Salesforce環境に不正アクセス、複数企業が相次いで被害を公表 攻撃者の目的は：Cybersecurity Dive

Palo Alto Networksは2025年9月2日、同社のSalesforce環境が不正アクセスを受けたと発表した。複数の企業が同様の被害を公表しており、被害は拡大する恐れがある。

[David Jones，Cybersecurity Dive]

　セキュリティベンダーPalo Alto Networksは2025年9月2日（米国時間、以下同）、同社のSalesforce環境内のデータが不正アクセスされたと公表した。カスタマーエンゲージメントベンダーSalesloftのAI（人工知能）エージェント「Salesloft Drift」を介したサプライチェーン攻撃の影響を受けたものだ。

　Palo Alto Networksが公開したブログ（注1）によると、不正アクセスされたのはCRM（顧客関係管理）システムのみで、流出した情報の大半は業務上の連絡先、社内の営業アカウント、顧客関連の基本的な情報だった。同社の広報担当者はCybersecurity Diveの取材に対し、「直ちに事案の封じ込めに取り組み、Salesforce環境からSalesloft Driftを切り離した」と説明した。本件はPalo Alto Networksの脅威分析部隊「Unit 42」が主導し、同社製品やシステム、サービスへの影響はなかったとも述べた。

Palo Alto以外に不正アクセスを受けた企業は？

　同社は、機密性が高いデータが漏えいした恐れがある一部顧客には直接連絡を取っているともブログで明らかにした。

　セキュリティベンダーZscalerは2025年8月30日、同様の被害をブログで公表している（注2）。同社によると、攻撃者は氏名、業務用メールアドレス、電話番号といった一般的に入手可能な情報や同社製品のライセンスに関する情報にアクセスした。同社の広報担当者は「不正アクセスの影響はSalesloft DriftとSalesforceインスタンスの連携に限定されており、Zscalerの製品、サービス、基盤システムには影響がない」と述べた。Zscalerは同年9月1日（注3）、不正アクセスによって多数のユーザーが影響を受けたことを明らかにした。ただし、具体的な件数は明らかになっていない。

　Googleの脅威情報専門家チームGoogle Threat Intelligence Group（GTIG）は2025年8月27日、同社が「UNC6395」と呼ぶ脅威アクターがGoogleのSalesforceインスタンスに不正にアクセスしたと発表した（注4）。SalesforceとSalesloft Driftを連携させる際に使用されたOAuthトークンを悪用したものだ。攻撃は同年8月8日から18日にかけて実行され、被害範囲は当初の想定よりも広範に及んでいたという。

　GTIGはセキュリティベンダーMandiantと共同で調査を実施、数百の標的が攻撃される可能性があったことを突き止めた。さらに、SalesforceインスタンスでSalesloft Driftを使用していたユーザー企業に対して、侵害された可能性があることを前提に対応するよう警告した。さらに8月27日の発表では、UNC6395の標的はSalesforceとSalesloft Driftを連携させていたユーザーだけにとどまらない可能性があることについても言及した（注5）。GTIGは、「全てのSalesloft Driftユーザーは、Salesloft Driftを連携する際に使用された認証トークンが侵害されている可能性があると見なすべきだ」と注意喚起した。

　Salesforceは2025年9月7日、本件の調査は進行中であるとして、Salesloft Driftとの全ての連携を無効化したと発表した（注6）。

（注1）Salesforce-Connected Third-Party Drift Application Incident Response（Palo Alto Networks）
（注2）Salesloft Drift Supply Chain Incident: Key Details and Zscaler’s Response（Zscaler）
（注3）Salesloft Drift Incident Update - September 01, 2025（Zscaler）
（注4）Hackers steal data from Salesforce instances in widespread campaign（CyberSecurity Dive）
（注5）Widespread Data Theft Targets Salesforce Instances via Salesloft Drift（Google Threat Intelligence Group）
（注6）Ongoing Security Response to Third-Party App Incident（Salesforce）

原文へのリンク