認証情報の窃取は、サイバー犯罪における最古の手口の一つであり、統計を見ても今なお最も成功している手法です。2025年の「ベライゾン データ侵害調査報告書（Verizon DBIR）」によると、世界中で発生した全データ侵害の22%が、盗まれた認証情報や使い回された認証情報に起因していました。また、2025年の「IBM データ侵害のコストに関する調査レポート」では、これらのインシデントによって組織が被る平均コストは481万米ドルに達し、封じ込めまでに292日を要することが明らかになりました。これは、他のどの侵害ベクターよりも長い期間です。
Salesforceも例外ではありません。WithSecureのテレメトリデータによると、昨年、Salesforceの1組織（環境単位ではなく、単一の組織「org」単位）あたり平均900件の悪意のあるURLが検出されました。その多くは、信頼されたワークフロー内で行われるフィッシングや、認証情報の窃取を狙った試みに関連していました
このトレンドの理由は単純であり、サイバーセキュリティの世界ではすでに不幸な「決まり文句」となっています。「攻撃者は、ログインさえできれば、システムをハッキングしてこじ開ける必要がない」のです。ひとたびSalesforceにログインされてしまえば、攻撃者は、極めて価値の高いデータが大量に蓄積され、強固な信頼関係で繋がれたビジネスプラットフォームの「内部」から行動を開始することになります。
攻撃者がいったん侵入すると、その侵害が1箇所に綺麗に留まることは滅多にありません。最初は1つのログイン情報の漏洩から始まったものが、アイデンティティ間（システム間だけでなく、アイデンティティからアイデンティティへ）の「信頼関係の悪用」の連鎖へと瞬く間に発展していきます。攻撃者は、得た足がかりを利用して情報を収集し、同僚になりすまし、アカウントや連携システムを横断してラテラルムーブメントを行います。侵害されるアイデンティティが1つ増えるたびに、データ侵害の範囲は拡大していきます。
Salesforceにおける認証情報窃取のシナリオ
Salesforceのアイデンティティは、あらゆる場所に存在します。従業員、管理者、外部契約業者、サプライヤー、顧客、そして統合されたシステムなど、すべてが同じ環境に対して認証を行います。これらすべてのアイデンティティ（内部・外部を問わず）が、侵害の侵入経路になる可能性があります。
認証情報の窃取は、多くの場合、Salesforceから遠く離れた場所で始まります。例えば、従業員が個人のSaaSアカウントでパスワードを使い回していたり、サードパーティのポータルでのデータ侵害によってパートナーのログイン資格情報が流出したりします。その後、これらの認証情報は、ログインに成功するまで自動化された「クレデンシャルスタッフィング（パスワードリスト攻撃）」によって試行されます。
025年に発生したJiraの認証情報漏洩事案は、まさにこのパターンをたどったものでした。攻撃者は過去のインシデントで流出した有効な認証情報を使い回して正規にログインし、大規模なデータ収集を行いました。Salesforceでも全く同じプレイブック（攻撃手法）が適用されます。有効なユーザーアカウントが1つでも侵害されると、そのアカウントを信頼しているすべてのAPI、連携、接続アプリが攻撃対象領域の一部となってしまいます。
これが、現代のSaaS環境の内部でラテラルムーブメントが発生する仕組みです。侵害されたユーザーは、データにアクセスできるだけでなく、「信頼（Trust）」を継承します。その信頼を利用して、接続アプリを承認したり、OAuthトークンを生成したり、自身の代理として動作するオートメーション（自動化プロセス）をトリガーしたりできます。早期の検知がなければ、この連鎖反応はSalesforce、そしてそこにリンクされているすべてのシステムへと静かに広がっていきます。
見えざる攻撃対象領域：コミュニティおよび外部ユーザー
Salesforce Experience Cloudポータルにより、パートナー、サプライヤー、顧客は直接コラボレーションし、データを共有できます。しかし、これらの外部ユーザーは、企業のIAMやセキュリティポリシーの適用範囲外に置かれていることが多々あります。
彼らは別の認証情報でサインインしている可能性があり、脆弱なパスワードを使用していたり、他のシステムで使い回していたりすることがあります。従業員とは異なり、シングルサインオン（SSO）や強力な多要素認証（MFA）の適用対象になっていないことも稀ではありません。彼らのログイン活動は、企業のアイデンティティログに一切記録されないこともあります。
ここに、攻撃者にとっての「付け入る隙」が生まれます。
侵害されたコミュニティアカウントは、パートナーになりすまし、ケースを修正し、添付ファイルをダウンロードし、あるいは環境のより深部へと繋がる自動化処理を実行できます。そこから彼らは横方向にピボットし、見過ごされていた外部アイデンティティから、信頼関係や連携システムを介して、特権を持つ内部アカウントへと侵入を拡大していきます。
Salesforceの強みである「接続されたエコシステム」は、同時に標的とされる要因でもあります。各接続は1つのアイデンティティを表しており、すべてのアイデンティティが潜在的な侵入経路となります。
単一のアイデンティティが侵害された場合の影響
攻撃者がSalesforceへのアクセス権を持つ有効な認証情報を取得すると、彼らは「信頼」を継承することになり、以下のような結果を招きます。
データ漏洩
Salesforceには、顧客レコード、ケース添付ファイルに含まれる機密性の高いビジネスの詳細、契約書、財務情報など、企業で最も機密性の高いデータが保管されています。侵害されたアカウントは、これらのデータを気づかれることなく閲覧・エクスポートできます。
ラテラルムーブメント
1つの有効なログインから連鎖反応が始まります。最初は1つのアカウントの侵害から始まり、アイデンティティからアイデンティティへと拡大していきます。コミュニティやパートナーのユーザーが内部スタッフになりすましたり、接続アプリを承認したり、新しいアクセス経路を開くオートメーションを実行したりします。この「相互接続性」こそがラテラルムーブメントを可能にする要因です。脆弱性を悪用するのではなく、正規の信頼関係を利用して拡散し、複数のシステム間でアイデンティティを連鎖させ、最終的には最初の侵害をマルチプラットフォームにわたる侵害へと発展させます。
サプライチェーンの侵害
Salesforceの連携機能は、ERP、HR、その他さまざまな運用、コラボレーション、ビジネスシステムに接続しています。攻撃者は侵入後、システム間を横方向にピボットし、1つの侵害されたログイン情報をマルチプラットフォームのデータ侵害へと変貌させる可能性があります
詐欺と改ざん
攻撃者は、侵害されたアカウントを悪用して、偽の注文を送信したり、請求書を改ざんしたり、ワークフローを操作したりできます。ある実例では、攻撃者が侵害されたコミュニティのログイン情報を悪用し、正規の顧客レコードに不正な銀行口座情報を挿入しました。
なりすましとソーシャルエンジニアリング
有効なSalesforceのアイデンティティを使用することで、攻撃者は従業員やパートナーになりすまして信頼性の高いリクエストを送信したり、フィッシングリンクを配布したり、極めて巧妙なソーシャルエンジニアリングを通じてさらなるアクセス権を取得したりできます。
マルウェアやフィッシングの配信
攻撃者は、マルウェアやフィッシングの配信プラットフォームとしてSalesforce自体を悪用するケースを増やしています（2025年は2024年と比較して20倍の増加を観測しています）。ケースファイルに悪意のあるリンクを埋め込んだり、添付ファイルにQRコードを挿入したりします。これらはすべて「信頼されたドメイン」内から行われるため、ユーザーがクリックしてしまう確率は格段に高くなります。
これらのリスクは、実際のインシデントで見られるパターン（認証情報の窃取から始まり、データ窃盗、詐欺、接続されたクラウドエコシステム全体における信頼の悪用へと至るプロセス）を正確に反映しています。
なぜ認証情報の窃取は検知が難しいのか
アイデンティティのリスクからSalesforce環境を保護するために、実行できる具体的な対策はいくつか存在します。しかし、MFAやSSOといった従来のアイデンティティ管理策は「不可欠であるものの、それだけでは不十分である」という点を念頭に置くことが重要です。
これらは、ユーザーが「どのようにログインするか」を検証するものであり、そのユーザーの認証情報が「すでに他の場所で流出しているかどうか」を監視するものではありません。
Salesforce自体は、漏洩した認証情報の監視を行っていません。また、一般的なIAMやXDRツールは、Salesforceのコミュニティアカウントに対する可視性を持っていません。さらに、アイデンティティ侵害の監視ツールは外部で動作しているため、Salesforceのユーザーディレクトリとは切り離されています。
その結果、グローバルなデータ侵害インテリジェンスツールと、Salesforceの内部に存在するアイデンティティとの間に、「監視の死角」が生じてしまいます。
攻撃者がこの隙を突くとき、アラートを一切作動させることなく、正規のアクセス権を持って侵入することになります。
WithSecure Cloud Protection for Salesforce の「Identity Protection」機能のご紹介
WithSecure Cloud Protection for Salesforceの「Identity Protection」機能は、見過ごされている認証情報の漏洩を排除し、攻撃者が悪用する前に防御者がリスクを軽減できるように開発されました。
この機能は、内部ユーザーおよびコミュニティユーザーを含むSalesforceのユーザーアカウントを、最新のダークウェブにおける情報漏洩インテリジェンスなどの「脅威インテリジェンス」と照らし合わせて継続的に監視します。既知または新たに発生したデータ漏洩に存在する認証情報を特定し、該当するユーザーにSalesforce内で直接フラグを立てて、迅速な対応を可能にします。
ユーザーの認証情報が既知のデータ漏洩データに含まれている場合、システムは詳細な侵害情報と深刻度とともにフラグを立てます。
管理者は以下の情報を把握できます。
- どのユーザーが、いつ漏洩の危険にさらされたか
- 漏洩元とパスワードのフォーマット
- リスクの深刻度と次に取るべきアクション
スキャンは自動的に実行され、ユーザーの認証情報が漏洩データから見つかった場合、組織に即座にアラートが通知されます。検出された事象はすべて監査およびコンプライアンス用にログ記録され、インシデント対応だけでなく、各種コンプライアンスフレームワークへの対応を支援します。
Identity Protectionは、WithSecure Cloud Protection for Salesforceアプリ内の保護レイヤーとして、完全にSalesforce内で動作します。この機能は、MFA、SSO、イベントモニタリングを補完し、これらのツールでは提供できない「認証情報漏洩の継続的な把握」という付加価値を提供します。
Salesforceにおいて、たった1つの侵害されたログイン情報が、顧客データ、ビジネスプロセス、そして連携システムへのアクセスを許す原因になります。
Identity Protectionは、漏洩した認証情報が悪用される前に検知することで、そのリスクを「早期警告システム」へと転換します。単一の侵害されたユーザーアカウントから始まり得る、認証情報ベースの詐欺、なりすまし、サプライチェーンの悪用からビジネスを保護します。
ユースケースとリスクシナリオ
認証情報の窃取リスク、およびその軽減策は、さまざまなSalesforce環境において多様な形で実証されます。具体的には、以下のような例が挙げられます。
金融サービス
サードパーティの小売業におけるデータ侵害で、サプライヤーのコミュニティアカウントの認証情報が漏洩しました。攻撃者はそれらを使い回し、不正なリクエストを送信して契約データにアクセスしようとしました。Identity Protectionは、次のログイン試行の前に漏洩を検知し、管理者が認証情報をリセットして金銭的損失を防止しました。
テクノロジー企業
エンジニアが個人のコードリポジトリで、企業のメールアドレスとパスワードを使い回していました。そのリポジトリが侵害された際、同一の認証情報が流出データ内に現れました。Identity Protectionは定期スキャン中にこのユーザーにフラグを立て、知的財産が含まれるSalesforce環境への潜在的なラテラルムーブメントを阻止しました。
公共セクター
コンサルタントのパートナーポータルアカウントが、ダークウェブの認証情報ダンプ（流出データ）に含まれていました。Identity Protectionは侵害されたアイデンティティを特定し、直ちに管理者に通知しました。データ漏洩が発生する前に、アカウントは一時停止され、アクセスログの確認が行われました。
これらすべての例において、結果は同じです。すなわち、「悪用される前の検知」です。
戦略的インパクト：データ侵害を最初の一歩で阻止する
すべての重大なデータ侵害は、最初のアクセスイベントから始まります。そして多くの場合、そのアクセス自体は「正規のもの」です。Dreamforce 2025のセキュリティキーノートで強調されたように、攻撃者は現在、従来の「サーバーからサーバーへ」ではなく、「アイデンティティからアイデンティティへ」と移動しています。WithSecure Cloud Protection for SalesforceのIdentity Protectionは、攻撃者が信頼されたアカウントを介してラテラルムーブメントを行う前に漏洩した認証情報を検知し、その連鎖を早期に断ち切ります。
攻撃者が行動を起こす前に侵害されたユーザーを特定することで、Identity Protectionは攻撃チェーンの初期フェーズにおける「沈黙」を「シグナル」へと変えます。これは、現実世界のデータ侵害インテリジェンスを、Salesforce環境を定義する「人」や「ユーザーアカウント」に直接マッピングする可視性レイヤーです。
その結果、滞留時間が短縮され、迅速な対応が可能となり、アイデンティティ関連のリスクを確実に低減することができます。
Identity Protectionは、セキュリティチームに対して、Salesforceにおけるかつてない強力な手段を提供します。それは、認証情報の漏洩が実際の「侵害」に発展する前に、それを可視化し、対策を講じる能力です。