「Salesforce が攻撃された」というニュースが2025年から2026年にかけて連発している。Farmers Insurance で約110万人、TransUnion で約440万件、Google・Cisco・Qantas・Adidas・LVMH傘下ブランド…と被害企業が並ぶ。

ところが Salesforce はこう言っている。「我々のプラットフォームは侵害されていない」。

矛盾しているようで、していない。脆弱性ゼロでも顧客データは抜ける。そのカラクリがこの攻撃の本質だ。

何が起きているのか

攻撃者グループ ShinyHunters（Google/Mandiant は脅威クラスタ「UNC6040」として追跡）を中心に、企業の Salesforce 環境から顧客データを大量窃取して恐喝するキャンペーンが続いている。

項目	内容
主な攻撃者	ShinyHunters（UNC6040 / 恐喝はUNC6240）
時期	2024年末〜2026年も継続中
Farmers Insurance	約111万人（氏名・住所・生年月日・免許番号・SSN下4桁等）
確認・報道された被害	Google, Cisco, Qantas, Adidas, TransUnion(約440万), LVMH/Kering傘下ブランド, Stellantis 等
リークサイト掲載	2025年10月時点で39社
Salesforce本体	脆弱性なし。プラットフォームは無傷と公式表明

業種は保険・航空・小売・高級ブランド・テック・自動車と横断。Salesforce を使う企業なら誰でも標的になりうる。

手口：脆弱性ではなく「人」と「OAuth連携」を突く

攻撃はプラットフォームのバグを突いていない。狙うのは設定と人間だ。

攻撃者がITサポートを装って従業員に電話する。ライブ通話と自動音声を併用し、事前偵察したうえで本人を信用させる。メールのフィッシングより検知されにくい。

ここが核心。電話で誘導して、従業員に Salesforce の連携アプリ設定ページを開かせ、正規のData Loaderを改変した偽アプリ（例：「My Ticket Portal」などと名乗る）を承認させる。

具体的には OAuthのデバイスコードフローを悪用する。

正規の認可フローをそのまま使うので、**システムから見れば「正常な連携承認」**にしか見えない。だからプラットフォームは「侵害されていない」のに、データは合法的に見える経路で抜かれる。

承認された連携アプリの権限で、CRMの顧客データをAPI経由で大量に持ち出す。

なお2026年にかけては、SaaS連携製品「Salesloft Drift」から盗んだ**OAuthトークンを悪用する第2波（UNC6395）**も発生している。いずれも「Salesforce本体の脆弱性ではなく、連携トークンや人的承認を突く」点で共通している。

Farmers Insurance では集団訴訟も提起された。CRMの設定ひとつが、巨額の賠償リスクに直結する。

クラウド/SaaSは「プロバイダが守ってくれる」と思いがちだが、設定と人の責任は利用企業側にある。

連携アプリを管理者承認制にする：OAuthポリシーを「Admin approved users are pre-authorized」に設定し、エンドユーザーが勝手にアプリを承認できないようにする
連携アプリの棚卸しとallowlist化：承認済みアプリを定期監査し、Data Loader含む不審・重複名のアプリを即時取り消す。新規承認をアラート対象に
フィッシング耐性のあるMFA：SMS/TOTPではなく FIDO2/パスキーを全社強制。不要ならデバイスコードフローを無効化する
IP制限とセッション制御：ログイン/API利用を信頼ネットワークのIPに限定。セッション・リフレッシュトークンの有効期間を短縮する
API利用の監視：想定外ユーザーの大量APIコール、impossible travel、業務時間外アクセスを検知する（Salesforce Shieldのイベントログ等）
vishing教育とコールバック検証：「ITは電話でアプリ承認や接続コード入力を求めない」と周知。IT依頼は正規窓口へのコールバックで検証する手順を作る

SaaSのセキュリティは「製品が安全か」ではなく「自社の設定と従業員が突かれないか」で決まる。脆弱性パッチを待つ問題ではない。