WithSecure™ Cloud Protection for Salesforce
既存のセキュリティ対策では、Salesforce環境を保護しきれない。
テクノロジー企業のセキュリティは世界で最も成熟しています。しかし、どれほど高度なツールやチームを備えていても、既存の仕組みではカバーしきれない「領域の欠落」が存在するのです。
貴社の商取引の中枢には、常にSalesforceがあります。そこには製品の利用状況から価格情報、顧客のサポート履歴、機密性の高い見積データまで、ビジネスのすべてが詰まっています。2025年、攻撃者は気づいてしまいました。この宝庫に到達する最短ルートは、堅牢なファイアウォールを突破することではなく、貴社のSalesforceに既に「信頼」されている統合アプリやOAuthトークンを乗っ取ることに他ならないと。
2025年、最も深刻な被害をもたらした攻撃は、防壁を突き破ることはありませんでした。それらは「すでに信頼されているもの」を悪用したのです。あなたのSalesforce環境は、その標的になっていませんか？
テクノロジー分野におけるSalesforce侵害の典型的な攻撃パターンは、総当たり攻撃やスタッフへのフィッシングではありません。それは、正規のアクセス権を悪用し、アラートを一度も鳴らすことなくデータを組織的に持ち出す手法です。例を挙げれば、接続された統合機能のOAuthトークン、不適切に設定されたパートナーポータルの権限、そしてサポートケースのワークフローから窃取された認証情報などが、その手口となります。
2026年度版 Salesforce 脅威ランドスケープレポートを入手
Salesforceのプラットフォームなら安心 – そう考えるのは早計かもしれません。当社の「2026年度版 Salesforce 脅威ランドスケープレポート」が示す数値は、金融業界におけるセキュリティの自己防衛が不可欠であることを物語っています。
世界中のエンタープライズ企業から厚い信頼を獲得
Rolls-Royce & Partners Finance
“ユーザーがアクセスするすべてのファイルとリンクは、即座にスキャンされ、安全であることが保証されています。これにより、コンプライアンスの実現と、何にも代えがたい安心の両方を手に入れることができます”
Rolls-Royce & Partners Finance
ABN AMRO Insurances
“導入してすぐのことでした。Clound Protection が検知・隔離したファイルを解析したところ、本物のウイルスであることが判明しました”
Roel van de Donk, リードプロダクトオーナー
AXA Group Operations
“WithSecure Cloud Protectionのソリューションは、バックグラウンドで静かに動作します。作業の邪魔になることはありませんが、Salesforceを通過するすべてのデータが安全であることを確信させてくれます”
Xavier Léon, 再保険事業アプリケーション部門長
いかに強固なセキュリティを誇る企業であっても、侵害のリスクをゼロにすることはできません。
2025年の「Salesloft/Drift」サプライチェーン攻撃は、テクノロジー業界が直面する脅威を最も明確に物語る事例です。これは力任せの総当たり攻撃ではなく、極めて計画的かつ「信頼されたアクセス」を悪用したオペレーションでした。この攻撃が成功したのは、Salesforceの統合機能がいかに深く信頼されているか、その隙を突いたからに他なりません。
Salesloft Drift サプライチェーンキャンペーン (2025)
SalesloftとDriftの連携における脆弱性を悪用し、同連携機能を接続していたテクノロジー企業のSalesforceインスタンス間でOAuthトークンを不正利用した攻撃。
窃取されたデータ
テクノロジー企業のSalesforce環境には、製品の利用状況、サブスクリプションや価格データ、サポート対応の履歴、顧客ログ、テナント属性、パートナー企業の案件登録情報、さらには見積もりから回収にいたる記録などが集約されています。攻撃者は、まさにこれらのデータを組織的に標的としました。
既存のセキュリティ対策で検知できなかった理由
この攻撃は、信頼された外部連携、不適切な権限設定、そして監視の目をかいくぐるOAuthのアクセスパターンを悪用したものでした。テクノロジー企業が巨額の投資を行っている既存のセキュリティ対策は、そのどれもがSalesforceの「内部」に配置されていませんでした。しかし、実際の不正アクセスやデータの持ち出しが行われたのは、まさにそのSalesforceの内部だったのです。
貴社のセキュリティアーキテクチャに存在するギャップには、特定の「空白地帯」があります。
OAuthとインテグレーションの無秩序な拡大
一般的なテクノロジー企業では、数十ものツールがSalesforceに接続されています。そして、それらすべてのOAuth接続が潜在的な攻撃対象領域となり得るのです。接続しているインテグレーションがたった一つでも侵害されれば、攻撃者はそのツールが持つSalesforceの権限をそのまま引き継いでしまいます。さらに深刻なことに、一度接続されたトークンが「内部でどのような挙動をしているか」を監視・制限するための標準ツールは、Salesforce側には存在しません。
認証情報の「宝の山」と化すサポートケース
テクノロジー企業のサポートケース（問い合わせ履歴）には、問題解決のために顧客から共有されたAPIキー、認証トークン、ログファイル、設定データなどが日常的に含まれています。しかし、これらのコンテンツは、コンテンツ検査も、マスキングも、アラート通知も設定されないまま、Salesforce内に格納されているのが実情です。サポートのワークフローへのアクセス権を手に入れた攻撃者は、これらの重要な認証情報を組織的かつ根こそぎ収穫することができます。
コンテンツ検査のないパートナーポータル
ISV、リセラー、導入パートナー、システムインテグレーターなどは、パートナーポータルを通じて貴社のSalesforce環境とつながっています。彼らはファイルをアップロードし、リンクを共有し、貴社のワークフローへ直接コンテンツを送信しますが、そのすべてが「検査なし」で受け入れられているのが実情です。万が一、パートナー企業のアカウントが侵害されたり、第三者から悪意あるファイルが送信されたりした場合、それらは貴社のセキュリティ製品群が「信頼済み」と見なしているチャネルをすり抜け、社内環境へとやすやすと侵入してしまいます。
攻撃者は、貴社が「信頼している」Salesforceワークフローのどこから侵入するのか？
これらは決して、仮定の話ではありません。貴社のチームが日々「安全だと信じて」実行している、日常的な業務フローそのものなのです
- 営業・収益ワークフロー 顧客がアップロードする見積書、価格表、提案資料がSalesforce内を絶えず行き交っています。これらのファイルはコンテンツ検査を一切経ることなく、貴社の環境に到達します。
- サポートケース対応 顧客はログファイルや設定資料、診断データをケースに添付します。APIキーや認証情報、機密データが含まれている可能性があるにもかかわらず、一切の検査やマスキングが行われていません。
- パートナー・代理店ポータル 第三者パートナーが取引登録や契約書を直接貴社のSalesforce組織にアップロードします。パートナーのアカウントが侵害されれば、貴社のエンドポイント制御は完全にバイパスされます。
- 顧客セルフサービス・コミュニティサイト 顧客は「Experience Cloud」を通じてコンテンツを送信しますが、URL検査もファイルスキャンもありません。フィッシングリンクや悪意ある添付ファイルが、「信頼されたチャネル」を隠れ蓑にして侵入します。
- 見積から回収までの商用ワークフロー サブスクリプション情報や価格戦略など、競争力の源泉となる商用データがSalesforceに集約されています。ここは競合によるデータ流出の格好の標的です。
- 外部連携・OAuthアプリケーション 接続されたすべてのアプリは、明示的に取り消されない限りSalesforceの権限を保持し続けます。トークンの不正利用は「正規のアクセス」を装うため、既存のセキュリティツールでは検知できません。
- Agentforceによる顧客コンテンツ処理 AIエージェントが顧客からのコンテンツをリアルタイムで処理する際、受け取った内容を無批判に実行します。AIの振る舞いを操作する「プロンプトインジェクション」を含め、処理前の検査機能は標準では備わっていません。
Salesforceセキュリティの死角を埋める、不可欠な防御レイヤー
悪意のあるファイル、URLを悪用した攻撃、IDの不正利用、AIエージェントによるリスクを、ビジネスの継続性を脅かす前にリアルタイムで阻止します。 フォーチュン500企業や世界中の政府機関から信頼されています。
マルウェア保護
悪意あるファイルの阻止
URL 保護
悪意あるリンクを、完全に遮断
アイデンティ保護
Salesforceユーザーを、巧妙ななりすましから保護
Agentforceの保護
AIエージェントを、あらゆる攻撃から保護
QR コード保護
QRコードによる脅威を阻止
報告までの猶予はわずかです。そして、社会的信用の失墜は一瞬で訪れます。
テクノロジー企業にとって、Salesforceのデータ侵害がもたらす影響は、単なる法規制上のペナルティにとどまりません。顧客からの信頼、パートナー企業からの信用、そして競合に対する優位性の喪失など、あらゆるリスクが一時に押し寄せることになります。2025年の「UNC6395」による一連の攻撃キャンペーンが証明したように、ひとたび侵害の事実が公になれば、「どれだけ早く開示できたか」「どの範囲のデータが影響を受けたか」、そして「どのような対策が講じられていたか、あるいは形骸化していたか」のすべてが、企業の社会的評価を左右するストーリーとして厳しい世論の目に晒されることになるのです。
法規制が求めるセキュリティ要件と、テクノロジー企業が直面しているSalesforce特有のリスク。その相関関係は以下の通りです。
アメリカ合衆国
SECのサイバーセキュリティ開示規則
要件：上場企業は、重大性を判断してから4営業日以内に重大なサイバーセキュリティインシデントを開示するとともに、サイバーセキュリティリスクの管理、戦略、およびガバナンスについて年次開示を行わなければならない。
Salesforceのリスク： 商業データ、顧客記録、またはパートナー情報を巻き込んだSalesforceへの侵害は、瞬く間に重要性の閾値に達する可能性があります。OAuthトークンの悪用や統合機能の侵害——テクノロジー業界における主要な攻撃ベクトル——は、既存の制御手段では検出されない可能性があり、重要性の判断とインシデントの範囲を正確に特定する能力の両方を遅延させる恐れがあります。
当社の支援内容：インシデントの範囲を迅速に特定するために必要なリアルタイム検出機能と監査可視性を提供し、重大性の評価プロセスおよび4日間の開示期間の遵守を支援します。
FedRAMP（米国連邦政府に販売するテクノロジー企業向け）
要件：連邦政府機関を顧客とするテクノロジー企業は、クラウドサービス向けの継続的監視、インシデント対応、サプライチェーン・リスク管理を含む、FedRAMP準拠のセキュリティ管理措置を維持しなければなりません。
Salesforceのリスク：連邦政府の顧客データ、サポートケース、またはパートナー統合を扱うSalesforceワークフローは、ほとんどのFedRAMP準拠アーキテクチャの外側に位置しています。これらのチャネルを経由して流入するコンテンツは、検査も監視もされていません。
当社の支援内容：SalesforceワークフローをFedRAMPの制御要件の範囲内に組み込むために必要な、コンテンツ検査および継続的監視機能を追加します。
ヨーロッパ連合（EU）
NIS2指令
要件：NIS2はデジタルインフラおよびICTサービス管理プロバイダーを対象とし、リスクに応じた管理措置、サプライチェーンのセキュリティ対策、および検知から24時間以内のインシデント報告を義務付けています。
Salesforceのリスク：対象となるテクノロジー企業にとって、Salesforceは重要な業務システムであると同時に、サプライチェーン上のリスク要因でもあります。UNC6395キャンペーンは、侵害された統合機能が、いかにして複数の組織に同時に影響を及ぼすサプライチェーンインシデントへと発展し得るかを如実に示しました。大半のテクノロジー企業は、NIS2の下でこの問題に正式に対処していません。
当社の支援内容：接続された統合機能やサードパーティからのコンテンツを検査することでサプライチェーンのICTリスクを低減し、NIS2の24時間報告要件の基盤となる検知機能を提供します。
GDPR
要件：EUの個人データを処理するテクノロジー企業は、不正アクセスからデータを保護し、侵害が発生した場合は72時間以内に監督当局に通知しなければなりません。
Salesforceのリスク： Salesforce内の顧客レコード、サポートケースの内容、およびパートナーデータには、多くの場合、EUの個人データが含まれています。OAuthトークンの悪用や統合機能の侵害による侵害が発生した場合、ネイティブなアラート機能がないため、このデータが露見する恐れがあり、影響を受けたレコードを迅速に特定する方法もありません。
当社の支援内容：Salesforce内でのリアルタイム脅威検知により、不正アクセスが発生したか、またはブロックされたかを即座に把握できるため、チームはGDPRの72時間通知期限を満たすために必要な可視性を得ることができます。
オーストラリア
1988年プライバシー法／データ漏洩届出制度（NDB）
要件：オーストラリア国内で事業を行い、個人情報を保有するテクノロジー企業は、対象となるデータ漏洩が発生した場合、実行可能な限り速やかにOAICおよび影響を受けた個人に通知しなければなりません。IRAP評価は、政府にクラウドサービスを提供するテクノロジー企業に適用されます。
Salesforceのリスク：Salesforce内に保持されている個人データおよび顧客記録は、データ漏洩通知制度の対象となります。Salesforceのワークフローを介した漏洩（特にOAuthトークンの悪用を伴うもの）は、専用のSalesforce監視システムがなければ、その範囲の特定や原因の究明が困難となる可能性があります。
当社の支援内容：Salesforce内での対象となるデータ漏洩の特定、影響を受けた記録の範囲の特定、およびOAICへの適時な通知を支援するために必要な検出および監査機能を提供します。
イギリス
英国GDPR / NCSCサイバー評価フレームワーク（CAF）
要件：英国の個人データを処理するテクノロジー企業は、情報コミッショナー事務局（ICO）に対し、72時間以内にデータ侵害を報告しなければなりません。また、重要国家インフラ（CNI）に関連するテクノロジープロバイダーは、NCSC CAFに基づく評価の対象となる可能性があり、これには適切なセキュリティ対策およびサプライチェーンリスク管理が求められます。
Salesforceのリスク：Salesforce内の英国顧客データ（サポートケースの内容やパートナーレコードを含む）は、英国GDPRのデータ漏洩通知の対象となります。UNC6395によって実証されたサプライチェーンリスクの経路は、CAFのサプライチェーン要件に直接関連しています。
当社の支援内容：接続された統合機能やサードパーティからのコンテンツを検査することで、英国GDPR準拠に向けたSalesforceのセキュリティギャップを解消し、CAFに基づくサプライチェーンリスク管理の義務を支援します。
コンプライアンスへの取り組み
POC（概念実証）プロセスにおいて、必要な証明書や情報を提供し、お客様やステークホルダーに安心していただけるよう対応いたします。詳細なドキュメントは、Trust Centerを参照ください。
ISAE 3000 Type 2
WithSecure™ Cloud Protection for Salesforceは、ISAE 3000 Type 2（SOC2 Type 2の国際同等基準）保証報告書を取得済みであり、お客様のデータが安全に管理されていることを証明します。
ISO 27001
ウィズセキュアは、ISO 27001認証を取得しており、厳格なデータセキュリティ対策を実施しています。この国際的に権威のある認証は、最高レベルの情報セキュリティ基準への準拠を証明するものです。
GDPR
ウィズセキュアは、一般データ保護規則（GDPR）の要件に準拠できるよう企業を支援し、欧州連合の市民の個人データを安全に管理できる環境を提供します。
SecurityScoreCard
また、ウィズセキュアは SecurityScoreCardにおいて、サイバーセキュリティベンダーとして最高評価を獲得しています。この評価は、リスク軽減やインシデント対応速度を含む10の主要なセキュリティ要素に基づいています。
デモのご予約
今すぐ始める Salesforce セキュリティ対策
高いコンプライアンスが求められる業界向けに最適化された認証取得済みソリューションが、金融、医療、公共部門を含むグローバル企業のSalesforce製品を保護します。
フォームにご記入の上、送信してください：
無料15日間トライアル
Salesforce環境のコンテンツリスク診断の無料診断レポート
デモやソリューションのコンサルテーション
セットアップ・設定に関する専門家のサポート