SalesforceとServiceNowを狙うデータ収集、単一サーバーによる1年以上の攻撃が判明

要点

• セキュリティ企業のRecoは、単一のサーバーからSalesforceとServiceNowの顧客ポータルを狙ったスクレイピングが1年以上続いていると発表した。

• 「City Forum」と呼ばれる活動はドイツのVPSを拠点とし、Go言語製の独自ツールで金融や通信など多様な組織を標的にしている。

• 従来のAura悪用に加え、Salesforceの最新APIやServiceNowの内部検索エンドポイントを横断的に探索している点が特徴とされる。

• 根本原因はシステムの脆弱性ではなく、未認証のゲストユーザーに対する過剰な権限付与という設定不備にあると指摘されている。

• セキュリティ企業の米Recoは、単一の攻撃インフラからSalesforceおよびServiceNowの顧客ポータルに対し、1年以上にわたり組織的なデータ収集（スクレイピング）が行われているとする調査結果を公開した。「City Forum」と命名されたこの活動は、金融機関や通信、公共機関など広範な業界を標的に現在も継続しているという。

ドイツの単一VPSから多様な業界を標的化

Recoによると、攻撃元はドイツの事業者Contaboが提供するVPS（仮想専用サーバー）上にあるIPアドレス「158.220.87.79」である。パッシブDNS（過去のDNSレコード履歴）の解析から、2025年3月には既に同一ドメインがこのIPを指しており、それ以降サーバーの位置は変わっていない。

通信リクエストにはGo言語の標準HTTPライブラリ（net/http）を示すUser-Agent（通信元ソフトウェア情報）が含まれており、ブラウザの手作業ではなく専用にコンパイルされた独自ツールによる機械的スキャンと分析されている。標的は銀行などの金融サービス企業、通信事業者、セキュリティやプライバシー関連を含むソフトウェア企業、公共機関のポータルに及んでいるが、個別の企業名は公表されていない。

新旧のインターフェースや未公開APIを横断

今回の攻撃の特徴は、複数のプラットフォームや新旧のAPIを横断して悪用している点にある。

これまでのSalesforceへのゲストアクセス悪用（過去のShinyHuntersによる事案など）では、主に旧来の「Aura」フレームワークが狙われており、今回の攻撃でもトラフィックの大半を占める。ある標的組織では同一IPから56万件以上のイベントが記録されていた。

さらに今回のツールは、Salesforceの最新「Lightning Web Runtime（LWR）」サイトで使われるデータレイヤー「UI-API」に対してもアクセスを試みている。このUI-APIを狙った既知のスキャンツールは存在せず、バージョンv56.0からv66.0まで順次巡回している。また、ServiceNowに対しても公開ドキュメントがほぼ存在しない検索エンドポイント「POST /api/now/sp/search」に大量のリクエストを送信している。

根本原因は「ゲストユーザー」の権限設定不備

Recoによれば、一連の手法に共通する原因は、未認証の外部訪問者に割り当てられる「ゲストユーザー」への過剰な権限付与にある。

SalesforceのExperience CloudやServiceNowのポータルでは、未認証ユーザーが利用するための常設ゲストプロファイルが存在し、仕様上削除できない。そのため、画面上でログインを求めていても、背後のゲストプロファイルにレコード参照権限が残っていれば、API経由で実質的に情報が公開状態となってしまう。API自体の脆弱性ではなく、正規機能の設定不備が悪用されている形だ。

推奨される検知手順と設定の見直し

Recoは管理者向けに具体的な検知と対策を提示している。

Salesforceでは、Event MonitoringやShieldのログから「Go-http-client」や該当IP、/webruntime/api/services/data へのアクセス、自己登録の急増を監視する。対策はゲスト共有ルールの見直しや不要なオブジェクト・項目権限の削除、公開APIアクセスの無効化が挙げられる。

ServiceNowでは、トランザクションログ（syslog_transaction）を送信元IPや検索URLで絞り込み、異常な応答サイズなどを検知する。対策は検索ソースの把握やナレッジベース閲覧条件（Read Criteria）の監査が必要とされる。

なお、この攻撃インフラは現在も稼働中で通信量が増加しているが、特定の攻撃グループへの帰属は特定されていない。