驚くべきことに、Salesforceに関しては、侵入経路、ユーザー、コンテンツの内容に関わらず「エンドポイントセキュリティがすべての脅威を検知してくれるだろう」と仮定して、依然としてその危険なギャンブルに身を投じている組織が少なくありません。これは時代遅れであり、極めて危険な思い込みです。
現代のエンタープライズにおいて、単一の防御層に依存することは許されません — 決して。
エンドポイント保護は必要不可欠ですが、それは最初の砦ではなく「最後のセーフティネット」です。脅威がエンドポイントに到達した時点ですでに、予防的なセキュリティコントロールは突破されています。最もスマートな組織は、メール保護、ネットワークセグメンテーション、ブラウザ分離、そしてSalesforceのようなビジネスプラットフォーム向けのクラウドネイティブセキュリティを組み合わせた「多層防御」を構築しています。
万が一、エンドポイントセキュリティが突破された場合（実際に起こり得ることです）、Salesforceのレコードや自動化プロセスにすでに埋め込まれているマルウェアやフィッシングリンクを止めるものは何が残されているでしょうか？ 多くの場合、その答えは「何も残されていない」です。
メールセキュリティは「最低限の嗜み」です。Salesforceも同様に扱われるべきです。
私たちは皆、高度なメールセキュリティを「不可欠なもの」として当たり前に受け入れています。しかし、リスクが現実かつ増大しているにもかかわらず、なぜか同じ論理がSalesforceのセキュリティには適用されていません。
今日のSalesforceは、単なるCRMをはるかに超えた存在です。
- Webフォーム、API、チャットボット、Email-to-Case（メールからケースへの変換）からのコンテンツを処理する
- ファイルやURLを保存し、共有する
- ワークフローやAIを介して自動的にコミュニケーションを送信する
- ビジネス機能全体に深く統合されている
しかし、SalesforceはファイルやURLの脅威スキャンをネイティブでは行いません。
Salesforceには、フィッシングやマルウェアをフィルタリングする機能が組み込まれていないのです。これは、Salesforceが顧客データや業務上の機密データを扱っていることを考えると重大な問題です。悪意のあるコンテンツがメールの受信トレイに入るのを許さないのであれば、なぜSalesforceインスタンスに入るのを許してしまうのでしょうか？
Salesforceは攻撃経路としてますます悪用されています
脅威インテリジェンス（脅威情報）は、Salesforceが現在、攻撃者にとって「好ましいプラットフォーム」になっていることを示しています。Salesforceは、ワークフロー、コミュニティポータル、あるいはAPIの悪用を通じて、脅威の配信、ラテラルムーブメント、持続的なアクセスのために利用されています。
弊社のブログ「Salesforce Attacks in 2025」では、ユーザーへのなりすまし、アップロードファイルへのマルウェアの隠ぺい、あるいはQRコードや短縮URLを悪用したフィッシングポータルへの誘導など、信頼されたプロセス内部に脅威を埋め込むことで、攻撃者がいかにして従来のセキュリティ統制をバイパスしているかを概説しています。これらのSalesforceを標的にした攻撃パターンは、頻度と高度さの両面で増大しています。
Salesforceサイバー脅威レポート 2025年上半期版を読んで、詳細な戦術と検知の分析を確認ください。.
メールセキュリティを導入していても、Salesforceには独自の保護が必要です
メールフィルターは、Salesforce内のコンテンツには適用されません。
脅威は、以下のような経路から侵入する可能性があります。
- Web-to-ケースフォームや、公開されているリード獲得フロー
- コミュニティおよびパートナーポータル
- チャットボットやライブチャットの連携機能
- API主導のファイル転送やマーケティング自動化
- Salesforceの受信トレイへの直接メール（メール-to-ケース）
これらはすべて、既存のメールセキュリティスタックを完全にバイパスします。 ここで問いかけるべき正しい質問は、「自社のメールは安全か？」ではなく、「自社のSalesforce環境を保護しているものは何か？」です。
しかし、Salesforce側がすでにセキュリティを処理しているのでは？
Salesforceは、MFA（多要素認証）、アクセス制御、監査ログなどの堅牢なプラットフォームレベルのセキュリティを提供しています。しかし、他のプラットフォームと同様に、Salesforceも「コンテンツのセキュリティ」はお客様（ユーザー側）が処理することを前提としています。
Salesforceが提供「しない」機能は以下の通りです。
- アップロード時またはダウンロード時のファイルスキャン
- コンテンツ内のマルウェアやフィッシングリンクの検出
- 悪意のあるQRコードや不審なリダイレクトのブロック
これは懸念すべきギャップです。悪意のあるファイルやリンクが、検知されないまま社内環境に居座り続ける可能性があります。さらに最悪なのは、それらが顧客やパートナーに共有されてしまうことです。
Salesforce自身もこれに同意しています。同社の『IT 最新事情：セキュリティ』によると、セキュリティリーダーの約50%が「自社のデータ基盤が自律型AI（Agentic AI）を受け入れる準備ができていない」と懸念しており、55%が「AIエージェントを安全に展開するために必要なガードレールが整っている自信がない」と回答しています。
防御対策がSalesforce内部のコンテンツにまで及んでいない場合、企業はSalesforceのデータ侵害リスクに晒されることになります。
NISTサイバーセキュリティフレームワークとの整合性
NISTサイバーセキュリティフレームワーク（CSF）は、以下の5つのコア機能を強調しています。
「特定（Identify）」「防御（Protect）」「検知（Detect）」「対応（Respond）」「復旧（Recover）」
Salesforceのネイティブ機能は、アクセス制御や設定を通じて「特定」と「防御」に役立ちますが、多くの組織は、Salesforce内のフィッシングリンク、ファイル内のマルウェア、悪意のあるURLに関する「検知」と「対応」のカバー範囲が不足しています。
NIST CSFのインプリメンテーションティアにおいて「ティア3（繰り返し適用可能）」または「ティア4（適応領域）」の成熟度に達するには、Salesforceを含むすべてのプラットフォームにおいて、プロアクティブかつリアルタイムの検知と可視性を確保する必要があります。
ここで、CRM向けマルウェア保護機能や、クラウドネイティブなSalesforce脅威検知ツールの出番となります。
「WithSecure Cloud Protection for Salesforce」は、ユーザーが接触する前に悪意のあるファイルやリンクをブロックするため、「防御（Protect）」に分類したくなります。しかし、このソリューションの真の機能的な強みは、Salesforce内部におけるリアルタイムの「検知（Detect）」と「封じ込め（対応：Respond）」にあります。これこそが、大半のエンタープライズセキュリティアーキテクチャにおける死角です。メールゲートウェイやエンドポイントセキュリティなどの従来の防御ツールでは、このプラットフォーム内部のレイヤーを視認することができません。
NIST CSFの観点から見ると、WithSecure Cloud Protection for Salesforceは以下の役割を果たします。
- 検知（Detect）のギャップを解消: SaaSアプリケーションのコンテンツ内にある、他のツールでは決して見えない脅威をあぶり出します。
- 迅速な対応（Respond）の実現: 統合された可視性、監査証跡、アナリティクスにより、インシデント調査を強力にサポートし、迅速な対応を可能にします。
- 脅威の拡散防止: 脅威が検知された時点で、接続されているユーザーやシステムへの拡散を未然に防ぎます
したがって、本ソリューションは「防御」の成果にも貢献しつつ、機能的な位置づけとしては「検知」および「対応」に整合しています。周辺だけでなく、Salesforceの「内部」で何が起きているかを見極め、阻止する力を組織に提供します。
なぜこれが重要なのか：現実世界のリスク
2025年、UNC6040などの攻撃グループが、カスタマイズされたSalesforceアプリを悪用してデータを持ち出し、企業を恐喝する事件が発生しました。Googleの研究でも、攻撃者がSalesforceアプリの信頼性と権限をレバレッジ（悪用）し、横方向に移動しながら、多くの場合数週間にわたって検知を免れ続けていた手口が示されています。
ここから得られる厳しい教訓とは何でしょうか？ それは、「Salesforceの内部で起きていることには、独自の防御レイヤーが必要である」ということです。
今日からできること
WithSecure Cloud Protection for Salesforceは、Salesforceインスタンスの処理速度を落とすことなく、欠けている防御レイヤーを提供します。
- ファイルやリンクのリアルタイムスキャン
- QRコード、リダイレクト、検知回避型フォーマットを悪用したフィッシングの検知
- コンプライアンスとフォレンジック（フォレンジック調査）のための完全な監査証跡
- 社内ユーザーと外部ユーザー（パートナー・顧客）の双方をカバー
- Salesforceネイティブアプリ：リダイレクトやミドルウェアは不要
このソリューションはSalesforce専用に構築されており、エンドポイント、メール、ネットワークの防御を補完し、Salesforce内部で発生する事象をリアルタイムで保護します。