Googleに不正アクセス？！進行中のSalesforce狙いデータ窃取の全貌と実務対策

こんにちは！ワニたんです。

夏本番で暑い日が続いていますが、皆さんお元気ですか？ ワニたんは今日も元気にセキュリティの見回りをしています🐊

そんな中、またひとつ見過ごせないセキュリティニュースがワニたんの目に飛び込んできました…。

Googleへの攻撃と被害の詳細

Googleは8月5日のブログ更新で、自社のSalesforceインスタンスが侵害されたことを公表しました。

攻撃は6月に発生し、同社が不正アクセスを検知して遮断するまでの短時間に、中小企業の連絡先情報や関連メモが窃取されました。
ただし、盗まれた情報の大部分は「企業名や連絡先など、すでに公開されているビジネス情報」に限られていたと説明しています。被害件数や具体的な取引先名については明らかにしていません。

この攻撃は、Googleが以前から追跡してきた「UNC6040」および「UNC6240」と呼ばれる脅威アクターによるもので、実態としてはShinyHuntersと呼ばれる悪名高いサイバー犯罪グループの活動と一致します。

参考：The Cost of a Call: From Voice Phishing to Data Extortion

ShinyHuntersの手口

ShinyHuntersは、ボイスフィッシング（vishing）を用いたソーシャルエンジニアリング攻撃を得意とします。攻撃の典型的な流れは以下の通りです。

• なりすまし通話
  攻撃者はITサポート担当者を装い、ターゲット企業の従業員に電話をかける。
• 悪意ある接続アプリの承認
  被害者を騙して、Salesforce環境や他のクラウドサービス（例：Microsoft 365）へのアクセスを許可させる。
• データ窃取
  認証情報やMFAコードを入手し、顧客データや社内情報を窃取する。
• 恐喝・リーク
  盗んだデータを盾に、72時間以内のビットコイン支払いを要求。支払わなければ、データはダークウェブやハッキングフォーラムで公開・販売される。

過去には、データ漏洩を防ぐために4ビットコイン（約40万ドル）を支払った企業が確認されています。

なお、ソーシャルエンジニアリング攻撃について詳しく知りたい方は以下をご覧ください。
⇒ソーシャルエンジニアリングとは？手口や被害の事例、対策について解説

被害はGoogleだけではない

この攻撃キャンペーンでは、既に複数の有名企業の被害が報告されています。判明している被害企業には以下が含まれます。

被害企業	業種	流出データの内容
Google	テクノロジー	中小企業顧客の事業者名、連絡先詳細、関連メモ
Adidas	スポーツ用品	顧客データ（詳細非公開）
Qantas Airways	航空	顧客データ（詳細非公開）
Allianz Life	保険	140万人の顧客の個人識別情報（氏名、住所等の詳細は非公開）
Louis Vuitton	高級ブランド	顧客の氏名、連絡先詳細、購買履歴（支払情報は含まれず）
Cisco	ネットワーク機器	ユーザーの氏名、組織名、住所、メールアドレス、電話番号、アカウント作成日
Cartier	高級ブランド	顧客データのサンプル（詳細非公開）

注目すべき点は、これらの多くがグローバルブランドであり、1兆ドル規模の企業も標的になっているとShinyHuntersが自ら主張していることです。

攻撃の進化と今後の脅威

初期の攻撃は比較的単純なvishingと恐喝でしたが、現在は以下のような進化が見られます。

• Torなど匿名通信ツールの活用により、攻撃者の特定や追跡が困難に
  
• 恐喝の遅延戦略（侵入から数カ月後に脅迫を開始）
  
• 専用のデータリークサイトを開設し、被害者への圧力を強化
  

Closed Door SecurityのCEO、ウィリアム・ライト氏は、

「ShinyHuntersはSalesforceを通じた攻撃を急速に拡大しており、まだ報告されていない被害も多数存在する」
と警告しています。今後数週間でさらに多くの被害報告が出る可能性があります。

企業が取るべき対策

この一連の攻撃は、クラウド環境に依存する企業に深刻な警鐘を鳴らしています。特にSalesforceのようなCRMシステムは、取引先情報・顧客データ・商談記録など、企業活動の中枢データを扱うため、侵害された場合の影響が甚大です。

効果的な対策としては以下が挙げられます。

• 従業員教育の徹底
  
• 多要素認証（MFA）の強化と利用制限
  
• Salesforceやクラウドサービスのアクセス監視・異常検知
  
• ゼロトラストモデルの導入によるアクセス権限管理の最適化
  
• 定期的なセキュリティパッチと構成レビュー

ShinyHuntersによるSalesforceインスタンス侵害は、今後さらに手口が巧妙化し、より多くの業種・規模の企業が標的になる可能性があります。クラウド利用が当たり前となった今、セキュリティは「導入後の後付け」ではなく、最初から組み込むべき前提条件です。

あなたの個人情報は大丈夫？

今回の事件は、「世界最大級のテック企業ですら被害者になり得る」という現実を突きつけました。公開情報のように見えるデータでも、攻撃者の手に渡ればフィッシングや詐欺の材料となり、二次被害へとつながります。
万が一、情報漏洩が発生すれば企業の信用やブランドイメージが低下するため、情報漏洩を素早く察知して、適切な対応を取れる体制構築も進めましょう。

まずは自社の情報が既に漏洩していないか調べてみませんか？

ダークウェブアイなら、自社の情報がダークウェブに流出していないかを即座にチェック可能です。
加えて、漏洩を検知した際にはリアルタイムで通知が届き、早急な対応策の立案も支援されます。

⇒メールアドレスを入れるだけ！自社の漏洩状況をチェック！

日本企業に特化して、分かりやすいUIとなっているダークウェブアイは操作も簡単！
会社のドメイン情報を入れるだけで自社の情報が「いつ」「どこから」「どんな情報が」漏れてしまったのか、全て一瞬で分かってしまいます！

ワニたんが使ってみた実際の画面がこんな感じです！

• 漏洩した社員のメールアドレス
• 漏洩したサービス
• 漏洩した数
• 漏洩に対する対応状況

が一つのダッシュボードで確認できます✨

今なら無料で、過去から現在までのすべての会社の漏洩状況を確認できるのでぜひ一度試してみてください！
継続的にダークウェブアイを使いたいお客様はぜひお問合せください！
⇒まずは無料でメールアドレスの漏洩チェック！