Salesforceの「信頼関係」を悪用する攻撃が多発、MicrosoftがShinyHunters関連の3つの侵入経路を特定

要点

• Microsoftは、データ脅迫グループ「ShinyHunters」と手法が一致する、Salesforceへの3つの侵入経路を特定した。

• 攻撃者はSalesforceプラットフォーム自体の脆弱性を悪用せず、OAuth連携などの「信頼された接続」を逆手に取って侵入していた。

• 侵入経路には、ITサポートを装う電話（ビッシング）による承認誘導や、連携サービスを提供する外部ベンダーからのトークン窃取などが含まれる。

• 従来の認証ログでは検知が困難なため、MicrosoftはSalesforceと協力して新たな検出・管理用ツールを導入した。

• Microsoftは2026年7月13日、クラウド型顧客管理システム（CRM）であるSalesforceの利用企業を狙った、データ脅迫グループ「ShinyHunters（シャイニーハンターズ）」に関連する一連の攻撃キャンペーンの調査結果を公表しました。このキャンペーンは2025年中頃から2026年中頃までの約1年間にわたり実行され、主に3つの経路から企業のSalesforce環境へ侵入していたことが明らかになりました。

脆弱性を悪用しない「信頼関係」の逆手取り

今回の攻撃で特徴的なのは、Salesforceプラットフォーム自体のセキュリティ上の欠陥（脆弱性）が一切悪用されていない点です。攻撃者は、標的企業が外部アプリやサードパーティ（外部）ベンダーに事前に許可していた「信頼関係」を利用し、外部サービスとSalesforceを安全に接続するための標準規格「OAuth（オーオース）」を悪用してシステムに潜入していました。

あらかじめ信頼された統合機能や、正規のユーザーが承認したアプリを経由するため、セキュリティシステム上は「通常の利用」として処理されます。そのため、サインインや認証の監視ログには異常が残りにくく、従来の監視体制では侵入を検知することが非常に困難であるとMicrosoftは説明しています。

この検出の難しさに対応するため、MicrosoftはSalesforceと協力し、認証ログだけでは見落とされがちな不審なアクティビティに対処するための、新たな検出・管理ツールの展開を開始しました。

3つの侵入経路

Microsoftがマッピングした攻撃キャンペーンは、小売、教育、製造など多岐にわたる業界の利用環境で確認されており、以下の3つの侵入経路に分類されています。

1. ITサポートを装う電話（ビッシング）

1つ目の経路は、2025年中頃から始まったもので、従業員を騙して不正なアプリの連携を許可させる手法です。攻撃者はITサポート担当者を装って電話（音声によるフィッシングである「ビッシング」）をかけ、言葉巧みにSalesforceのOAuth同意画面を操作させます。

この際、正規ツールに見せかけた不正アプリを承認させ、ユーザーの権限でAPI（アプリ間でデータをやり取りする仕組み）を呼び出せるようにします。これにより、顧客データ（CRM）の窃取やアクセス権の維持を行い、他のクラウドプラットフォームへの侵入に向けた認証情報も探索していました。

この攻撃は2025年半ばにGoogleの脅威インテリジェンスグループやセキュリティ企業のMandiantによって文書化され、被害にはGoogle自身の社内インスタンスのほか、シャネルやアディダスなどが含まれていました。対策としてMandiantは、不審な電話を受けた場合は一度切り、公式の安全な窓口にかけ直すよう推奨しています。

2. 外部ベンダーからのトークン窃取

2つ目の経路は、企業の従業員への接触を完全に回避する手法です。攻撃者はまず、多数の企業向けにSalesforce連携アプリを提供しているサードパーティベンダーを侵害します。そこから顧客接続用の「OAuthトークン（一時的なアクセス許可証）」を盗み出し、下流にある顧客企業のSalesforce環境からデータを一括して不正にエクスポートしていました。

この手法では、すでに承認されている正規の外部連携サービスからのトラフィックとして処理されるため、ログインアラームは作動せず、日常の自動処理プロセスに完全に紛れ込んでしまいます。

Microsoftは、代表例として2025年8月に発生したSalesloftのチャットツール「Drift」の侵害を挙げています。攻撃者はAWS（Amazon Web Services）環境から連携用トークンを盗み出して顧客への攻撃に転用し、Googleの推定ではCloudflareなど700以上の組織が影響を受けました。

調査によると、攻撃者は2025年3月の時点でSalesloftのGitHubアカウントに不正アクセスしており、そこを経由してDriftのAWS環境に侵入してトークンを収集していました。また、AWSキーやデータプラットフォームであるSnowflakeのトークン、パスワードなどを探すためにSalesforce専用クエリ言語「SOQL」を実行し、履歴を削除して検知を免れようとしていました。

3. 設定ミスによるゲストアクセス

3つ目の経路は、企業が構築したSalesforceの外部公開サイトにおけるゲストアクセス権限の設定ミスを突く方法です。未認証ユーザーへの過剰な権限付与という設定不備を利用して内部データにアクセスする手法で、前述の2つの経路と同様に、過去1年間のSalesforce関連インシデントと結びついていることが示されています。