報の窃取（クレデンシャル・ハーベスティング）から始まります。パスワードの使い回しやフィッシングで入手したシングルサインオン（SSO）の認証情報を使い、初期侵入を果たします。
一度ログインすると、彼らは被害者の権限をそのまま悪用して（検知されることなく）システム内を横展開（ラテラルムーブメント）し、悪意ある「接続アプリ（Connected Apps）」を登録してアクセス権限を昇格させます。ここで有効期限の長い「OAuthトークン」を生成することで、多要素認証（MFA）を完全にバイパスし、標準的なセキュリティアラートを回避しながらアクセスし続ける環境を構築します。
有名企業における実際の攻撃プレイブック
一連の攻撃手法の中で、最も世間の注目を集めたのがGoogleにおける侵害事例です。
2025年6月、攻撃者はGoogle広告の見込み客情報を管理するためのSalesforceインスタンスを侵害しました。これにより、企業名、電話番号、営業フォローアップ用のメモなど、約255万件のレコードが外部に流出しました。これらはフィッシングや詐欺キャンペーンに悪用される価値の極めて高いデータです。Googleは、流出したデータのほとんどが一般公開されている情報であり、広告配信システム自体への影響はないと発表しましたが、この事件は一見「機密性がない」と思われるCRMデータであっても、一度盗み出されれば攻撃者の強力な武器になり得ることを証明しました。GTIGは、この侵害がUNC6040/ShinyHuntersによる活動の一部であり、Salesforceからのデータ抽出を高速化するためにカスタムツールが使用されていたことを確認しています。
UNC6040の侵入手法は、技術的な脆弱性の悪用には依存していませんでした。その代わりに、攻撃者はITサポートを装い、ボイスフィッシング（ヴィッシング）を用いて、従業員にSalesforceの「Connected App」設定ページでの操作を誘導しました。攻撃者は標的に8桁の接続コードを入力するよう指示し、これにより、Salesforce Data Loaderのブランド変更版（通称「My Ticket Portal」）へのアクセスが許可される仕組みでした。この悪意のあるアプリは、MFA（多要素認証）なしで永続的な特権アクセス権を付与しました。そこから、時間の経過とともにデータが密かにエクスポートされる可能性があり、場合によっては、攻撃者がMicrosoft 365やOktaなどの接続されたプラットフォームへと攻撃の矛先を移すこともありました。
被害が確認されている企業には、Google、アリアンツ・ライフ（140万人の顧客の大半が影響を受けた）、LVMH傘下のブランドであるルイ・ヴィトン、ディオール、ティファニー、アディダス、カンタス航空、およびシャネルの米国顧客ケアデータベースが含まれる。いずれの場合も、攻撃者は同じ手口のバリエーションを用いて長期にわたるアクセス権を取得し、CRMレコードを抽出していた。
UNC3944 / Scattered Spider: 業界を問わないIDおよびワークフローの悪用
「UNC3944（別名：Scattered Spider）」は、クラウドおよびエンタープライズ環境全体でID（アイデンティティ）を狙った侵入活動を行う、活動歴の長い脅威グループです。
UNC6040と同様、彼らの特徴的な手口は、ITサポートやIDプロバイダー（IdP）のワークフローを巧妙に操作してアクセス権限を昇格させることです。一度システム内に侵入すると、サードパーティ製のデータ統合ツールを悪用（認可）し、検知をすり抜けてクラウドからデータを一気に抽出します。
具体的に確認されている手口には、以下のようなものがあります。
- 虚偽の理由でヘルプデスクを騙し、権限を昇格させる
- IdP（IDプロバイダー）の連携機能を悪用し、複数のシステムにまたがって持続的なアクセス権（バックドア）を維持する
- データを一時保管するための仮想マシンをデプロイし、長期的なアクセス経路を確立する
WithSecureの脅威インテリジェンス責任者であるTim Westは、次のように警鐘を鳴らします。「Scattered Spiderは、ソーシャルエンジニアリングを駆使してSaaS環境へのアクセス権を手に入れます。彼らの攻撃は技術的にはシンプルに見えるかもしれませんが、だからといって危険性が低いわけではありません。MGMリゾーツや英M&Sの侵害にも、彼らの関与が指摘されています」
Google: 見込み広告顧客を標的にしたSalesforce CRMの侵害
2025年6月、Googleは、見込み広告顧客のデータを管理するSalesforce CRMインスタンスの1つがShinyHuntersによって侵害されたことを認めました。同社は、このインシデントが同社の脅威インテリジェンスグループが以前から追跡していたキャンペーン（音声フィッシングやOAuthの悪用を用いたもの）と同一のものであると発表しました。
この攻撃により、企業名、連絡先、営業時のフォローアップメモなどを含むレコードが不正にアクセスされました。Googleは「データは基本的に公開情報に近いものであり、Google広告やマーチャントセンター、アナリティクスなどのコアシステムには影響はない」と強調したものの、本事例は、たとえ「非機密」に見えるCRMデータであっても、大量に窃取されれば攻撃者の武器になり得ることをまざまざと示しました。
ここから読み取れる大きなトレンドは明らかです。攻撃者は、盗んだデータの機密性が低いように見えても、CRMレベルのビジネスプロセス情報を大量に集めることで、フィッシング詐欺や、さらなる侵害活動を大規模に展開するための「武器」として悪用できるのです。
ヘルプデスクから侵害へ：英国小売大手を襲ったサイバー攻撃の裏側
Googleの公表からわずか数ヶ月前、M&SやCo-opといった英国の主要小売業者が、Scattered Spider（UNC3944）によるランサムウェアとデータ窃盗攻撃によって、オフライン対応を余儀なくされました。これらの侵害はすべて、ヘルプデスクの担当者になりすましたソーシャルエンジニアリングからスタートしています。技術的な脆弱性を1つも突くことなく、信頼されたシステムの内側に入り込んで横展開し、大規模なデータ窃取を実行したのです。
航空業界への標的シフト
2025年6月〜7月にかけて、複数の航空会社（Air France、KLM、Hawaiian Airlines、Qantas、WestJetなど）が、Scattered SpiderおよびShinyHuntersによる協調的なサイバー攻撃の標的となりました。その後、Vietnam Airlinesも被害を受けています。
この事態を受け、FBIは「航空業界が現在アクティブなターゲットになっている」と公式に警告を発しました。
ここでも手口は一貫しています。ITサポートスタッフを装い、社内またはアウトソーシング先のヘルプデスクを巧みに誘導し、MFAをバイパスしてシステムへの信頼されたアクセス権を得る手法です。特にコールセンターは、アクセス権が広い一方でセキュリティ制御が比較的緩いため、最初の突破口として真っ先に狙われる「急所」となっています。
さらに、一部のケースでは従業員の音声をAIで模倣した「ディープフェイク音声」を使ってヘルプデスクを欺き、不正なアクセス権を承認させていたことが報告されています。侵入後、彼らは恐喝のために機密データを静かに抜き取り、場合によってはランサムウェアを実行しました。
「ヘルプデスク業務やSalesforceの管理といったシステム管理機能を外部委託（アウトソーシング）する際、組織は自社の『アタックサーフェス（攻撃対象領域）』を拡大し、セキュリティカルチャーまでも外部に依存することになる、というリスクを強く認識する必要があります。人間の隙（ヒューマンリスク）を100%解決できるような『特効薬』となる技術は存在しないのです」（Tim West）
1つのシステムにおける信頼が崩れると、攻撃者はそこからわずか数ステップで他の重要システムへと侵入を広げます。
保険業界が狙われる理由：CRMデータがもたらす高い価値
攻撃者は、保険業界のCRMに個人情報の「宝の山」が眠っていることを知っています。これらの情報は、なりすまし詐欺や不正請求、さらには実在しない架空のIDを作成するための格好の材料になります。
Allianz Life（アリアンツ生命）では、Salesforce Data Loaderの偽アプリを悪用され、100万人以上の顧客レコードが吸い上げられました。Farmers Insuranceも同様に、サードパーティ製データベースを経由して110万人以上の顧客データが侵害されました。いずれのケースも、ソーシャルエンジニアリングと「信頼されたシステム連携」が突破口となりました。
保険会社が大量に扱うCRMレベルのデータは、それだけで攻撃者を惹きつけるのに十分な価値を持っているのです。
Workdayの侵害：給与・人事・CRMデータの流出
2025年7月、Workdayはソーシャルエンジニアリングキャンペーンにより、サードパーティ製のCRMプラットフォームへ外部からの不正アクセスがあったことを公表しました。同社は、給与計算や人事管理システム（テナント）への影響はないこと、また流出した情報の多くは氏名、メールアドレス、電話番号などのビジネス用連絡先であることを強調しました。
流出したデータの機密性が極めて高いものではなかったとしても、その窃取手法はお馴染みのプレイブックに従っています。システムや人の「信頼」を逆手に取ってアクセス権を騙し取り、入手した基本的なCRM情報を利用して、さらに巧妙なフィッシングや詐欺、そして「次の本命ターゲット」への侵入へと繋げていくのです。
Salesloft-Driftハック：OAuthトークンの悪用によるSalesforceデータの抽出
2025年8月、Googleの脅威インテリジェンスチームは、Salesloft社と、同社が提供する営業用AIチャットボットツール「Drift」に関連する大規模な侵害を検知しました。被害規模の大きさが明らかになるにつれ、SalesforceはSalesloftとのすべての連携を遮断する措置をとりました。攻撃グループ（UNC6395）は、Salesloft DriftからOAuthトークンを窃取し、連携されていたSalesforce組織からデータを静かに吸い上げていました。
GoogleとMandiant（マンディアント）の報告によると、トークンはSalesforceおよび関連システム全体で侵害されており、緊急のトークン無効化と再設定が求められました。Salesforce自体に脆弱性（バグ）があったわけではありませんが、Salesforceのエコシステム全体が大きな打撃を受けました。
特に注目すべきは、確認された被害者リストに複数の大手サイバーセキュリティ企業が名を連ねていたことです。
サイバーセキュリティ企業であるZscaler（ゼットスケーラー）も影響を受けた1社であり、盗まれたSalesloft Driftのトークンを介して自社のSalesforceインスタンスへアクセスされたことを認めました。コア製品やインフラへの影響はなかったものの、顧客情報の一部が窃取されました。
これに続き、Palo Alto Networks、Cloudflare、Proofpoint、Qualys、Tenableといったセキュリティベンダーからも相次いで同様の侵害開示が行われました。
この「Salesloft-Driftハック」をめぐっては、一時さまざまな誤情報も飛び交いましたが、1つ確実な事実があります。業界をリードするセキュリティプロバイダーから顧客データが奪われたという事実は、サプライチェーン全体の信頼関係において極めて大きな波紋を広げているということです。
Coca-Cola (中東): 従業員データ流出インシデント
2025年5月、ランサムウェアグループ「Everest」が中東のコカ・コーラ事業を攻撃しました。グループは以下を含む1,100件以上の人事ファイルを窃取し、公開しました。
- 個人身分証明書（身分証データ）
- 給与および銀行口座情報
- 社内組織図およびアカウント構成
この侵害により、UAE、オマーン、バーレーンの従業員約1,000人が影響を受けました。報道によると、Salesforceのファイルアクセス権の奪取が攻撃チェーンの一環として利用されていたことが指摘されています。
Coca-Cola Europacific Partners: Salesforce経由で2,300万件のレコードが流出
これとは別に、ハッカー集団「Gehenna」がCoca-Cola Europacific Partners（CCEP）のSalesforceダッシュボードを侵害し、2,300万件以上のレコードを外部に流出させました。流出データの内訳は以下の通りです。
- 取引先（アカウント）レコード：750万件
- カスタマーサービス事例（ケース）：950万件
- 連絡先（コンタクト）情報：600万件
- 製品レコード：40万件
攻撃発生後、流出したサンプルデータはすぐにパブリックなハッキングフォーラムに投稿されました。攻撃者は従業員にも直接連絡を取り、金銭の支払いがなければさらに多くのデータを販売・公開すると脅迫を行いました。
なぜこれが重要であり、次に何が起こるのか
Salesforceは、多くの企業において事業運営の中心となっています。顧客の機密データ、営業情報、知的財産、社内のサポート履歴などが集約されており、日々大量のファイルやリンクがやり取りされています。また、他のクラウドサービスとも深く統合されています。
このように、「高いアクセス権限」と「自動化」が組み合わさっているプラットフォームだからこそ、攻撃者にとって格好の標的となるのです。それにもかかわらず、Salesforce環境は、他の社内システム（基幹システムなど）と同等のレベルで監視や制御が行われていないケースが多々あります。
これまで確認されたSalesforceへの攻撃では、ビジネス文書にフィッシングリンクが埋め込まれたり、サポートシステムから直接データが引き抜かれたり、ワークフローの自動化を通じて悪意あるファイルが配布されたりといった手口が見られます。これらはすべて、Salesforceの標準機能を悪用した手口です。
今回の一連のSalesforce侵害の引き金となったのは、すべて「ヒューマンエラー（人のミス）」です。誰かが電話に応答し、1回クリックしてしまった。
「人間のうっかりミス」を完全にゼロにすることは不可能です。しかし、「その後に発生する致命的な被害（Salesforce内でのマルウェアの実行や、フィッシングリンクの拡散など）」は、事前の対策で食い止めることができます。
これは机上の空論ではありません。攻撃者はすでにSalesforceを直接標的にし、なりすましやアカウント情報の窃取、OAuthの悪用を用いて永続的なアクセス権を確立しています。英国の小売業界の事例は、これらの戦術がいかに公に知られ、甚大なダメージをもたらすかを示しています。
これらがすでに現実として起きている今、次の問いは明白です。さらに多くのサイバー犯罪者が、Salesforceを「最も手軽で効果的な侵入経路」として扱い始めたらどうなるでしょうか？
今日はビッシングとOAuthトークンですが、これらのドアが対策によって閉じられた時、攻撃者は明日はどこを狙ってくるでしょうか？
拡大し続けるリスク
攻撃者は、あらかじめ「信頼」が組み込まれているシステムへと狙いをシフトしています。ユーザーが「接続アプリ」を承認したり、MFAを強制していないSSOを使用したり、あるいは精巧なITサポートを名乗る電話に騙されて自分でドアを開けてくれるのであれば、攻撃者は技術的な障壁をハッキングして突破する必要すらないのです。
Salesforceをめぐるリスク領域は広がり続けています。
多くの場合、アカウント情報を盗んだ攻撃者は、アラートを発生させることなく静かに認証をクリアし、他のクラウドサービスへ横展開し、データを抽出します。そして、最初の侵入から長期間にわたりアクセス権を維持し続けます。
適切な監査やコンテンツ制御がなければ、これらのアクセス経路はすべて「脆弱性」へと変わります。そして、ひとたび情報流出が発生した際のコスト（事業停止、法的責任、レピュテーション低下、戦略的損失）をコントロールすることは極めて困難です。
さらに最近の攻撃者は、被害に遭った企業に激しい「心理的プレッシャー」をかける手口をとっています。被害企業の名前を公開し、一夜にしてリークサイトを立ち上げ、盗み出したデータの重要性を誇張して世間に公表します。すべては身代金を支払わせ、次のターゲット企業に「拒否すればどうなるか」を思い知らせるための脅迫戦術です。
Salesforce社は顧客向けに警告を発表し、これらのインシデントはプラットフォームの脆弱性によるものではなく、顧客を標的としたフィッシングやソーシャルエンジニアリングによるものであることを強調しています。同社は、多要素認証（MFA）の導入、最小権限の原則の適用、ログインIP範囲の制限、接続済みアプリの慎重な管理、イベント監視のためのSalesforce Shieldの利用、インシデント対応のためのセキュリティ担当者の指定といった対策を推奨しています。
すべてに共通する要素：「アイデンティティの侵害」
強調すべき点は、これらの一連のSalesforce攻撃の多くは技術的な脆弱性を突いたものではなく、「正規のアクセス権」を不正に入手することで成功しているという点です。そして、そのアクセス権の不正奪取は、アカウント情報（クレデンシャル）の侵害から始まります。
原因は、フィッシングリンクかもしれません。あるいは、過去のサードパーティ企業の漏洩で流出したログイン情報の使い回し（パスワードリスト攻撃）かもしれません。ダークウェブに流出したID・パスワード情報は繰り返し再利用され、攻撃者に「正規のルート」からの侵入を許してしまいます。従業員のパスワード使い回しや、たった1つの盗まれた認証情報が、Salesforce、ひいては接続されているすべての基幹システムへの扉を開けてしまうのです。
Googleの事例が示すように、ビジネスデータが限られている限定的なテスト用・特定部門用のSalesforceインスタンスであっても、攻撃者が自動化された抽出ツールと確立された攻撃手順を持っていれば、十分に標的とされ、大規模なデータ漏洩を引き起こす温床となります。
エスカレートする恐喝：Scattered Lapsus$ Huntersが公開リークサイトを開設
10月初旬、「Scattered Lapsus$ Hunters」と名乗るグループが、Salesforce顧客の環境から盗み出したデータのリークを開始しました。ShinyHuntersやScattered Spiderとの関連を主張するこのグループは、グローバルブランド39社から窃取したとするサンプルデータを公開し、さらにSalesforce社自身に対しても身代金の要求を行いました。グループは約10億件のレコードを保持していると主張し、支払いがなければこれらを一般公開すると脅迫しています。現時点でこの主張の裏付け（独自検証）は取れていませんが、同グループはすでに航空会社を含む複数の被害企業のデータを段階的にリークし始めています。
Salesforce社は、「プラットフォームが侵害された形跡はない」とした上で、これらの恐喝行為は過去の事案や根拠のない主張に関連するものであると述べています。同社は引き続き法執行機関や影響を受けた顧客と連携しながら、すべての組織に対してフィッシングやソーシャルエンジニアリングへの警戒を怠らないよう注意を促しています。
ソーシャルエンジニアリングやOAuthの悪用から始まった一連の攻撃は、今や「公然の恐喝ビジネス」へと変貌を遂げました。さらに、このデータ流出の波を受けて、Salesforce社に対して少なくとも14件の訴訟が提起されており、「SaaSセキュリティにおける責任共有モデル」をめぐる議論と緊張感が高まっています。
Salesforceへの攻撃に対抗するために、今できること
フィッシングメールを100%防ぐことは不可能です。ダークウェブにどのような認証情報が流出するかを完全にコントロールすることもできません。そして、人間の心理の隙を突くソーシャルエンジニアリングに対し、100%完璧なヘルプデスク業務を維持することも困難です。
しかし、「侵入された後に何が起きるか」をコントロールすることは可能です。最近のSalesforceを狙う攻撃が物語るように、今もっとも重要なのは「プロアクティブ（先回り）なセキュリティ戦略」です。ID、アクセス権、そしてコンテンツを統合的に保護するための実用的な推奨対策を以下に紹介します。
以下の実践的な推奨事項は、ID、アクセス、コンテンツ全般にわたるリスクの低減に役立ちます：
監査と可視化
Salesforce内の接続済みアプリとユーザーのアクティビティを監査します。未使用のアクセス権や高権限のアクセス権を定期的に確認し、取り消します。予期しない一括データエクスポート、Data Loader/API呼び出しの急増、新しい接続済みアプリの承認など、不審なログイン行動を監視します。
IDおよびアクセス制御
すべてのユーザーロールおよび統合において、フィッシング対策が施された多要素認証（MFA）を適用します。最小権限の原則を適用し、管理者アクセスを制限します。特権リクエストを承認する前に、例外なく既知の社内番号への折り返し電話を義務付けることで、なりすまし攻撃に対するITサポートプロセスの堅牢性を高めます。アクセスガバナンスのレビューにSalesforceを含めます。
認証情報の漏洩監視
認証情報の漏洩を確実に検知し、迅速にアクセス権を無効化し、必要に応じてクリーンなSalesforce構成とデータを復元できるようにします。
リアルタイムのコンテンツ保護
ネイティブに統合された脅威対策機能を使用して、Salesforce内で直接ファイルやリンクを検査します。フィッシングリンクやマルウェアが、メールだけでなく、ケース、チャット、ポータルを通じて拡散するのを防ぐことで、人的ミスを最小限に抑えます。
フィッシングとユーザーの意識向上
Salesforceを標的としたソーシャルエンジニアリングの手法、ボイスフィッシング（ヴィッシング）、偽のアプリインストールについて、ユーザーに教育を行います。特に「接続コード」や予期しない Data Loader 認証を伴う悪意のある Connected App のリクエストを認識し、報告できるようスタッフを訓練してください。.
サードパーティシステムと統合リスク
すべての Connected App および外部プラットフォーム、特にサポートツール、ヘルプデスク、チケット管理システムを精査・検証してください。「接続コード」のインストールを管理者に限定し、高リスクのログインを信頼できる IP 範囲に制限してください。
インシデント対応の準備
インシデント対応および復旧計画にSalesforceを含める。CRMデータの漏洩事例に特化した顧客への通知および法務・広報のワークフローを準備し、潜在的な私的な恐喝メールへの対応を事前に計画しておく。
APIおよびトークンのセキュリティ強化
「API有効」権限を最小限のロールセットに限定する。API/OAuthフローには高保証セッションを使用し、セッションの有効期間を短縮する。
ドアが開いたままでは、錠前も意味をなさない
Salesforceを、ビジネスの玄関口だと考えてみてください。世界最強の錠前を備えていても、ドアを全開にしておけば、攻撃者は錠前をこじ開ける必要すらありません。そのまま堂々と侵入してくるのです。
マルウェアやフィッシングリンクがSalesforce内を無制限に流通している場合、まさにこれが起こります。境界線をロックし、スタッフを教育し、ID管理を強化したとしても、最も目立つドアが依然として全開のままなのです。
Salesforceを標的としたサイバー攻撃に対するリアルタイム保護
ほとんどのセキュリティツールは、Salesforce内部で何が起きているかを把握できません。だからこそ、私たちはネイティブな保護レイヤーを構築しました。これにより、Salesforceでは本来得られない可視性と制御を提供します。
悪意のあるファイルやフィッシングリンクがユーザーの目に触れる前にブロックします。
メール、ポータル、ケース、自動化機能を通じて共有されるコンテンツをリアルタイムで検査します。
そしてまもなく、Salesforceへの侵入に悪用される侵害された認証情報を監視できるようになります。
攻撃者の戦術は急速に変化します。防御体制も同様に迅速に対応する必要があります。「WithSecure Cloud Protection for Salesforce」は、わずか数回のクリックで設定でき、Salesforceに不可欠な基本的なセキュリティ対策を提供します。侵害が拡散して被害をもたらす前に、その発生を阻止します。
予防は、復旧よりも常にコストが低く済みます。
🎥 なぜSalesforceが今、サイバー攻撃の主要な標的となっているのか | 専門家インタビュー：
私はWithSecureの脅威インテリジェンス責任者であるティム・ウェスト氏と対談し、最近のSalesforce攻撃の舞台裏で実際に何が起きているのか、そしてセキュリティチームがどのようにして先手を打つことができるのかについて掘り下げました。
再生ボタンをクリックして、対談の全編をご覧ください。
セキュリティ侵害は一か所に留まらない
データはSalesforceと他のクラウドシステムの間を流動しています。Salesforceを保護することは、単にSalesforceだけの問題ではありません。
今日はOAuthの悪用、明日はゼロデイマルウェア、あるいは別の脅威が襲ってくるかもしれません。
ある賢人が言ったように、船に複数の穴が開いているなら、1つだけを塞ぐのではなく、すべてを修理する必要があります。これはSalesforceのセキュリティにも当てはまります。