強力に保護されたSalesforce環境であっても、避けて通れない「アイデンティティのリスク」が存在します。それがクレデンシャルスタッフィング（パスワードリスト攻撃）です。
自社のセキュリティ防御体制に不備がなかったとしても、誰かが「別の場所」でパスワードを使い回していたというだけで、自社のSalesforce環境が侵害される可能性があります。
クレデンシャルスタッフィングは、社外で発生した他者のデータ侵害を、一瞬にして「自社のSalesforceのセキュリティ問題」へと変貌させてしまうのです。
真の保護とは、攻撃者に悪用される前に、「すでに漏洩している認証情報はどれか」を事前に把握しておくことにほかなりません。
Salesforceにおける「クレデンシャルスタッフィング」の意味
クレデンシャルスタッフィングの仕組みは単純です。攻撃者は、過去のデータ侵害で流出した「ユーザー名とパスワードのリスト」を入手し、Salesforceを含む他のさまざまなプラットフォームでログインを試行し、現在も使えるものを探し出します。その際、効率を高めるためにボットが使用されることもあります。
非常に多くのユーザーがパスワードを使い回しているため、この攻撃は誰もが認めたがらないほどの高い確率で成功してしまいます。
Cloudflareの調査によると、ウェブサービス全体におけるログイン成功事例の41%に、すでに漏洩しているパスワードが関与していたことが明らかになっています（Cloudflare調べ）。
たとえ成功率が「0.1%」だったとしても、100万件の盗まれたペアを試行すれば、1,000件の有効なログインを確保できる計算になります。
これは、貴社のパートナー（外部組織）を含むユーザーがSalesforceにログインしている場合、決して他人事ではありません（※もう一度読み返す価値のある事実です）。
Salesforceが極めて高いリスクに晒される理由
クレデンシャルスタッフィングはどのプラットフォームにおいても危険ですが、Salesforceにおいては、人、データ、システム、オートメーションが密接に連携しているため、その被害はより甚大になります。
内部ユーザー
社員が使用するビジネス用の認証情報は、個人の認証情報と重複しがちです。個人向けサービスから漏洩したパスワードが、Salesforceのロックを解除する鍵になってしまうことがあります。
MFA（多要素認証）を導入していても、攻撃者は「プッシュ爆撃（MFA疲労攻撃）」や「トークン再現」などの手法を用いて、脆弱な実装をバイパスします。
ひとたび侵入を許せば、顧客リストのエクスポート、レコードの改ざん、あるいは信頼されたワークフロー内へのフィッシングリンクの埋め込みなどが容易に行われてしまいます。
コミュニティユーザー（Salesforce Experience Cloud）
パートナー、サプライヤー、顧客は、Salesforce Experience Cloud上に構築されたポータルを介し、Salesforceの「コミュニティユーザーアカウント」を使用して接続します。これらのアカウントは、企業のIAM（アイデンティティ・アクセス管理）による統制の対象外となることが多く、個人向けサイトや中小企業のサイトで使い回されている脆弱なパスワードに依存しがちです。攻撃者はこの傾向を熟知しており、悪用します。
実際、これらのアカウントの多くはすでに侵害されている可能性があります。ユーザーが過去のデータ侵害に曝された認証情報を使ってログインしている可能性があり、これは攻撃者に「正規の侵入経路」を与えているのも同然です。
パートナーのログイン情報が1つでも侵害されれば、顧客データの流出、不正な注文の発生、あるいは連携アプリへのOAuth接続の悪用といった事態を招きかねません。
「認証情報リサイクル」のパラドックス
パスワードの使い回しは、単にユーザーが怠慢だから起きるのではなく、管理すべきアカウント数が膨大になった現代における現実的な副作用です。ユーザーは数十ものアカウントを管理せざるを得ず、記憶するためにパスワードを使い回します。現実として、従業員の44%が個人用アカウントと仕事用アカウントの双方でパスワードを使い回しています（Cloudflare調べ）。
IBMの「データ侵害のコストに関する調査レポート 2025」によると、盗まれた、あるいは侵害された認証情報が関与するデータ侵害の対応にかかる平均コストは481万米ドルに達し、封じ込めまでに平均292日を要しています。これは、あらゆる攻撃ベクターの中で最も長い期間です（IBM調べ）。
使い回されたパスワードは、個人の情報漏洩を企業の基幹システムへと直結させます。2回使い回された「1つのパスワード」が、貴社のSalesforce組織の門戸を開けてしまうのです。
認証情報の流出といったアイデンティティのリスクは、長年にわたりセキュリティ上の大きな課題であり続けているにもかかわらず、現在広く普及しているセキュリティツールでは依然として対処できていない「死角」が存在します。
その代表的な死角が、Salesforceのコミュニティユーザーです。主なリスクは以下の要因から生じています。
外部ユーザーにおけるパスワード運用の甘さが常態化している： パートナーユーザーは、社内従業員のような厳格なパスワードポリシーに従っていないことがよくあります。
パートナーポータルで特に顕著なパスワードの使い回し： 監視の目が届かないため、多くのユーザーが個人アカウントや過去のアカウントのパスワードを再利用しています。
認証情報がすでに漏洩している高い可能性： 外部ユーザーは、過去のデータ侵害で漏洩した認証情報を使用して、貴社のSalesforceにログインしている可能性があります。
外部ユーザー自身はこうしたリスクを意識していない可能性が高く、彼らに貴社環境のアイデンティティ・セキュリティに対する責任を期待すべきではありません。Salesforceの顧客として、データ漏洩であれ金銭的詐欺であれ、その全リスクを背負うのは貴社自身です。侵害されたコミュニティユーザーアカウントの問題は、貴社自身が解決しなければならない課題なのです。
Identity Protectionによる認証情報漏洩リスクの最小化
MFAはSalesforceにおけるクレデンシャルスタッフィングを阻止できるか？
MFA（多要素認証）はクレデンシャルスタッフィングの成功率を大幅に下げますが、認証情報ベースのリスクを完全に排除するわけではありません。攻撃者は、MFA疲労攻撃、AiTM（中間者攻撃）、トークンの窃取、接続アプリやOAuthの悪用によってMFAをバイパスします。確実な保護を維持するには、フィッシング耐性のあるMFA、厳格なOAuth/トークンの管理、行動モニタリング（Event Monitoringなど）、そして攻撃者がログインする前に漏洩した認証情報を発見する「データ侵害インテリジェンス」を組み合わせた、多層的な防御策が必要です。
なぜ従来の防御策では見落とされてしまうのか
クレデンシャルスタッフィングは、ランダムなパスワード推測ではありません。流出した「有効な」認証情報を用いた、自動化されたログイン試行です。これに対抗するには、防御側もアプローチを変えなければなりません。
クレデンシャルスタッフィングは「有効な認証情報」を用いた自動化攻撃である 攻撃者はリーク（漏洩）リストとボットを使用し、様々なサイトで既知のユーザー名とパスワードの組み合わせを試します。総当たり（ブルートフォース）攻撃を防ぐ仕組みは、パスワードを最初から知っている攻撃者や、正規のログイン処理を止めることはできません。ログイン成功そのものが、すでに不審なイベントである可能性があります。
MFAはリスクを軽減するが、隙は残る MFAはパスワードのみを狙う攻撃の多くをブロックしますが、プッシュ爆撃、ソーシャルエンジニアリング、SIMスワップ、トークンの窃取、OAuth承認などの手法によって、脆弱な実装はすり抜けられてしまいます。
ログイン前に漏洩を検知するツールがほぼ存在しない ほとんどのセキュリティ対策は「認証時」に作動し、標準ではデータ侵害フィードをインポートしていません。漏洩情報のフィードがなければ、攻撃者が内部に侵入した「後」でしか異常に気づくことができません。
「ログイン失敗アラート」はあてにならない クレデンシャルスタッフィングでは、攻撃者は「有効であることが分かっている」認証情報に狙いを定めるため、ログイン失敗のノイズがほとんど発生しないことがあります。攻撃者はすでに使える鍵を持っているため、ログイン失敗のアラートだけに頼ることはできません。
Salesforceにおけるクレデンシャルスタッフィングの予兆
Salesforceにおけるクレデンシャルスタッフィングの典型的な兆候には、以下のようなものがあります。
- 普段とは異なるIPアドレスや国からのログイン成功
- 多数のアカウントにおける突発的なアクティビティの急増
- 目立たない形での不審なデータエクスポートやAPIクエリ
- Experience Cloudポータル内での不正行為（偽の注文の作成、既存請求書の編集など）
- 異常なOAuth認可またはトークンの使用
事例シナリオ: あるパートナーが、古いオンラインフォーラムで使用していたパスワードを使い回していました。攻撃者はそのログイン情報を入手し、パートナーポータルにログイン。ログイン失敗のアラートを一切作動させることなく、重要ビジネスプロセス内で不正行為（偽の注文の登録や既存注文の改ざん）を働き、ワークフロー内にフィッシングリンクを注入し、ファイルや機密データを外部へエクスポートしました。
Salesforceにおけるラテラルムーブメント
Salesforceにおけるラテラルムーブメント（横方向の移動）：リスクシナリオ
Dreamforceのキーノートで明確に示されたように、現在の攻撃者はアイデンティティを単一の標的としてではなく、「侵入経路（ルート）」として扱っています。攻撃者がクレデンシャルスタッフィングを通じてパートナーやコミュニティのアカウントを1つでも侵害すると、そのアカウントは内部偵察の足がかりや、ソーシャルエンジニアリングの踏み台へと変貌します。そこから攻撃は「アイデンティティからアイデンティティへ」と移動します。攻撃者はシステム内で得た知識を利用して内部従業員をフィッシングにかけ、OAuthトークンを新規作成または悪用し、あるいは接続アプリをインストールします。このプロセスのステップが進むごとに、被害の「影響範囲（ブラスト半径）」は拡大していきます。防御側の対策としては、単に特権を持つシステム管理者アカウントだけでなく、「すべての一般アカウントが潜在的なピボットポイント（攻撃転換点）になり得る」という前提で対処する必要があります
Salesforce内でのラテラルムーブメントは、以下のように連鎖し、スパイラル状に悪化していきます。
- 初期の足がかり： 攻撃者は、公開されたデータ漏洩リストや、パートナー・契約業者を標的にしたフィッシングキャンペーンから認証情報を取得します（これらのアカウントはSSO/MFAが未設定で、パスワードを使い回しているケースが多いためです）。
- 正規のアクセス： 攻撃者はExperience CloudなどのSalesforceのエントリーポイントにログインします。このアクティビティは、ネットワーク監視ツールやエンドポイントセキュリティからは「正常な活動」に見えます。
- 認証情報の収集と偵察： 組織の内部に侵入した攻撃者は、組織のメタデータ、共有ファイル、ユーザーリスト、接続アプリの構成、および組織内のロール（役割）を閲覧します。これらは、後続の攻撃を巧妙にカスタマイズするための極めて重要な情報となります。
- アイデンティティを介したラテラルムーブメント： 攻撃者は、ターゲットを絞ったフィッシングやソーシャルエンジニアリング（社内メッセージ、添付ファイル、ケースのコメントなど）を仕掛け、内部ユーザーのアイデンティティを侵害します。あるいは、OAuthトークンや接続アプリを作成・悪用して、パスワードがリセットされた後もアクセスを維持できるようにします。
- 自動化とスケール： 悪意のあるアクターは、AgentforceスタイルのワークフローやAPI自動化を悪用して、大量のアクションを実行し、データを窃取し、あるいは日常のルーティン業務に紛れ込ませながらビジネスプロセス詐欺を大規模に実行します。
- 結果： クラウドシステム全体にわたるデータ漏洩、詐欺、あるいは長期的な永続アクセスの確立へと繋がります。
Salesforce環境を防御する方法
クレデンシャルスタッフィングの阻止とは、単にログインをブロックすることではありません。「リスクを早期に検知し、迅速に対応すること」に尽きます。
- 攻撃者よりも先に認証情報の漏洩を検知する
自社の従業員や管理者から、Experience Cloudやコミュニティの外部ユーザーに至るまで、Salesforceの全ユーザー層を対象に、データ侵害インテリジェンスフィードと照合して監視します。WithSecure Cloud Protection for Salesforceの「Identity Protection」機能は、Salesforce内のユーザー識別子をスキャンし、漏洩をフラグ立てするため、管理者は優先順位をつけて対処することができます。※検知によって自動的にアカウントが停止されるわけではありませんが、可視化されることが、対応と調査における最初の一歩となります。 - アクセスハイジーンの強化
MFAとSSOを一貫して適用し、未使用のアカウントを削除し、接続アプリには管理者による承認を必須とします。OAuthのスコープを制限し、リフレッシュトークンのローテーションを有効にし、各アプリには最小限の権限のみを持つ一意の連携用ユーザーを割り当てます。外部／コミュニティユーザーに対しては、SSOを必須にするか、認証情報の漏洩が検知された時点でSalesforceのパスワード強制リセットを実行します。これらのステップにより、パスワードの使い回しやOAuthの悪用による攻撃対象領域を大幅に縮小できます。 - 監視と対応（テレメトリと漏洩インテリジェンスの関連付け）
イベントモニタリングとSalesforce ShieldのログをSOCに連携させ、漏洩アラートと「ログイン後の不審な挙動」（大量のエクスポート、異常なトークンの更新、普段と異なる場所からのアクセスなど）を関連付けて分析できるようにします。漏洩の事実と疑わしいアクティビティが同時に確認された場合は、アカウントのロック、トークンの取り消し、パスワード強制リセット、およびインシデント対応チームへの通知といった適切な処置を即座に実行できます。
現実的なアドバイス： 漏洩の可視化は極めて重要ですが、それ単体では不十分です。認証情報の漏洩スキャンを「早期警告シグナル」として扱い、フィッシング耐性のあるMFA、OAuth/トークンの衛生管理、厳格な接続アプリポリシー、セグメンテーション、自動化されたアカウントの取り消し処理と組み合わせることで、アカウントの乗っ取りを未然に防ぐ包括的なアプローチを構築してください。
Salesforce環境の境界線は「アイデンティティ」です。
攻撃者は人間の行動の隙を突いてきます。Salesforce環境における防衛の最前線（境界線）はアイデンティティであり、その「可視性」こそが防御の基盤となります。
WithSecure Cloud Protection for SalesforceのIdentity Protectionは、Salesforce内で直接この可視性を提供し、攻撃者に悪用される前に漏洩したSalesforceユーザーの認証情報を検知します。