オーストラリアの国営放送であるABC News Australiaは先日、国内の主要銀行数行の従業員および顧客から認証情報を窃取した大規模なマルウェア運用の実態を明らかにしました。
今回のインシデントはSalesforceに直接関係するものではありませんが、そこで用いられた手法は、Salesforceのようなクラウドベースのプラットフォームを利用しているすべての組織に対して重大な警鐘を鳴らすものです。銀行のポータルサイト、CRMシステム、コラボレーションツールのいずれを標的にする場合でも、認証情報の窃取やセッションハイジャックは、最も脆弱なリンクである「エンドユーザー」を悪用する現代のサイバー犯罪の典型的なトレンドです。
もし、組織における顧客との対話、カスタマーサービス、あるいは社内運用の中心的なハブとしてSalesforceが機能しているなら、今回の攻撃は明確な教訓となります。問題は「自社のプラットフォームが侵入口になったかどうか」ではありません。「正当な認証情報を持つ攻撃者が、いかに容易にクラウド環境へと侵入できるか」という点にあるのです。
認証情報窃取マルウェアによる攻撃が明らかにした実態
東欧を拠点にしているとみられる脅威グループによるこのマルウェアキャンペーンは、オーストラリア国内の6万台以上のデバイスを侵害しました。その中には、主要金融機関に関連する数千人もの従業員や顧客のエンドポイントが含まれており、以下の深刻な事実が判明しています。
主な事実：
- マルウェアは、ログイン認証情報、Cookie、およびセッション情報を無差別に奪取した。
- 大手銀行の少なくとも250台の従業員用デバイスが影響を受けた。
- 顧客の銀行口座の認証情報や、多要素認証（MFA）をバイパスするためのデータが収集された。
- 盗まれた情報はダークウェブ上のマーケットプレイスで売却され、アカウントの乗っ取り、フィッシングキャンペーン、および接続されたプラットフォームへの横展開に悪用可能な状態になっていた。
なぜ認証情報の窃取がSalesforceのセキュリティリスクになるのか
今回の攻撃が明示的にSalesforceを狙ったものではなく、また皆様の組織が直接的な被害を受けていないとしても、Salesforce環境のセキュリティを担う責任者が教訓とすべき重要なポイントがあります。
ユーザー自身が新たな攻撃対象領域である
このキャンペーンはシステムの脆弱性を突いたものではなく、個々の「ユーザー」を標的にしました。攻撃者が正当なログイン詳細情報（特にセキュリティチェックを回避できる情報）を入手した場合、Salesforceのようなクラウドプラットフォームにはほとんど抵抗を受けることなく侵入できてしまいます。先述の「Jiraの認証情報漏洩」の事例が示す通り、攻撃者は正規のアクセス権を悪用して、接続されたSalesforceなどのプラットフォームへ極めて容易に移行できるのです。
漏洩した認証情報は、標的型フィッシングやなりすましを加速させる
ユーザーデータが一度流出すると、攻撃者は即座に行動を起こします。信頼性の高い巧妙なメッセージを作成し、従業員になりすまし、それらのアイデンティティを信頼しているシステムを次の標的に定めます。
「Salesforceでは起こり得ない」という誤解
Salesforceは世界で最も信頼されているエンタープライズプラットフォームの一つですが、他のあらゆるクラウドサービスと同様に「責任共有モデル」に基づいて運用されています。Salesforceはインフラの安全性を確保しますが、データ、ユーザー、およびアクセス権限の管理については、利用企業側が責任を負う必要があります。
- ユーザーのノートPCなど、エンドポイントデバイス上のマルウェアは、Salesforceのセッション情報やブラウザの認証情報を侵害する恐れがあります。
- アクセス制御が甘い場合、API連携やサードパーティ製アプリが予期せぬ形で悪用されるリスクがあります。
- フィッシングリンクや有害なファイルのアップロードといった脅威は、Salesforce Experience Cloud、Service Cloud、メール-to-ケース、Web-to-ケース、リアルタイムのAgentforceによる会話、およびSalesforceに接続された各種メッセージングソリューションにおいて、ネイティブの保護機能をすり抜けてしまう可能性があります。
認証情報ベースの攻撃からSalesforceのセキュリティを強化する方法
今回のインシデントは、Salesforceに依存している組織に対する重要な警鐘です。幸いなことに、リスクを低減するために今すぐ講じることができる実面的な対策があります。
アクセス管理とセッション制御の厳格化
- 正規のユーザーからのアクセスであっても、不審なログインパターン（通常とは異なる時間帯や場所など）がないか継続的に監視します。
- ユーザーの役割とアクセス権限に対して「最小特権の原則」を適用します。
ユーザーがアップロードするファイルやクリックするリンクの検証
- 悪意のある添付ファイルやフィッシングリンクは、Salesforceのデータ内に注入される危険性があります。
- プラットフォームが標準で備えている防御機能だけでは、巧妙化する現代の脅威を必ずしも検知できるとは限りません。コンテンツをリアルタイムで分析する高度なスキャンツールを導入してください。
ログイン画面の「先」にある領域の保護
- 攻撃者が正規の認証情報を手に入れている場合、システムを「こじ開ける」必要はなく、そのまま「歩いて」侵入してきます。
- プラットフォーム内での不審な動きを察知するため、振る舞いベースの脅威検知への投資を検討してください。
- 将来的に提供される「ID保護（Identity Protection）」ツールを活用することで、認証情報を盗まれたユーザーを迅速に特定し、即座に対処することが可能になります。
なぜSalesforceの保護においてエンドポイントセキュリティだけでは不十分なのか
今回の侵害事例が証明しているように、攻撃者が正規の認証情報を入手したり、セッションを乗っ取ったりした場合、従来の防御策は機能しなくなります。特に、ログインの成功後にアップロード、リンク、またはサードパーティの統合機能を介して悪意あるコンテンツが持ち込まれた場合、手の打ちようがありません。
Salesforce内のリスクを抑え込むためには、セキュリティ制御を境界線（ペリメータ）の「外側」だけでなく、プラットフォームの「内部」にまで拡張する必要があります。プラットフォームの内部で直接動作し、脅威をスキャンし、異常なアクティビティを検知し、攻撃者が最も狙いやすい領域を保護しなければなりません。
多くのセキュリティ戦略において、この「プラットフォーム内部のセキュリティ」という盲点が見落とされており、その死角で静かにリスクが蓄積しています。
マルウェアの脅威はエンドポイントの境界線で止まることはありません。したがって、企業のセキュリティ対策もそこで止まってはならないのです。攻撃者が認証情報やセッションデータを入手した瞬間、皆様のITスタックにあるすべてのクラウドサービス（Salesforceを含む）が標的と化します。
今回の報道は、「Salesforceのセキュリティを後回しにすることは決して許されない」という事実を、私たちに改めて突きつけているのです。