「Salesforce が攻撃された」というニュースが2025年から2026年にかけて連発している。Farmers Insurance で約110万人、TransUnion で約440万件、Google・Cisco・Qantas・Adidas・LVMH傘下ブランド…と被害企業が並ぶ。
ところが Salesforce はこう言っている。「我々のプラットフォームは侵害されていない」。
矛盾しているようで、していない。脆弱性ゼロでも顧客データは抜ける。そのカラクリがこの攻撃の本質だ。
何が起きているのか
攻撃者グループ ShinyHunters（Google/Mandiant は脅威クラスタ「UNC6040」として追跡）を中心に、企業の Salesforce 環境から顧客データを大量窃取して恐喝するキャンペーンが続いている。
| 項目 | 内容 |
|---|---|
| 主な攻撃者 | ShinyHunters（UNC6040 / 恐喝はUNC6240） |
| 時期 | 2024年末〜2026年も継続中 |
| Farmers Insurance | 約111万人（氏名・住所・生年月日・免許番号・SSN下4桁等） |
| 確認・報道された被害 | Google, Cisco, Qantas, Adidas, TransUnion(約440万), LVMH/Kering傘下ブランド, Stellantis 等 |
| リークサイト掲載 | 2025年10月時点で39社 |
| Salesforce本体 | 脆弱性なし。プラットフォームは無傷と公式表明 |
業種は保険・航空・小売・高級ブランド・テック・自動車と横断。Salesforce を使う企業なら誰でも標的になりうる。
手口：脆弱性ではなく「人」と「OAuth連携」を突く
攻撃はプラットフォームのバグを突いていない。狙うのは設定と人間だ。
① ボイスフィッシング（vishing）
攻撃者がITサポートを装って従業員に電話する。ライブ通話と自動音声を併用し、事前偵察したうえで本人を信用させる。メールのフィッシングより検知されにくい。
② 悪意あるOAuth連携アプリを承認させる
ここが核心。電話で誘導して、従業員に Salesforce の連携アプリ設定ページを開かせ、正規のData Loaderを改変した偽アプリ（例：「My Ticket Portal」などと名乗る）を承認させる。
具体的には OAuthのデバイスコードフローを悪用する。
- 攻撃者が8桁の接続コードを生成
- 従業員に「このコードを入力して」と認証させる
- Salesforce が攻撃者側にアクセストークンを発行
正規の認可フローをそのまま使うので、**システムから見れば「正常な連携承認」**にしか見えない。だからプラットフォームは「侵害されていない」のに、データは合法的に見える経路で抜かれる。
③ APIで一括エクスポート
承認された連携アプリの権限で、CRMの顧客データをAPI経由で大量に持ち出す。
なお2026年にかけては、SaaS連携製品「Salesloft Drift」から盗んだ**OAuthトークンを悪用する第2波（UNC6395）**も発生している。いずれも「Salesforce本体の脆弱性ではなく、連携トークンや人的承認を突く」点で共通している。
なぜ CRM のデータ窃取はこんなに刺さるのか
- CRM は顧客のPII・取引履歴・連絡先が集中する単一の宝庫。1つの連携承認で全顧客レコードが一括で抜ける
- ファイアウォールやEDRの外側にあり、正規OAuthフローの悪用は従来型の検知をすり抜ける
- 抜かれたデータ（氏名・住所・生年月日・SSN下4桁等）は、なりすまし・標的型フィッシング・口座乗っ取りの素材になり、二次被害の起点になる
Farmers Insurance では集団訴訟も提起された。CRMの設定ひとつが、巨額の賠償リスクに直結する。
企業向けの防御策
クラウド/SaaSは「プロバイダが守ってくれる」と思いがちだが、設定と人の責任は利用企業側にある。
- 連携アプリを管理者承認制にする：OAuthポリシーを「Admin approved users are pre-authorized」に設定し、エンドユーザーが勝手にアプリを承認できないようにする
- 連携アプリの棚卸しとallowlist化：承認済みアプリを定期監査し、Data Loader含む不審・重複名のアプリを即時取り消す。新規承認をアラート対象に
- フィッシング耐性のあるMFA：SMS/TOTPではなく FIDO2/パスキーを全社強制。不要ならデバイスコードフローを無効化する
- IP制限とセッション制御：ログイン/API利用を信頼ネットワークのIPに限定。セッション・リフレッシュトークンの有効期間を短縮する
- API利用の監視：想定外ユーザーの大量APIコール、impossible travel、業務時間外アクセスを検知する（Salesforce Shieldのイベントログ等）
- vishing教育とコールバック検証：「ITは電話でアプリ承認や接続コード入力を求めない」と周知。IT依頼は正規窓口へのコールバックで検証する手順を作る
まとめ
- ShinyHunters による Salesforce 顧客データ窃取は2026年も継続中。Farmers Insurance 約110万人ほか被害多数
- 手口はプラットフォームの脆弱性ではなく、vishing＋悪意あるOAuth連携アプリの承認悪用。正規フローなので検知しにくい
- 「プラットフォームは無傷」でも顧客データは抜ける。SaaSの設定と人的対策は利用企業の責任
- 連携アプリの管理者承認制・棚卸し・phishing-resistant MFA・vishing教育が効く
SaaSのセキュリティは「製品が安全か」ではなく「自社の設定と従業員が突かれないか」で決まる。脆弱性パッチを待つ問題ではない。
参考
- Farmers Insurance data breach impacts 1.1M people after Salesforce attack — BleepingComputer
- ShinyHunters starts leaking data stolen in Salesforce attacks — BleepingComputer
- Google Exposes Vishing Group UNC6040 Targeting Salesforce with Fake Data Loader App — The Hacker News
- What Salesforce Organizations Need to Know About ShinyHunters and Vishing — Varonis