近年、企業の顧客情報や営業戦略の根幹を担うSalesforceは、サイバー攻撃者にとって価値の高い標的となっています。特に2025年に入り、Salesforce環境から機密情報を窃取し、金銭を要求する大規模なサイバー攻撃が活発化しており、Googleをはじめとする多くのグローバル企業が被害を報告しています。
本記事では、Salesforceに関する最新のサイバー攻撃の動向について触れ、Salesforceを利用する企業が実施すべきセキュリティ対策について検討します。
【最新動向】データ窃取と恐喝を目的とした攻撃が活発化
2025年8月頃から、「UNC6040」や「Scattered LAPSUS$ Hunters」といった攻撃者グループによる、Salesforceを標的としたデータ窃取キャンペーンが観測されています。彼らの主な目的は、Salesforce内に保管されている顧客データや個人情報、サポートケースなどの機密情報を盗み出し、身代金を要求することです。攻撃者は、窃取したデータをダークウェブ上のリークサイトに掲載すると脅迫し、企業に支払いを強要します。
重要なのは、これらの攻撃の多くがSalesforceプラットフォームそのものの脆弱性を突くのではなく、利用者側の「人」や「設定の隙」を狙っている点です。
そのため、「うちもSalesforceを使っているから危険!!!」と慌てるのではなく、まずはどのように運用しているかを再検討してみるのが良いかと思います。
攻撃者が用いる主な手段・手口
現在主流となっている攻撃手口は、大きく分けて「ソーシャルエンジニアリング」「サプライチェーン攻撃」「設定不備の悪用」の3つのようです。
1. ソーシャルエンジニアリング(人的脆弱性を狙う手口)
まずはサイバー攻撃の基本中の基本、心理行動を起点とした攻撃です。
攻撃者は、従業員の心理的な隙や油断を利用して、認証情報をだまし取ろうとします。
-
ビッシング(電話によるフィッシング)
-
攻撃者が企業のITサポートやヘルプデスク担当者を装って従業員に電話をかけ、「アカウントの同期が必要です」「新しいツールをインストールしてください」などと巧妙に誘導します。
-
最終的に、Salesforceの公式ツールに見せかけた不正な接続アプリケーション(悪意を持ってカスタムされた不正Data Loaderなど)を従業員に承認させ、Salesforce環境への永続的なアクセス権(APIアクセス権)を奪い取ります。一度承認されると、攻撃者は従業員のアカウントを介して自由にデータを窃取できるようになります。
-
これの対策は偽警察官やオレオレ詐欺への対応と同様の「いったん事実確認するので折り返します」からの確認行動以外にありません。一度でもドキッとしてしまうことがあるとかなり信用したくなります。そのため一度グッと抑えて担当営業や社内セキュリティ有識者等に相談しましょう。
2. サプライチェーン攻撃(連携サービスを足がかりにする手口)
Salesforceと連携しているサードパーティ製アプリケーションのセキュリティの脆弱性だったり、知らず知らずに抜き取られた従業員などを起点にしてあったりします。
-
盗難トークンの悪用
-
攻撃者は、Salesforceと連携する他のサービスをまず攻撃し、そこからSalesforceへのアクセス許可が与えられた認証情報を窃取します。
-
盗んだトークンを使って、正規の連携サービスになりすまし、Salesforce環境に直接侵入します。利用者から見れば、正規のアプリケーションが通信しているように見えるため、検知が非常に困難です。
-
3. Salesforce設定不備を突く手口
管理者の設定ミスや、使われなくなったアカウントの放置といったセキュリティ上の不備を悪用します。
-
管理者権限を持つ事実上の休眠・凍結アカウントの乗っ取り
-
攻撃者は、退職者などの理由で長期間使われていない、あるいは凍結されているものの、強力な管理者権限が残ったままのアカウントを発見します。その後、ビッシングなどでヘルプデスクを騙し、そのアカウントのパスワードや多要素認証(MFA)をリセットさせ、アカウントを乗っ取ります。
-
-
古いアプリケーション連携の悪用
-
セキュリティが甘いサンドボックス環境の悪用
空き家を放置することはさまざまな安全確保への懸念が残りますよね。
それと同様に、誰も管理していないようなアカウントやツール連携を残すと発見が遅れ、気がついたら手遅れになります。
Salesforce利用者が直ちに取るべきセキュリティ対策
前述の通り、攻撃は利用者側の隙を突いてきます。Salesforceを安全に利用し続けるためには、プラットフォーム任せにせず、利用者側で適切な対策を講じることが不可欠です。
Salesforce上での技術的対策
| 対策項目 | 具体的なアクション |
| 多要素認証(MFA)の徹底 | 全ユーザーに対してMFAを必須化します。 これは不正アクセスに対する最も効果的な防御策の一つです。 |
| アクセス権限の最小化 | ユーザーのプロファイルや権限セットを定期的に見直し、業務に不要な権限はすべて削除します。「最小権限の原則」を徹底してください。 |
| ログイン制限の強化 |
IPアドレス制限: オフィスなど、許可されたネットワーク以外からのアクセスをブロックします。 ログイン時間制限: 業務時間外の不審なログインを防ぎます。 |
| パスワードポリシーの強化 | 推測されにくい複雑なパスワード(長さ、文字種)を設定し、定期的な変更を義務付けます。 |
| 不要な設定の棚卸し |
休眠アカウントの無効化: 退職者などのアカウントは、権限を削除した上で速やかに無効化します。 不要なアプリ連携の解除: 使用していない連携アプリケーションは、定期的に確認し、接続を解除します。 |
運用的・人的対策
| 対策項目 | 具体的なアクション |
| 従業員へのセキュリティ教育 | ビッシング対策訓練: ITサポートなどを名乗る不審な電話やメールへの対応方法を具体的に教育します。「電話で指示された通りに安易にアプリを承認しない」といったルールを徹底してください。 フィッシング詐欺への注意喚起を定期的に行います。 |
| 監査と監視の徹底 |
ログイン履歴の監視: 不審な時間帯や場所からのログインがないか定期的にチェックします。 設定変更履歴の確認: 意図しない権限の変更や設定の改変がないかを確認します。 |
| インシデント対応計画の策定 | 万が一、不正アクセスや情報漏洩が疑われる事態が発生した場合に、誰が、何を、どのように対処するのか、事前に手順を明確にしておきます。 |
まとめ
Salesforceは堅牢なセキュリティ基盤を持つプラットフォームですが、その安全性は利用する企業のセキュリティ意識と運用に大きく依存します。最新のサイバー攻撃は、技術的な脆弱性だけでなく、従業員の油断や管理上の不備を巧みに突いてきます。
自社のSalesforce環境が攻撃者の侵入口とならないよう、今一度セキュリティ設定の見直しと従業員教育の徹底を図ることが強く推奨されます。