攻撃者は、ターゲットのネットワークを直接破るのではなく、信頼されている誰か（ベンダー、クラウドプロバイダー、SaaS アプリ、サードパーティ製プラグインなど）を侵害することで、最初の足がかりを得るケースを急速に増やしています。そうしたベンダー侵害が、多くの顧客環境へと侵入するためのパス（経路）となるのです。各種レポートによると、このパターンは以前よりも頻繁に発生しており、損害額も大きくなっていることが示されています。
ソフトウェアサプライチェーン、特に Salesforce のような統合型クラウドプラットフォームは、サイバー犯罪者にとって益々魅力的な標的となっています。
攻撃者は、人やプロセスのギャップを悪用できるのであれば、コードの脆弱性を突く必要すらありません。2025 年には、この手法が不審なツールやアプリの域を超え、「侵害されたアイデンティティ（ID・認証情報）」の悪用にまで拡大している様子が観察されています。資格情報、トークン、OAuth の信頼チェーンは、現代のソフトウェアサプライチェーンを繋ぐ蜘蛛の網のような存在です。これらが漏洩したり不適切に悪用されたりすると、誰にも気づかれないうちに、攻撃者は信頼された統合機能を介して容易に横展開を行うことができます。
業界の現状チェック
サプライチェーンリスクの規模は、もはや無視できないものとなっています：
- 87% の組織が、過去 12 か月間にソフトウェアサプライチェーンのセキュリティインシデントを経験しています（ReversingLabs, 2025 年）。
- Ivanti のレポートによると、IT リーダーの 84% がソフトウェアサプライチェーンのモニタリングを極めて重要視している一方、半数近くが自社の最も脆弱なコンポーネントを特定できていません。
意識の高さと「可視性（サンプリングやモニタリングの精度）」との間に広がるこのギャップこそが、脅威アクターによって悪用されているポイントです。Salesforce のような最新のソフトウェアエコシステムにおいて、セキュリティの盲点は侵入ポイント（ブリーチポイント）へと変貌します。まさにここで、ソフトウェアサプライチェーンが悪用の温床となっているのです。
現代のソフトウェアサプライチェーン：悪用の温床
今日のように相互接続された環境では、「信頼」こそが通貨です。Salesforce のようなプラットフォームは、何千もの組織から信頼され、顧客関係の管理、機密データの取り扱い、ビジネスに不可欠な自動化の実行を担っています。しかし、その「信頼」そのものが今、悪用されています。
「WithSecure は、金銭目的の脅威アクターがソフトウェアリポジトリを汚染し、開発者にソーシャルエンジニアリングを仕掛けることで、開発環境に悪意のあるコードを注入・実行させるという明確なトレンドを確認しています」 — Tim West（WithSecure 脅威インテリジェンスディレクター）
▶️ Salesforce に統合された開発ツールなど、侵害されたツールがどのようにして環境内へ悪意のあるコードをひそかに注入するかをご覧ください。
現在、これと同じパターンが Salesforce にも適用されている状況が見受けられます。オープンソースのコードリポジトリにおける信頼が悪用されるのと同じように、攻撃者は定評のあるプラットフォーム、連携アプリ、そして悪意ある操作と知らずに承認してしまう親切なユーザーの「信頼」を悪用する傾向を強めています。
「これらのソフトウェアサプライチェーンの原則は、Salesforce 内でも悪用されています。悪意のあるアクターが、権限を持つユーザーを騙して、悪意のあるアプリケーションを Salesforce 環境へ導入させています。これは、個人が『定評のある』システムを扱う際に抱く本質的な信頼感を突いた手法です」と West は続けます。
その信頼は、サードパーティベンダーのソフトウェアコンポーネントだけに当てはまるものではありません。ユーザーの資格情報や認証トークンにも該当します。たとえば Salesforce の場合、ベンダーやサプライヤーのユーザーは正当な理由でプラットフォームにアクセスします。エコシステムを運用し続けるためのその同じ信頼が、悪用された場合、目に見えないバックドアを開いてしまうことになります。
Salesforce 自体がサプライチェーンとなるとき
Salesforce は単なる CRM をはるかに超えた存在になりました。現在では、ワークフロー、ファイル、連携機能、AI エージェント、そして顧客向けポータル全体をホストしています。多くの組織にとって、Salesforce はビジネスデータの入口であり出口でもあるため、単なるデータ窃取だけでなく、ラテラルムーブメントの手段としても極めて魅力的な標的となっています。
多くの攻撃において、Salesforce は最終的な攻撃目標ではなく、単なる「踏み台」として悪用されています。最近のキャンペーンでも、Salesforce を介した最初のアクセスが、Microsoft 365、Okta、その他の接続されたシステムへの侵入へと繋がったケースが観察されています。
実質的に、Salesforce は侵害の「配信ハブ（ディストリビューションハブ）」として機能してしまいます。他の重要システムに直接侵入することなく到達できる、信頼されたプラットフォームとして利用されてしまうのです。
▶️ Salesforce に接続された脆弱なサードパーティシステムが、どのようにして攻撃者の侵入ポイントとなるのか、そしてなぜサプライチェーン全体の信頼が最大のリスクとなり得るのかをご覧ください。
なぜ従来の防御策では不十分なのか
ビジネスにおける重要性にもかかわらず、Salesforce は多くの企業の検知・応答（EDR等）戦略において盲点であり続けています。従来の端末保護（EPP）ツールは、クラウドネイティブなプラットフォームを前提に設計されていません：
- ファイルやリンクは、Web フォーム、API、メールケース（Email-to-Case）、外部ポータル経由で Salesforce に流入することが多く、エンドポイント（端末）を一切通過しません。
- Salesforce は、これらに対するマルウェアやフィッシングのスキャン・検査をネイティブでは行いません。
- 端末側の EPP は、ユーザーがコンテンツをダウンロードするか、あるいは操作した後にしか脅威を検知できないケースが多く、それでは手遅れです。
これにより、セキュリティ体制に致命的な「可視性のギャップ」が生じます。メールセキュリティが端末保護を超えた専用の解決策を必要としたように、Salesforce の保護にも、プラットフォーム内部で動作する専用の防御策が必要です。
We’ve seen this story before: email security had to evolve beyond endpoints. Salesforce needs the same shift.
UNC6040 と改変アプリによる攻撃
2025 年半ば、Google の Threat Intelligence Group（GTIG）は、脅威アクター UNC6040 によるキャンペーンを明らかにしました。この攻撃は、20 近くの組織の従業員を騙し、Salesforce のデータローダー（Data Loader）アプリの「改変版」をインストールさせるというものでした。
攻撃者は、電話によるソーシャルエンジニアリング（ビッシング／vishing）を用いて Salesforce のサポートスタッフになりすまし、ターゲットを偽のセットアップページへと誘導しました。悪意のあるアプリが一度インストールされると、Salesforce データへの永続的なアクセス権が確保され、接続された Microsoft 365、Okta、Workplace などのプラットフォームへのラテラルムーブメント（横移動）のドアが開かれてしまいました。攻撃者は同じ OAuth トークンを使用して、機密性の高い通信、認証トークン、ドキュメントにアクセスすることができました。また GTIG の分析によると、攻撃者は検知を複雑化させるために Mullvad VPN を使用して漏洩トラフィックを隠蔽していました。
この手法は、信頼されたツールやプロセスが侵害の配信メカニズムとして悪用されるという、他のソフトウェアサプライチェーン侵害と同じ特徴を備えていました：
- 攻撃者は正規の Salesforce ツール（Data Loader）を模倣した
- 被害者が OAuth 権限を許可したことで、知らず知らずのうちに攻撃者にバックドアを与えてしまった
- この悪用はソフトウェアの脆弱性ではなく、「信頼」と「プロセス上の隙」を突いたものだった
- 過剰なスクープ権限と長期有効なトークンにより、攻撃が持続してしまった
この一連のキャンペーンは、Google、Allianz Life、LVMH ブランド（Louis Vuitton、Dior、Tiffany & Co.）、Adidas、Chanel などの著名企業における Salesforce 顧客データの漏洩事案と関連付けられています。最初の侵害は Salesforce を標的としていましたが、多くのケースでこのプラットフォームは、接続された他システムに対するより広範なサプライチェーン攻撃の「踏み台」として機能しました。
Salesforce 標準機能が見落とすもの — なぜそれが重要なのか
これらの脅威がどのようにして従来のツールを迂回するかを整理してみましょう：
悪意のあるファイルが公開 Salesforce フォーム経由でアップロードされたとします。このファイルはユーザーの端末に触れることはありません。Salesforce は、アンチウイルスやサンドボックスによる検証なしにファイルを受け入れます。その後、別のユーザーがそのファイルをダウンロードします。仮にエンドポイント保護（端末側セキュリティ）がそれを捕らえたとしても、その時点ですでに遅すぎるのです。
そして、影響を受けるのはファイルだけではありません：
- レコード内に埋め込まれたリンクや QR コードが見過ごされる可能性があります
- AI エージェントや自動化機能が悪意のあるコンテンツにアクセスし、拡散してしまう可能性があります
- コミュニティユーザーやゲストユーザーが、警告なしに脅威に晒される可能性があります
侵入から悪用まで：攻撃者は「チェーン（連鎖）」で考える
UNC6040 / ShinyHunters といったグループによる Salesforce を標的としたキャンペーン（および Scattered Spider / UNC3944 による関連するID悪用キャンペーン）は、多くの場合、段階的に展開されます。まず、ファイルのアップロード、接続済みアプリ、またはヘルプデスクの操作を通じて初期アクセスを獲得し、設定ミスや再利用された認証情報を利用して権限を昇格させ、その後、データの持ち出し、ランサムウェア、または恐喝へと進みます。
注目すべき例の一つがScattered Spider（UNC3944）です。このグループは、高度に標的を絞ったソーシャルエンジニアリングやクラウドプラットフォームの悪用で知られており、その戦術にはSalesforceへの侵入パターンと類似したものが含まれます：
- ヘルプデスク担当者を装ってMFA（多要素認証）やパスワードをリセットする
- SMSベースの2FAを迂回するためのSIMスワッピング
- AnyDeskやTeamViewerなどのリモートツールを悪用する
- IDプロバイダー（Okta、Entra IDなど）を横断するラテラルムーブメント
- ランサムウェアを展開する前に機密データを持ち出す
「Scattered Spiderは、SaaS環境へのアクセス権を得るためにソーシャルエンジニアリングを活用しています。彼らの攻撃は技術的には単純に見えるかもしれませんが、だからといって危険性が低いわけではありません」とウェスト氏は付け加えます。「彼らはMGMやM&Sの侵害事件に関与していることが判明しています。」
この攻撃は、攻撃者がソフトウェアをハッキングするのではなく、有効なトークンや認証情報を取得するなど、IDそのものを標的とする傾向が強まっていることも浮き彫りにした。
ヘルプデスクから情報漏洩へ：英国の小売業界への警鐘
2025年5月、M&S、Co-op、ハロッズを含む英国の大手小売業者が、Scattered Spiderによるものとされるランサムウェア攻撃およびデータ窃取により業務に支障をきたした。
攻撃はヘルプデスクへのなりすましから始まった。攻撃者が初期アクセスを獲得すると、横方向への移動を行い、データを持ち出し、恐喝戦術を展開した。これは、相互接続されたシステム全体で信頼が悪用された事例である。
Salesforceのサプライチェーンセキュリティを強化する
この脆弱性を解消するには、組織はSalesforceをデジタルサプライチェーンの重要な構成要素として捉える必要があります：
代表例: 信頼こそが新たな攻撃対象面
今日の攻撃者は、あなたが誤ったリンク、アプリ、またはプロセスを信頼するのを待つだけです。信頼され、相互接続されたプラットフォームであるSalesforceは、より広範な侵害への足がかりとしてますます利用されています。
だからこそ、エンドポイントやメールのセキュリティ対策だけではもはや不十分です。SaaSスタック、とりわけSalesforceには、プラットフォーム内でのリアルタイム保護が同様に必要です。攻撃者が悪用するのが「信頼」であるならば、可視性と制御こそが、それを取り戻す手段となります。