2025 年 5 月、世界最大級の暗号資産取引所である Coinbase は、機密性の高い顧客情報の窃取と、サイバー犯罪者による 2,000 万ドルの身代金要求（恐喝）を伴うデータ侵害を公表しました。資金やパスワード自体は盗まれなかったものの、この侵害はクラウド環境における拡大しつつも対策が不十分な領域、すなわちカスタマーサポートプラットフォームとインサイダー（内部者）リスクという脅威の表面化を浮き彫りにしました。
今回の攻撃は、技術的な意味において高度なものではありませんでした。ゼロデイ脆弱性の悪用でも、ブルートフォース攻撃による侵入でもありません。信頼できる Coinbase のサポート環境の末端において、フィッシング、ソーシャルエンジニアリング、そして人間性の不備（コンプライアンス違反）を悪用した「信頼の破綻（侵害）」だったのです。
協調的な攻撃：フィッシングから内部侵入へ
Coinbase の公式発表によると、攻撃は米国外で雇用されているサードパーティのカスタマーサポート請負業者を標的にすることから始まりました。これらの個人は、Coinbase のサポートツールへの正当なアクセス権限を持っていました。攻撃者はフィッシングやソーシャルエンジニアリングの手法を用いて資格情報を盗み出すか、場合によってはサポート担当者を買収して直接データを引き渡させたとされています。
Coinbase はすべての技術的詳細を開示しているわけではありませんが、盗まれた資格情報（フィッシングによるものか、意図的に提供されたものかに関わらず）により、攻撃者は正当なセッションを利用してサポートシステムにログインすることができたと報告されています。場合によっては、弱い多要素認証（MFA）の保護が迂回または悪用された可能性もあります。一度侵入に成功すると、攻撃者は標準的なアクセス権限を利用して顧客データを検索・抽出したため、従来の侵入検知アラートを発生させることがありませんでした。
アクセス権を獲得した脅威アクターは、以下を含む顧客データを流出させました：
- 氏名
- メールアドレス
- 電話番号
- マスクされた社会保障番号（SSN）
- 銀行口座情報の一部
- 口座のアクティビティログ
Coinbase は、パスワード、秘密鍵（プライベートキー）、あるいは実際の暗号資産資金に対するアクセスや窃取は一切なかったことを確認しています。しかし、収集されたデータは依然として極めて機密性が高く、ダウンストリームでの詐欺や二次的なフィッシング攻撃に容易に悪用され得るものでした。
Cointelegraph などの報道によると、攻撃者はデータの公開を防ぐ代償として 2,000 万ドルの身代金を要求しました。Coinbase は交渉を拒否し、代わりに犯人の逮捕につながる情報に対して 2,000 万ドルの懸賞金を提示しました。
カスタマーサポート：サイバーセキュリティの最前線
カスタマーサポート環境は、攻撃者にとって魅力的でありながらリスクに晒されやすい侵入ポイントとなっています。
Coinbase のケースでは、「人間の脆弱性」が侵害を可能にしました。有効な資格情報とシステムアクセス権を持つ不正なサポート担当者が、騙されるか、あるいは自ら進んでデータ窃取に協力したのです。これはインサイダー脅威の典型的なパターンであり、信頼されたシステム内の信頼された人間が、悪意を持って、あるいは過失によって行動するケースです。
なお、Coinbase のサポート環境には、過剰な権限付与や権限の無秩序な拡大（Privilege Sprawl）の兆候は見られなかった点には留意すべきです。侵害中にアクセスされたデータは機密性の高いものでしたが、サポート担当者が本人確認や基本的なトラブルシューティングを行うために合理的に必要とされる範囲内に収まっていました。最小権限の原則が厳格に適用されていない多くの組織では、同様のインシデントにおいてさらに膨大なデータが漏洩していた可能性があります。
不正サポート担当者の増加
サポート担当者は、業務を効率的に行うために、PII（個人識別情報）、口座履歴、財務データ、ドキュメントなどの顧客データに対する幅広い参照権限を保持していることがよくあります。
アウトソーシングによる複雑化: 多くのサポート機能はコストの低い地域の外部ベンダーに委託されており、直接的なガバナンス、教育、行動モニタリングを徹底することがより困難になります。
内部共謀の検知難易度: 承認されたアクセス権を持つ本物のアカウントを使用する攻撃者は、従来のセキュリティツールの検知を容易に回避（ステルス化）できます。
これは広範なトレンドの一部です。サポート請負業者を経由して侵害された 2022 年の Uber の事例や、ヘルスケア・フィンテック分野での他のインシデントなど、過去のハイプロファイルなデータ侵害でも同様の手法が見られました。
サポートシステムは、外部ユーザー（顧客、請負業者、サードパーティ）が共有チャネル、ファイルアップロード、メッセージングを通じて内部システムとやり取りするハイブリッドな領域へと変化しています。適切な管理策がなければ、これらの信頼されたゲートウェイが完全な「攻撃パス」へと変貌してしまいます。
Coinbase のデータ侵害と他の事例の比較
Coinbase の事例は、暗号資産や金融機関を標的としたハイプロファイルな攻撃パターンの一部です：
- Crypto.com（2022年）: ハッカーが 2FA（二要素認証）を迂回し、483 名のユーザーから 3,400 万ドル以上を窃取。
- Ledger（2020年）: サポート担当者へのフィッシング攻撃により、100 万件以上の顧客レコードが漏洩。
- FTX（2022年）: アクセス権限の内部悪用が、崩壊時の調査における壊滅的な損失の一因に。
トレンドは明確です。特に変化が速くクラウドに依存した運用環境において、サポートプラットフォームと特権アクセスは依然として非常にクリティカルな攻撃対象領域であり続けています。
Coinbase が現在進めている対策
データ侵害を受けて、Coinbase は一連の改革とセキュリティ強化を実装しました：
- サードパーティベンダーへの依存を減らすため、米国ベースのサポートハブを開設
- フラグが立てられたアカウントに対する詐欺啓発プロンプトと追加の本人確認を導入
- 脅威検知機能の強化
- 外部流出したデータを調査・回収するための捜査機関との連携
Coinbase の対応は、透明性が高く断固としたインシデントハンドリングの優良なモデルとして広く評価されています。事件発生から数日以内に、同社は SEC（米国証券取引委員会）へ 8-K（臨時報告書）を提出し、CEO によるビデオメッセージを配信し、詳細なパブリックブログを投稿しました。これらはすべて同期され、整合性が保たれていました。このレベルの連携は、成熟したプロセスだけでなく、世界中のチームが自主性と明確な判断力を持って迅速に行動する「セキュリティファーストの文化」を反映しています。迅速に行動し、関与した当事者を解雇・契約解除し、警察・捜査機関を巻き込み、2,000 万ドルの恐喝要求をパブリックな懸賞金キャンペーンに反転させた能力は、セキュリティファーストのマインドセットを持つ組織の姿を示しています。
また、Coinbase がこの侵害においてシステム障害や停電を惹起させなかったことも留意すべき点です。基幹システムがダウン・破壊された組織であれば、身代金の支払いに関して異なる選択をした可能性があります。
それでも、Coinbase はこの侵害による修正対応費用および顧客への補償費用として、1 億 8,000 万ドルから 4 億ドル規模のコストを見込んでいます。
それでも、Coinbase はこの侵害による修正対応費用および顧客への補償費用として、1 億 8,000 万ドルから 4 億ドル規模のコストを見込んでいます。
Salesforce セキュリティにとってこれが意味すること
多くの組織が、カスタマーサポート業務のバックボーンとして Salesforce を活用しています。サポート担当者、コミュニティユーザー、顧客は、プラットフォーム内で日常的にドキュメントをアップロードし、リンクを共有し、機密情報をやり取りしています。
Salesforce は設計段階から安全に作られていますが（Secure by Design）、アップロードされたファイルのマルウェアスキャンや共有リンクのフィッシング検査、あるいは侵害・不正利用されたユーザーアカウントによる異常な行動パターンの検知を標準機能のみでリアルタイムに行うわけではありません。つまり、以下のリスクが存在します：
- サポートケースや Experience Cloud ポータル経由でアップロードされたファイルが、マルウェアやランサムウェアを引き起こす可能性
- ケースのコメントや共有メッセージ内に、フィッシングリンクが検知されずに流通する可能性
- 侵害されたサポート担当者や請負業者のアカウントが、アラートを発することなく悪意のある操作を実行できる可能性
これにより、攻撃者が悪用手法を熟知しつつある「盲点（脆弱性のウィンドウ）」が生まれます。これらの攻撃は大規模なフィンテック企業だけを標的にしているわけではありません。特にアウトソーシングチームやパートナーチームに頼って Salesforce でサポートを提供している場合、すでに同じリスクに晒されている可能性があります。信頼されたアイデンティティが「信頼できない挙動」を行った際、それを検知して阻止する管理策は整っているでしょうか？
サポートプラットフォームにおける脅威の検知と対応
- サポートケース内でのファイルアクティビティの監視
- ユーザーの行動異常アラートの設定
- すべてのサポートユーザー（請負業者を含む）に対する多要素認証（MFA）の義務付け
- 請負業者のアクセスレベルの定期的な監査
- アップロードされたファイルおよび共有されたリンクのリアルタイムスキャンの適用
WithSecure Cloud Protection for Salesforce が提供するソリューション
WithSecure Cloud Protection for Salesforce は、ファイル、リンク、機密データが内部チームと外部ユーザーの間を行き来する、まさに Coinbase の侵害で標的となったような環境を保護するために構築されています。
- リアルタイムのファイルおよび URL スキャン: Salesforce 内でアップロードされたすべてのファイルと共有リンクを自動解析し、マルウェアやフィッシングの脅威を遮断します。
- サンドボックスと AI による検知: 疑わしいファイルは安全なサンドボックス内で実行（デトネーション）され、レピュテーションチェックを迂回するゼロデイ攻撃や回避型の脅威を特定します。
- Salesforce 環境へアクセスする資格情報侵害のモニタリング: 盗用されたアカウントによる操作の兆候を捉えます。
- コンプライアンスと可視性: 規制の厳しい業界やアウトソーシング運用に不可欠な、完全な監査ログとデータレジデンシーの選択肢を提供します。
本ソリューションは Salesforce 内でネイティブに動作するため、データをプラットフォーム外に移動させることなく、低遅延、高いコンプライアンス、そしてシームレスな保護を実現します。
なぜこれが重要なのか
Coinbase のデータ侵害は、クラウドベースのカスタマーサポートや CRM システムに依存している組織にとって大きな目覚まし時計（警鐘）となりました。多くの SaaS 関連の侵入事例と同様に、高度なゼロデイ脆弱性によって引き起こされたのではなく、「信頼された人間による信頼できない行動」によって引き起こされたのです。そしてそれは、セキュリティに対する可視性の低さと不十分な防御策によって許されてしまいました。
実際、Coinbase の侵害は、Salesforce ユーザーが直面しがちな「盲点」——信頼されたインターフェース（サポート）、信頼されたアイデンティティ（請負業者）、そしてリアルタイムの脅威防御の欠如——によってもたらされました。WithSecure Cloud Protection はこのギャップを埋めます。
予防は最も費用対効果の高い治療法です。主にパートナーや請負業者を通じて Salesforce で顧客をサポートしている場合は、セキュリティギャップが事件として露出するのを待つのではなく、今すぐ対策を検討してください。