Googleの被害も判明：組織のSalesforceインスタンス狙ったデータ窃取攻撃

Googleの被害も判明：組織のSalesforceインスタンス狙ったデータ窃取攻撃

BleepingComputer – August 6, 2025

企業が使用するSalesforce製CRMツールを狙った進行中のデータ窃取攻撃で、Googleも被害に遭っていたことが明らかに。ただ、盗まれた情報は「ベーシック」なもので、大半が企業名や連絡先情報など一般に公開されている企業情報に限られるという。

GoogleのThreat Intelligence Group（GTIG）は2025年6月に公開したブログ記事において、同社が「UNC6040」として追跡する脅威アクターが、ターゲット組織の従業員にボイスフィッシング（フィッシング）攻撃を仕掛け、当該組織が使用するSalesforceのインスタンスを侵害して顧客データを盗んでいると注意喚起。盗まれたデータはその後、被害組織を恐喝する目的で利用されると伝えていた。

それ以降、Adidas、カンタス航空、Allianz Life、Louis Vuitton、Dior、Tiffany & Co、Chanelといった企業の被害が明らかになる中、8月5日にGoogleは前述のブログ記事を更新。同社自身も6月に同様の攻撃を受け、使用しているSalesforceインスタンスの1つから顧客データが盗まれたと明かした。Googleによれば、侵害されたインスタンスは小〜中規模の企業の連絡先情報や関連するメモなどを保管していたもので、同社が不正アクセスを認識して切断するまでの短時間に、前述の企業情報が窃取されたという。

Googleはこれらの攻撃の背後にいる攻撃者を「UNC6040」または「UNC6240」と分類しているものの、このキャンペーンを追跡しているBleepingComputer紙は、首謀者はShinyHuntersとして知られる悪名高い脅威アクターであると指摘。同紙はShinyHuntersへの聞き取りも行っており、同アクターが多数のSalesforceインスタンスを侵害したと主張していること、攻撃をまだ続けていること、そして1兆ドル規模の企業からもデータを盗み出したと述べていることなどを明かしている。同アクターは盗んだデータを恐喝には使わず単にリークすることを検討中だと語ったとされるが、当該企業がGoogleなのかどうかはわかっていないという。

なお、この攻撃キャンペーンにおいて、攻撃者は通常、盗んだデータをリークしないことと引き換えに身代金を支払うよう被害企業をEメールで恐喝したのち、当該データを公にリークするかハッキングフォーラムで販売することを計画する。BleepingComputerが把握した情報によれば、データがリークされるのを防ぐために4ビットコイン（およそ40万ドル）を支払った企業がすでに1社存在しているとのこと。

関連記事：企業のSalesforceインスタンス狙うデータ窃取攻撃、新たな被害者はシャネル

【無料配布中！】インテリジェンス要件定義ガイド

インテリジェンス要件定義に関するガイドブック：『要件主導型インテリジェンスプログラムの構築方法』

以下のバナーより、優先的インテリジェンス要件（PIR）を中心とした効果的なインテリジェンスプログラムを確立するためのポイントなどを解説したSilobreaker社のガイドブック『要件主導型インテリジェンスプログラムの構築方法』の日本語訳バージョンを無料でダウンロードいただけます。

＜ガイドブックの主なトピック＞

本ガイドブックでは、優先的インテリジェンス要件（PIR）の策定にあたって検討すべき点と、PIRをステークホルダーのニーズに沿ったものにするために考慮すべき点について詳しく解説しています。具体的には、以下のトピックを取り上げます。

• 脅威プロファイルの確立
• ステークホルダーの特定・分析
• ユースケースの確立
• 要件の定義と管理
• データの収集と処理
• 分析と生産
• 報告
• フィードバック
• 実効性の評価