標的型サイバー攻撃が急増するなか、脅威グループ「HELLCAT」は、公開状態にあったJiraの認証情報を悪用し、わずか5ヶ月の間に少なくとも6つの組織に侵入しました。被害に遭った組織には、Telefonica、Orange Group、Jaguar Land Rover（JLR）といった著名なグローバル企業が含まれています。JLRの事例だけでも、攻撃者はソースコード、開発ログ、追跡データ、機密性の高い従業員情報など、700点を超える社内ドキュメントを窃取し、外部に流出させました。
これらは決して、単発の偶発的なインシデントではありません。HELLCATは一貫した戦略（プレイブック）に従っていました。それは、企業業務の中核を担い、より広範なエコシステムと統合されている「Jira」を標的にすることです。このプラットフォームには、設計書、APIキー、社内コミュニケーション、ワークフローデータなどが蓄積されていることが多く、攻撃者にとってはまさに「宝の山」と言えます。
クラウドに潜む元凶：盗まれた認証情報
では、なぜこれらの攻撃が可能だったのでしょうか。その原因は、インフォスティーラーマルウェアによって主に外部のサードパーティから組織的に窃取された認証情報にありました。ある事例では、LGエレクトロニクスの従業員が所有していたJiraの認証情報が、最初の情報漏洩から数年が経過していたにもかかわらず、依然としてJLRのJiraインスタンスへのアクセス権限を保持していました。それらの認証情報は、長年にわたり流出した状態のまま、有効であり続けていたのです。
これは特殊な例ではありません。過去のインフォスティーラーのキャンペーンなどで侵害された認証情報は、現在もダークウェブ上で容易に入手可能です。そして、それらが機能する限り、攻撃者は悪用を続けます。多くの組織は、こうしたリスクをセキュリティ計画において想定していません。特に、パートナー、請負業者、ベンダーといった「外部ユーザー」が所有する認証情報のリスクとなれば、なおさらです。
教訓は極めて明確です。クラウド環境において、アクセス権限の管理は自社の境界線の内部だけで完結するものではありません。
漏洩したJira認証情報と、Salesforceに共通する類似性
攻撃者の視点から見れば、Jiraだけが特別な標的というわけではありません。Salesforceもまた、Jiraと極めて類似したリスクを抱えています。
- 膨大な機密データ: 顧客レコード、契約書、請求書、ケースファイル、製品ロードマップなどが集約されています。
- 広範なサードパーティによるアクセス: カスタマーポータル、パートナーユーザー、さらには自律型エージェント（AgentforceなどのAIエージェント）を介したアクセスが存在します。
- ワークフローの中核: APIや自動化により他のプラットフォームと緊密に統合されており、その度合いはJira以上です。
- 認証情報リスクの死角: コミュニティユーザーや、自社のIT管理統制の及ばないパートナー企業のアカウントは、いわば「時限爆弾」となっています。
高度なサイバー攻撃の標的として狙われるSalesforce
Jiraと同様に、Salesforceもますます攻撃の標的となっています。依然として、あらゆるユーザータイプに対して多要素認証（MFA）を完全に義務付けていない企業も少なくありません。インフォスティーラーによって流出したダンプデータには、Salesforceユーザーアカウントを含むクラウド系アカウントの認証情報が数多く含まれており、これらは監視も変更もされないまま何年も放置されていることがあります。ID（アイデンティティ）の侵害は、従来のセキュリティレイヤーでは実質的に検知できず、事態が発覚したときには手遅れになっているのが現状です。
HELLCATによる一連の侵害事案は、単なるJiraだけの問題ではありません。SaaSエコシステム全体に対する、警鐘なのです。
WithSecureがSalesforceにおけるアイデンティティリスクを低減
Salesforceは、もはや単なるビジネスアプリケーションやCRMにとどまりません。ビジネスに不可欠な商業活動を支えるインフラであり、骨格そのものです。アイデンティティリスクへの適切な可視化や、ファイルおよびURLベースの脅威に対するリアルタイムの保護対策がなければ、攻撃者に対してドアを完全に開け放しているのも同然です。
WithSecure™ Cloud Protection for Salesforceは、以下の機能を提供します：
リアルタイムの脅威スキャン: Salesforce内のすべてのファイルおよびURLをリアルタイムでスキャンします。
フィッシングリンクの遮断: ファイル内やQRコードの背後に隠された、認証情報窃取サイトへのフィッシングリンクを検知してブロックします。
ファイルの脅威防止: インフォスティーラーやランサムウェアをはじめ、未知のゼロデイ脅威を含む悪意あるファイルの流入を防止します。
【新機能】認証情報の漏洩検知: リスクにさらされているユーザーを迅速に特定します。
「管理者」から「Salesforceの防御者（ディフェンダー）」へ
Salesforceをご利用のお客様は、単なる「システム管理者」としてではなく、「セキュリティの防御者」としての視点を持つ必要があります。Salesforceを、企業の根幹を支える極めて重要なプラットフォームとして扱わなければなりません。誰がそこにアクセスしているのかを、正しく把握してください。
そして、「5年前に漏洩した認証情報だから、今さら悪用されることはないだろう」などと楽観視してはなりません。
近々提供が開始される当社の新たな「アイデンティ保護」機能により、特に外部ユーザーの認証情報の侵害状況の監視を強力に支援いたします。
WithSecure Cloud Protection for Salesforceは、規制の厳しいグローバルなFortune 500企業に幅広く採用されており、迅速に導入可能なSalesforceネイティブのセキュリティを提供します。運用の複雑化や業務の遅延、カスタムワークフローへの影響を与えることなく、リアルタイムで評価の高い検知機能をお届けします。
新機能「アイデンティ保護保護」にご興味をお持ちいただけましたでしょうか？詳しい内容につきましては、下記フォームよりお気軽にお問い合わせください。