Salesforceは、顧客のSalesforce環境に接続されているGainsight社製アプリケーションに関連した「異常なアクティビティ」を検知したと公表しました。現在も調査は進行中ですが、Salesforceの初期調査によると、このアクティビティにより、アプリの連携コネクションを経由して、特定のGainsightユーザーのSalesforceデータへ不正アクセスされた可能性があることが判明しています。
これを受けてSalesforceは予防措置として、Gainsightアプリケーションに関連するすべてのアクティブなアクセスキーおよびリフレッシュトークンを即座に失効させ、同アプリをAppExchangeから一時的に取り下げる措置を講じました。なお、Salesforce側は「Salesforceプラットフォーム自体に脆弱性があった証拠はない」と明言しています。
Gainsight側も、本インシデントの根本原因、影響範囲、および規模を把握するため、全面的なフォレンジック調査を実施していることを発表しています。
企業が今すぐ警戒すべき理由
- プラットフォームではなく「接続アプリ」の侵害
今回のインシデントはSalesforce自体の問題ではなく、サードパーティベンダーの統合機能（インテグレーション）を狙った攻撃です。サードパーティ製品との連携レイヤーは、企業の「セキュリティ境界の一部」として厳格に扱う必要があることを改めて浮き彫りにしています - 過去の攻撃キャンペーンとの類似性
過去に発生したSalesloftおよびDriftを巻き込んだ攻撃キャンペーンでは、窃取されたOAuthトークンがSalesforce連携を悪用するために使われました。今回のGainsightの件も調査完了には至っていないものの、いくつかの類似点が観察されています。Gainsight自身も前述のDriftのインシデントで影響を受けた組織の一つですが、現時点で「前回のインシデントが今回の原因になった」という確証はありません。 - 現在も調査中であり、攻撃者の特定は最終確定していない
根本原因、データアクセスの範囲、最終的な犯行声明の裏付けなど、重要な詳細は未だ調査中です。ただし、脅威アクターグループである「ShinyHunters」が今回の件に関してパブリックに犯行声明を出しています。
組織が「今すぐ」講じるべき対策
- 統合アプリの棚卸しを実施する: Salesforce環境内に導入されているすべてのGainsight関連アプリケーション、およびその他の高リスクな連携アプリ（Connected Apps）を明確に特定してください。
- 権限とスコープの見直し: 連携している各アプリケーションのOAuthスコープおよびアクセス権限を検証してください。使用されていない権限や、過剰な特権（特権の乱用リスクがあるもの）は削除または制限します。
- 認証情報とトークンのローテーション 安全を期すため、OAuthトークン、APIキー、および統合用のシステム認証情報を更新することを検討してください。
- ログ情報と監査ログの確認 Salesforceの「設定変更監査トラップ」、接続アプリケーションの使用状況ログ、API呼び出し履歴を精査し、不審な挙動や異常なアクセスパターンがないか確認してください。
- ベンダー連携ガバナンスの強化: サードパーティ製アプリの承認プロセス、監視体制、および定期的なセキュリティレビューにおいて、「ベンダー単体のリスク評価」だけでなく、「統合レイヤーにおける実際のアクセス権限レベル」まで踏み込んだ評価フローを構築してください。
最新情報の確認先
- Salesforceからのアドバイザリー：
- Gainsightからの調査報告：
今回のインシデントは、現代のSaaSエコシステムにおける動かしがたい現実を突きつけています。「セキュリティの境界線は、コアとなるプラットフォームの枠を超え、そこに接続されたすべてのインテグレーション、アプリ、そして背後にあるトークンにまで広がっている」ということです。Salesforceを利用する企業が今すぐ実行できる最も効果的な防衛策は、統合レイヤーにおける可視化、ガバナンス、および制御を徹底的に強化することです。