残念ながら、そうではありません。「Salesforceなら安全」という前提は、すでに過去のものとなりました。Salesforce上でビジネスに不可欠な業務を動かしている組織にとって、「安全だという認識」と「厳しい現実」のギャップは、真に危険と言えるほどに広がっています。
脅威の進化
従来のランサムウェアは、ローカルファイルを暗号化し、復号キーと引き換えに金銭を要求する手法でした。それは荒っぽく、目に見えやすく、犯人の特定も比較的容易でした。攻撃者はシステムへのアクセスを必要とし、その被害は即座かつ明白に現れたのです。
しかし、現代のランサムウェアはより洗練され、粘り強く、そしてはるかに標的を絞り込んでいます。攻撃者は自らの存在を明かす前に、環境の内部で数週間から数ヶ月を過ごします。侵入するとシステムをマッピングし、最も価値のあるデータを特定した上で、自らが選んだ絶好のタイミングで最大の混乱を引き起こせるよう配置につくのです。
彼らの目的は、単にファイルを暗号化することではありません。復旧をできるだけ苦痛で、コストのかかるものにすることであり、それを止めさせるために身代金を要求することです。
その結果、広範な脅威グループによる恐喝キャンペーンの一環として、SalesforceのようなSaaSプラットフォームが狙われるケースがますます増えています。現代のランサムウェアグループは、インフラ自体を暗号化することはできない（権限がない）ため、代わりにビジネスに不可欠なデータを窃盗、改ざん、または削除することで、被害者への圧力を強めます。彼らが握る恐喝の交渉材料は、ロックされた画面ではありません。「顧客データベースを公開する」「商談パイプラインをすべて消去する」「復旧不可能なレベルでレコードを破損させる」という脅迫です。身代金の要求は、そこからスタートします。
「セキュリティ機能は侵害の可能性を減らすように設計されていますが、それが万全であると過信するべきではありません。特権アクセスが悪用されたとき、最終的にどれだけ迅速に復旧できるかを決定づけるのは、十分にテストされたバックアップおよび復旧戦略です」Karmina Aquino（Cloud Protection for Salesforce、脅威インテリジェンス責任者）
攻撃者がSalesforce組織に侵入する経路
ほとんどのセキュリティチームが想定しているよりも、侵入の起点は遥かに多く存在します。
- Salesforceの資格情報を盗み出すフィッシングメール
- 連携していたサードパーティ製アプリが後に侵害され、そこから付与されたOAuthトークン
- ユーザーが異変に気づく前にセッションCookieをキャプチャする、エンドポイントのマルウェア感染
- アクセス権が完全に削除されていなかった元従業員のアカウント
ひとたび内部に侵入されると、適切なアクセス権を持つ攻撃者は、従来のセキュリティアラートを1つも作動させることなく、甚大な被害をもたらすことができます。恐喝キャンペーンの一環として、彼らは以下のような行動に出る可能性があります。
- データベース全体の窃盗: レコードに一切触れる前に、顧客やパイプラインのデータベース全体を外部に流出させ、交渉のカードにする。
- レコードの大量削除: レコードを大量に削除し、それらがゴミ箱から完全に消去（パージ）されるまで潜伏することで、被害者の復旧手段をなくす。
- データのサイレント改ざん: すぐには気づかない方法でデータを破損させ、後続のすべての業務プロセスやデータの信頼性を根底から揺るがす。
- 正規の操作への擬態: これらすべてをSalesforceの標準UIから、正規の資格情報を使って行うため、監視している側からは「通常のユーザー行動」のように見える。
そこには暗号化もなければ、ロックされた画面に表示される身代金要求のメモも（少なくとも初期段階では）ありません。しかし、彼らは着実に交渉のレバーを構築しており、組織がその要求に抵抗できるかどうかは、「事件が起きる前にどのような保護策を講じていたか」に完全に依存するのです。
復旧における課題
こここそが、適切なバックアップ戦略の欠如が致命傷となるポイントであり、攻撃者の恐喝キャンペーンが真の権力を得る場所でもあります。もし攻撃者が大量のレコードを削除または破損させ、あなたがSalesforceの標準機能（15日間のゴミ箱、週次のCSVエクスポートなど）だけに頼っているとしたら、復旧の選択肢は著しく制限されます。そして、その「制限」こそが攻撃者の狙いであり、身代金の要求に現実味を持たせる原因なのです。
週次のエクスポートでは、オブジェクト間のリレーション（紐付け）データ、ワークフローの履歴、設定情報は復元されません。手に入るのは、ある特定の時点に存在したレコードの「CSV）」だけであり、それが被害に遭う前の正常な状態であるという保証すらありません。さらに、問題に気づくのが15日を過ぎてしまえば、ゴミ箱はすでに空になっています。問題の発見が遅すぎた組織にとって、復旧とは「不完全なデータからの再構築」「情報確認のための顧客や見込み客への再アプローチ」、そして「機能が低下したCRMでの数ヶ月に及ぶ業務」を意味します。失われた案件、失墜した顧客からの信頼、そして社内の混乱という観点から見たビジネスコストは、攻撃者が要求する身代金の額を容易に跳ね上がることになります。
結論（ここから得られる教訓）
Salesforceにおけるランサムウェアへの耐性（レジリエンス）とは、プラットフォームのインフラを保護することではありません。なぜなら、それはSalesforce社自身が担保しているからです。真に重要なのは、攻撃者があなたのCRMデータを恐喝の材料として悪用（窃盗、破損、削除）した場合に、組織が迅速かつ完全に復旧でき、攻撃者の要求の根拠を根こそぎ奪い取れる状態を作っておくことです。
そのためには、上書きされていく週次のエクスポートではなく、きめ細かな復元機能を備えた、継続的かつ自動化されたバックアップが必要です。ゴミ箱の中身に関係なく、正常だと分かっている特定の時点のレコード、リレーション、および設定をピンポイントで復元できる能力が求められます。信頼性の高い復旧態勢こそが、恐喝の脅威を無効化する唯一の手段なのです。
「ビジネスに不可欠なプロセスがSalesforceのようなSaaSプラットフォームに移行するにつれ、防衛（防御）と同じくらい『回復力（レジリエンス）』が重要になってきます。組織は、攻撃者を侵入させない計画だけでなく、正規の資格情報が悪用された場合にいかに迅速に復旧するかという計画も立てる必要があります」Karmina Aquino
ランサムウェアグループは、あなたのビジネスを人質に取るために、組織の物理インフラに触れる必要すらありません。ここで問われるのは、「あなたの組織の復旧態勢が、攻撃者のハッタリを跳ね返せるほど強固であるかどうか」、ただそれだけなのです。