Googleでさえ狙われた！Salesforce不正アクセス事件の全容
2025年8月9日、あのGoogleが衝撃的な発表を行いました。同社のSalesforce CRMインスタンスが不正アクセスを受け、Google広告の見込み客情報が大量に流出したというのです。
私がフォレンジック調査を手がけてきた中でも、これほど巧妙で組織的なCRM攻撃は珍しく、企業のデータ保護がいかに脆弱かを如実に示す事件となりました。
被害の規模と影響範囲
流出したのは企業名、電話番号、営業担当者用のメモなどの基本的なビジネス連絡先情報。幸い決済情報やGoogle Ads、Analytics等の他サービスには影響しなかったものの、攻撃グループ「ShinyHunters」は約255万件のレコードを窃取したと主張しています。
「たかが連絡先情報」と思われるかもしれませんが、これは大きな間違いです。実際、私が担当した中小企業の事例では、顧客リスト流出により競合他社に営業機会を奪われ、売上が30%も減少したケースがありました。
恐るべきソーシャルエンジニアリング手法「ビッシング」
今回の攻撃で注目すべきは、その巧妙な初期侵入手法です。攻撃者集団「Scattered Spider」（現在は「Sp1d3rHunters」として活動）が用いたのは、電話やメールを使ったソーシャルエンジニアリング、いわゆる「ビッシング」でした。
攻撃の流れ
- 標的従業員への接触：攻撃者が電話で従業員に接触し、IT部門やセキュリティチームを装う
- 悪意あるアプリの導入誘導：偽のSalesforce「Data Loader」アプリの接続を指示
- 権限取得：Salesforce環境全体のデータ一括ダウンロード権限を獲得
- データ窃取：Pythonスクリプトによる高速・自動化されたデータ抽出
- 身代金要求：窃取データを基にした恐喝メール送信
実際にGoogleに対しては20BTC（約230万ドル）の支払いが要求されました。ShinyHuntersは後に「冗談だった」と発言していますが、他の被害企業には72時間以内のビットコイン支払いを迫る本格的な恐喝が行われています。
中小企業こそ狙われやすい理由
「うちは大企業じゃないから大丈夫」と考えるのは危険です。私のフォレンジック調査経験では、中小企業の方が実は狙われやすいのが現実です。
中小企業が狙われる理由
- セキュリティ予算の不足：十分な監視システムや教育が行き届いていない
- 従業員のセキュリティ意識：大企業ほど厳格な研修制度がない
- システム管理の甘さ：専任のセキュリティ担当者がいない場合が多い
- 復旧コストの制約：攻撃を受けた際の対応リソースが限られる
実際、私が調査した製造業A社（従業員50名）では、同様の手法で顧客データベース全体が窃取され、取引先からの信頼失墜により倒産寸前まで追い込まれました。幸いアンチウイルスソフト
の導入と適切なインシデント対応により事業継続できましたが、一歩間違えば致命的でした。
今すぐできる！CRMセキュリティ対策
Google Threat Intelligence Group（GTIG）の推奨事項を基に、実践的な対策をご紹介します。
1. アクセス権限の厳格管理
- 最小権限の原則：必要最小限のデータアクセス権限のみ付与
- API権限の制御：特にデータ一括ダウンロード権限は厳重に管理
- 定期的な権限見直し：退職者や部署異動時の権限削除を徹底
2. 接続アプリケーションの管理強化
Salesforceの「接続アプリケーション」機能は便利ですが、今回のような悪用リスクがあります。
- 承認プロセスの整備：新規アプリ接続時の多段階承認制度
- ホワイトリスト化：承認済みアプリのみ接続許可
- 定期監査：接続中のアプリの定期的な棚卸し
3. 技術的セキュリティ対策
- IP制限：特定IPアドレスからのアクセスのみ許可
- 高度監視：Salesforce Shield等による異常検知
- 多要素認証（MFA）：全従業員への必須適用
個人でもできるセキュリティ強化策
企業レベルの対策も重要ですが、個人でもサイバー攻撃のリスクを軽減することが可能です。
個人向け対策の重要性
今回のような攻撃では、個人のデバイスが感染経路となることも多く、実際に調査した事例では在宅勤務中の従業員の個人PCがマルウェアに感染し、そこから社内システムに侵入されたケースもありました。
- アンチウイルスソフト
の導入：最新の脅威に対応した総合セキュリティソフトで、リアルタイム保護を実現 - VPN
の活用：公衆Wi-Fi利用時やリモートワークでの通信暗号化
- 定期的なパスワード更新：強力で一意なパスワードの使用
- フィッシングメール対策：不審なメールや電話への警戒心を高める
企業が取るべき包括的セキュリティ対策
Webサイト脆弱性の定期診断
CRMシステムだけでなく、Webサイトも攻撃の入り口となります。私が対応したケースでは、Webサイトの脆弱性から侵入され、最終的にCRMデータまで窃取された事例もありました。
Webサイト脆弱性診断サービス
を活用することで、外部からの攻撃リスクを事前に発見し、適切な対策を講じることができます。特に顧客データを扱う企業にとっては、定期的な脆弱性診断は必須の投資と言えるでしょう。
従業員教育の強化
技術的対策だけでなく、人的要因への対策も重要です。
- ソーシャルエンジニアリング対策研修：定期的な模擬攻撃訓練
- インシデント報告体制：疑わしい接触があった場合の迅速な報告ルート
- MFA疲労攻撃への対策：連続する認証要求への適切な対応方法
まとめ：今こそセキュリティ投資の時
GoogleのSalesforce不正アクセス事件は、どんな大企業でもサイバー攻撃の標的となり得ることを示しています。特に中小企業にとっては、限られたリソースの中でいかに効果的なセキュリティ対策を実現するかが重要です。
私のフォレンジック調査経験から言えるのは、事後対応よりも事前対策の方が圧倒的にコスト効率が良いということです。今回紹介した対策を参考に、段階的でも構わないのでセキュリティ投資を検討してください。
特に、個人レベルでのアンチウイルスソフト
やVPN
の導入、企業レベルでのWebサイト脆弱性診断サービス
の実施は、比較的少ない投資で大きなリスク軽減効果を得られる施策です。
サイバー攻撃は「いつか起こるかもしれない」ものではなく、「いつ起こってもおかしくない」現実的な脅威です。今こそ、適切なセキュリティ対策を講じる時なのです。
