【海外】営業ツールの連携アプリが乗っ取られ、Salesforceから多くの企業のデータが流出
これは海外で起きた事例です。日本でも広く使われているサービスや、日本に広がりそうな手口なので、取り上げています。
点線のことばを押すと、意味が出ます。
01何が起きたか
2025年8月、AIチャットツール「Salesloft Drift」とSalesforceを連携させていた企業から、データデータコンピューターがあつかう、数字や文字、写真などの「情報のつぶ」。お客さんの名前の一覧も、売上の表も、みんなデータです。用語集で語源も見るが盗まれていたことが分かりました。攻撃者は8月8日から少なくとも18日まで、連携に使う「OAuthアプリ連携（OAuth）パスワードをわたさずに、ほかのアプリに「自分のデータを使ってよい」と許可するしくみ。あやしいアプリに許可すると、メールやファイルを読まれてしまいます。用語集で語源も見るトークン（通行証）」を悪用して、Salesforceの顧客情報や問い合わせ記録などを持ち出しました。Google、Cloudflare、Palo Alto Networks、Zscalerなどが被害を公表し、報道では世界で700を超える組織に影響したとされています。
日本の会社への影響
Salesforceは国内でも利用の多いサービスで、ほかのクラウドサービスクラウドインターネットの向こうにある、ほかの会社のコンピューターを借りて使うこと。データを自分の会社ではなく、遠くの大きな倉庫にあずけるイメージです。用語集で語源も見るとの連携も広く使われています。連携先の事故が自社の情報漏えい情報漏えいお客さんの個人情報や会社のひみつが、外にもれてしまうこと。攻撃だけでなく、まちがいや紛失でも起こります。用語集で語源も見るにつながることを示した事例です。
02原因・侵入経路
攻撃者は2025年3月〜6月にSalesloftの開発用GitHubに入りこみ、そこで連携用の通行証を手に入れたとされます。Salesforce自体の弱点ではありませんでした。盗んだデータの中から、クラウドのアクセスキーやパスワードパスワードアカウントに入るための「合言葉」。自分しか知らない言葉にしておかないと、ほかの人に入られてしまいます。用語集で語源も見るを探していたとみられています。
03中小企業がとるべき対処方法
- Salesforceやメール、ファイル共有ファイル共有1つのファイルを、何人かで見たり使ったりできるようにすること。だれに見せるかの設定をまちがえると、情報もれのもとになります。用語集で語源も見るなどに「連携」させているアプリアプリ（アプリケーション）仕事や遊びなど、ある目的のために使うソフト。表計算ソフトや LINE、地図アプリなどがそうです。用語集で語源も見るの一覧を作る
- 使っていない連携や、解約したサービスに与えた許可は取り消す
- 問い合わせ記録や顧客メモに、パスワードやAPIAPI（エーピーアイ）ソフトとソフトがデータをやりとりするための「受付窓口」。決まった書き方でお願いすると、相手のソフトが仕事をしてくれます。用語集で語源も見るキーを書きこまない
- クラウドの管理画面管理画面ホームページの持ち主だけが入れる、記事の書きかえや設定をする画面。ここに入られると、ホームページを乗っ取られます。用語集で語源も見るで、接続できる場所（IPアドレスIPアドレスインターネット上の「住所」。データはこの住所をたよりに届きます。用語集で語源も見る）を制限できるか確認する
04関係する診断項目
- B-02B利用中のソフトウェア・クラウドサービス（SaaS）の一覧がある
- K-04B利用中のクラウド・委託先が事故を起こした場合の影響を想定している
- H-01AMicrosoft 365 / Google Workspace のセキュリティ設定（共有範囲・外部共有）を確認している
- K-01A業務委託先（システム保守・制作会社・クラウド）の一覧と連絡先がある
05この事例に出てくることば
- アプリ（アプリケーション）
- 仕事や遊びなど、ある目的のために使うソフト。表計算ソフトや LINE、地図アプリなどがそうです。
- データ
- コンピューターがあつかう、数字や文字、写真などの「情報のつぶ」。お客さんの名前の一覧も、売上の表も、みんなデータです。
- アプリ連携（OAuth）
- パスワードをわたさずに、ほかのアプリに「自分のデータを使ってよい」と許可するしくみ。あやしいアプリに許可すると、メールやファイルを読まれてしまいます。
- クラウド
- インターネットの向こうにある、ほかの会社のコンピューターを借りて使うこと。データを自分の会社ではなく、遠くの大きな倉庫にあずけるイメージです。
- パスワード
- アカウントに入るための「合言葉」。自分しか知らない言葉にしておかないと、ほかの人に入られてしまいます。
- ファイル共有
- 1つのファイルを、何人かで見たり使ったりできるようにすること。だれに見せるかの設定をまちがえると、情報もれのもとになります。
- API（エーピーアイ）
- ソフトとソフトがデータをやりとりするための「受付窓口」。決まった書き方でお願いすると、相手のソフトが仕事をしてくれます。
- 管理画面
- ホームページの持ち主だけが入れる、記事の書きかえや設定をする画面。ここに入られると、ホームページを乗っ取られます。
- IPアドレス
- インターネット上の「住所」。データはこの住所をたよりに届きます。
06参照元
本ページは、参照元の報道をもとに当社が要約したものです。正確な内容は参照元と当事者の公表をご確認ください。