【緊急解説】Salesforce10億件データ流出事件 – ボイスフィッシング攻撃の全容と今すぐできる対策

史上最大級のデータ流出事件が発生 – あなたの情報は大丈夫？

2025年10月、サイバーセキュリティ業界に激震が走りました。新たなハッカー集団「Scattered Lapsus$ Hunters」が、Salesforceを利用する数十社から約10億件もの顧客情報を盗み出したと発表したのです。

現役のCSIRTメンバーとして数々のインシデント対応に携わってきた私から見ても、この事件の規模と手法の巧妙さは特筆すべきものです。特に注目すべきは、技術的な脆弱性を突いたのではなく、人の心理を巧みに操る「ボイスフィッシング」を使った点です。

被害企業と流出データの規模

現在判明している被害企業には、以下のような大手企業が含まれています：

• FedEx（物流大手）
• Hulu（動画配信サービス）
• トヨタ（自動車メーカー）
• Allianz Life（保険会社）- 140万人分
• TransUnion（信用調査会社）- 440万人分

流出した可能性のある情報は、氏名、メールアドレス、電話番号から、社会保障番号などの機密情報まで多岐にわたります。もしあなたがこれらの企業のサービスを利用していた場合、個人情報が闇市場で売買される危険性があります。

Scattered Lapsus$ Hunters – 悪名高い集団の連合体

今回の攻撃を実行したのは「Scattered Lapsus$ Hunters」という新しいサイバー犯罪グループです。しかし、この集団の構成メンバーを見ると、その危険度の高さが分かります：

• Scattered Spider – 初期アクセスの専門家
• ShinyHunters – データ窃取と公開の実行役
• Lapsus$ – 過去にMicrosoft、Okta等を標的にした悪名高い集団

これは、まさに「サイバー犯罪のドリームチーム」と言えるでしょう。各グループの専門性を活かした分業体制で、より効率的かつ大規模な攻撃を可能にしています。

ボイスフィッシング攻撃の巧妙な手口を徹底解説

従来のフィッシングとの違い

一般的なフィッシング攻撃は偽のメールやWebサイトを使いますが、ボイスフィッシング（Vishing）は電話を使った詐欺手法です。人間の声による説得力と、電話という身近なコミュニケーション手段を悪用することで、警戒心を解き、機密情報を聞き出します。

実際の攻撃シナリオ

今回の事件では、以下のような手順で攻撃が実行されました：

1. 事前調査：ターゲット企業の組織構造やIT部門の情報を収集
2. なりすまし電話：ITサポートスタッフを装って従業員に電話
3. 緊急性の演出：「システムに異常が発生している」「すぐに対処が必要」などの理由で緊急性を煽る
4. 認証情報の取得：パスワードやセキュリティトークンの情報を聞き出し
5. システム侵入：取得した認証情報でSalesforceにログイン
6. データ窃取：Salesforceのデータエクスポート機能を悪用して大量データを抽出

なぜこの手法が効果的なのか

フォレンジック調査の現場で様々なインシデントを見てきましたが、ボイスフィッシングが成功しやすい理由は明確です：

• 権威への服従：IT部門からの指示だと信じ込ませる
• 時間的プレッシャー：「今すぐ対処しないと大変なことになる」という切迫感
• 技術的な複雑さ：一般従業員には判断が困難な技術用語を使用
• 社会的証明：「他の部署でも同じ問題が発生している」などの情報

CrowdStrikeが警告：ボイスフィッシング攻撃の急増

セキュリティ企業CrowdStrikeの最新レポートによると、2024年下半期のボイスフィッシング攻撃は上半期と比べて442％も増加しています。これは決して偶然ではありません。

コロナ禍でリモートワークが普及し、電話でのやり取りが増えたことで、攻撃者にとって「電話で指示を出す」ことが自然な状況となりました。また、多くの企業で IT サポートが外部委託されているため、「知らない人からの IT 関連の電話」に対する警戒心が薄れているのも要因の一つです。

個人ができる今すぐの対策

1. 身に覚えのない IT サポート電話への対処法

• 相手の所属部署と名前を必ず確認する
• 一度電話を切り、公式の連絡先に折り返し確認する
• 電話でパスワードやセキュリティコードを聞かれても絶対に答えない
• 「緊急事態」を理由に即座の対応を求められても冷静に判断する

2. アンチウイルスソフト の導入検討

個人レベルでの対策として、包括的なセキュリティ対策が重要です。現代のアンチウイルスソフト は、フィッシングサイトへのアクセスブロック機能も搭載しており、万が一騙されてしまった場合でも被害を最小限に抑えることができます。

3. VPN で通信の安全性を確保

在宅勤務や外出先での作業が多い方は、VPN の利用も検討してください。公衆WiFiを使った通信の盗聴を防ぎ、攻撃者による情報収集活動を阻害する効果があります。

企業が実施すべき緊急対策

1. 従業員教育の強化

• ボイスフィッシングの具体的な手口を共有
• 定期的な模擬攻撃訓練の実施
• 疑わしい電話があった場合の報告体制の整備

2. 技術的対策の導入

• 多要素認証（MFA）の徹底
• FIDO2などの高度な認証技術の検討
• 異常なデータアクセスの監視強化
• 定期的なセキュリティ監査

3. Webサイト脆弱性診断サービス の活用

企業のWebサイトや顧客データベースへの攻撃経路を事前に特定し、対策を講じることが重要です。Webサイト脆弱性診断サービス を定期的に実施することで、攻撃者に悪用される可能性のある脆弱性を早期発見できます。

データ流出被害に遭った場合の対処法

個人の場合

1. パスワードの即座変更：関連するすべてのアカウントのパスワードを変更
2. クレジット監視：不正な取引がないか定期的にチェック
3. 信用情報の凍結：必要に応じて信用情報機関でのアカウント凍結を検討
4. フィッシング攻撃への警戒：流出した情報を使った二次攻撃に注意

企業の場合

1. インシデント対応チームの立ち上げ
2. 被害範囲の特定
3. 関係当局への報告
4. 顧客への迅速な通知
5. 再発防止策の策定

今後予想される攻撃の進化

フォレンジック業務の経験上、今回のような大規模攻撃の後は、必ずと言っていいほど模倣犯が現れます。特に以下の点に注意が必要です：

• AI音声技術の悪用：より自然な音声での騙しが可能に
• 標的の多様化：大企業だけでなく中小企業も標的に
• 攻撃手法の組み合わせ：ボイスフィッシング＋メール＋SMS などの多角的攻撃

まとめ：一人ひとりの意識が企業と社会を守る

今回のScattered Lapsus$ Huntersによる攻撃は、現代のサイバーセキュリティが直面する課題の縮図です。どれほど高度な技術的対策を講じても、人間の心理的な隙を突かれれば、簡単に突破されてしまいます。

重要なのは、技術的対策と人的対策をバランスよく組み合わせることです。個人レベルでの警戒心と、企業レベルでの包括的なセキュリティ戦略、そして社会全体でのサイバーセキュリティ意識の向上が、今後ますます重要になってくるでしょう。

私たち一人ひとりが「最後の砦」であることを忘れずに、日々のセキュリティ意識を高めていきましょう。

一次情報または関連リンク

Salesforceの顧客データベースから10億件の記録が盗まれたとハッカー集団が主張 – ZDNET Japan