マーケティングSaaSを狙った新手のサプライチェーン攻撃が企業を震撼
2025年8月下旬、企業のマーケティング戦略の中核を担うSalesLoft Driftが標的となった大規模なサイバー攻撃が発生しました。この攻撃により、Palo Alto NetworksやZscalerなど、名だたるセキュリティ企業を含む多数の組織が被害を受けています。
現役フォレンジックアナリストとして、この事件の詳細分析と、あなたの組織が今すぐ取るべき対策について解説します。
事件の概要：OAuthトークン窃取による連鎖的な被害拡大
攻撃者は2025年8月8日から18日にかけて、SalesLoft Driftに保存されていたOAuth認証トークンを窃取し、これを悪用して複数企業のSalesforce環境に不正アクセスを行いました。
具体的な被害内容：
- Account、Contact、Case、Opportunityなどの主要顧客データの大量窃取
- AWSアクセスキー（AKIA）やSnowflakeトークンなどの機密認証情報の探索
- 営業記録、サポートケース情報、顧客連絡先の流出
- Google Workspaceメールへの不正アクセス（一部ケース）
Google Threat Intelligence Groupは、この攻撃をUNC6395による組織的なデータ窃取キャンペーンと位置付けています。
Palo Alto Networksの被害状況と対応
世界的なサイバーセキュリティ企業であるPalo Alto Networks自身も、この攻撃の被害者となりました。同社から流出した可能性のあるデータは以下の通りです：
- ビジネス関連の連絡先と関連アカウント情報
- 社内販売アカウント記録
- 基本的なサポートケースデータ
幸い、製品・システム・サービスへの影響はなく、サポートケースの添付ファイルや技術資料は含まれていないとのことです。
現役フォレンジックアナリストが見る：なぜこの攻撃は成功したのか
サプライチェーン攻撃の巧妙さ
私がこれまで調査した数多くのインシデントの中でも、この攻撃は特に巧妙でした。攻撃者は以下の点で優れた戦略を取りました：
- 信頼されたサービスの悪用：SalesLoft Driftは多くの企業が日常的に使用するマーケティングツール
- OAuth認証の盲点突き：便利さの裏に潜む認証トークンの管理不備
- 大量データの効率的抽出：API/SOQLクエリを駆使した系統的なデータ窃取
実際の中小企業被害事例
私が過去に調査した類似ケースでは、ある中小製造業がマーケティングツール経由でSalesforceデータを窃取され、以下の被害が発生しました：
- 顧客リスト5,000件の流出→競合他社による営業妨害
- 見積金額情報の漏洩→入札での不利な立場
- 復旧作業に3週間、売上損失約500万円
- 顧客への謝罪対応で信頼関係にひび
このような被害は、適切なセキュリティ対策で防げたものでした。
今すぐ実施すべき緊急対策
即座に行うべき対応（24時間以内）
- Drift連携の無効化
- すべてのDrift関連連携を一時停止
- 原因調査と対策完了まで再開禁止
- 認証情報の完全刷新
- OAuth/リフレッシュトークンの失効と再発行
- 管理者アカウントの強制再認証
- APIキー、PAT、Webhookシークレットのローテーション
- 秘匿情報の機械的検索
- TruffleHog、Gitleaksなどのツール活用
- AKIA、JWT、client_secretなどの自動抽出
フォレンジック調査で重要な証跡確認
- Salesforce監査ログ分析
- Event Monitoring（URI/Report/Query/Export）
- Bulk API/Async SOQL活動の異常検知
- 深夜帯・海外IP・大量アクセスの相関分析
- ネットワーク・認証ログ分析
- Tor出口ノードからのアクセス
- Impossible Travelパターンの検出
- 機械的User-Agentの連続アクセス
- 周辺ログでの補完調査
- SIEM、プロキシ、DLPログの相関分析
- 削除された痕跡の復元試行
個人・中小企業が今すぐできる基本対策
このような大規模攻撃から身を守るには、日頃からの備えが重要です。個人でもできる基本的な対策をご紹介します。
1. エンドポイント保護の強化
アンチウイルスソフト
は、マルウェアやランサムウェアからPCやスマートフォンを守る第一の防壁です。特に：
- リアルタイム監視機能でゼロデイ攻撃も検知
- フィッシングサイトのブロック機能
- 不審なファイルダウンロードの即座遮断
2. 通信経路の暗号化
VPN
を使用することで：
- 公衆WiFi利用時のデータ傍受防止
- ISPによる通信内容の監視回避
- 海外サービス利用時の通信保護
リモートワークが増えた今、通信の暗号化は必須の対策といえます。
3. 企業向け脆弱性対策
中小企業のWebサイトやアプリケーションには、Webサイト脆弱性診断サービス
が効果的です：
- OWASP Top 10脆弱性の定期診断
- SQLインジェクション、XSS攻撃の検出
- セキュリティパッチ適用状況の確認
長期的なセキュリティ戦略の構築
OAuth管理の厳格化
- 最小権限の原則：必要最小限のスコープ設定
- 定期的なトークン監査：未使用・期限切れトークンの削除
- 二重承認制：重要なアプリ連携には複数人の承認
- 有効期限の設定：長期間有効なトークンの禁止
インシデント対応体制の整備
- ランブック作成：検知→封じ込め→復旧の手順書
- 連絡体制構築：CSIRT、営業、法務の連携導線
- 定期演習実施：年2回以上のインシデント対応訓練
- 外部IR準備：専門機関との事前契約・連絡体制
データ管理の衛生向上
- 機密情報の分離：重要データの別環境保存
- DLP導入：正規表現による自動検知・遮断
- アクセス制御：Role-based access control（RBAC）
- 暗号化強化：保存時・転送時の両方で実施
CSIRTからの実践的アドバイス
小規模組織でも実現可能な対策
「うちは小さな会社だから狙われない」は大きな間違いです。実際、攻撃者は：
- セキュリティが甘い小規模組織を踏み台にする
- 大企業へのサプライチェーン攻撃の足がかりにする
- 少額でも多数から窃取すれば大きな利益になる
予算が限られていても、以下の対策から始めましょう：
- 従業員教育：フィッシング判別訓練（月1回）
- 基本ツール導入：アンチウイルスソフト
とVPN
の全社導入 - バックアップ強化：3-2-1ルール（3つのコピー、2つの媒体、1つのオフサイト）
- パッチ管理：OS・ソフトウェアの自動更新設定
被害発生時の初動対応
もし不審なアクセスを発見したら：
- 即座の切断：被害拡大防止のためネットワーク遮断
- 証跡保全：ログやメモリダンプの即座取得
- 関係者連絡：経営陣、法務、広報への迅速報告
- 専門機関相談：警察サイバー犯罪対策課、JPCERT/CCへの連絡
まとめ：プロアクティブな対策が組織を救う
今回のSalesLoft Drift攻撃は、信頼されたサービスでも攻撃の起点になりうることを改めて証明しました。重要なのは：
- 多層防御：単一の対策に依存しない
- 継続的監視：24時間365日の異常検知
- 迅速な対応：インシデント発生時の初動スピード
- 定期的見直し：脅威情勢に応じた対策更新
サイバー攻撃は「起こるかもしれない」ではなく「必ず起こる」前提で対策を講じることが、現代のデジタル社会を生き抜く鍵です。
今すぐできることから始めて、あなたの大切な情報資産を守りましょう。
一次情報または関連リンク
Threat Brief: Salesloft Drift Integration Used To Compromise Salesforce Instances – Unit 42
Palo Alto Networks data breach exposes customer info, support cases – BleepingComputer
