Palo AltoやCloudflareにも影響：Salesloftの盗難OAuthトークン使いSalesforceデータ盗むサプライチェーン攻撃

Zscalerに続きPalo AltoやCloudflareも影響受けたと公表：Salesloftの侵害伴うサプライチェーン攻撃

Help Net Security – September 2, 2025、BleepingComputer – September 2, 2025

Salesloft Driftを侵害して盗み出されたOAuthトークンで企業のSalesforceインスタンスへ不正にアクセスするサプライチェーン攻撃キャンペーンで、Palo Alto NetworksやCloudflareといった企業も影響を受けていたことが新たに判明。Google脅威インテリジェンスグループ（GTIG）のアナリストによると、このキャンペーンでは700を超える組織が影響を受けた可能性があるという。

Salesloft Driftの侵害

DriftとOAuth

そもそもSalesloftとは同名のセールスエンゲージメントプラットフォームを提供する企業で、Driftとは同社のAIチャットエージェント。Driftは多数のサードパーティプラットフォームに統合可能で、SalesforceやGmail、Microsoftなどがこれに含まれる。Driftは、Salesforceなどのリソース環境へOAuthアプリケーションとして接続され、ユーザーによるリソースプロバイダー（例：Salesforce）での認証／認可が済んだのち、SalesforceからDriftへOAuthリフレッシュトークンおよびアクセストークンが渡される。これらのトークンを使うことで、Driftは当該ユーザーのSalesforceインスタンス内にあるデータやリソースへのAPIアクセスを行えるようになる。

OAuthトークンの窃取

今回のインシデントにおいて脅威アクターは、Driftアプリケーションによって保管されていた上記のようなSalesforceへのAPIアクセス用OAuthトークンを窃取。この盗難トークンを使い、8月8日から18日にかけて複数企業のSalesforceインスタンスへアクセスし、不正にデータを盗み出したとされている。ただ、そもそもどのようにOAuthアクセストークンが盗まれたかについては不明であるか、少なくとも公表されてはいない。

またGTIGは、この攻撃でDrift系の別のアプリ「Drift Email」からもOAuthトークンが窃取されたと伝えている。GTIGが「UNC6395」として追跡する攻撃者は、これらのトークンを使い、Salesloft Driftを連携する設定になっていたごく少数のGoogle WorkspaceアカウントのEメールにアクセスしたという。

Palo Alto NetworksやCloudflare、Zscalerなどで被害

8月20日にSalesloftがこのセキュリティインシデントについて通知し、27日にGTIGが本件についての概要やIoCなどを記載したブログ記事を公開したのち、30日にはサイバーセキュリティ企業Zscalerがこのサプライチェーン攻撃により自社のSalesforceインスタンスが影響を受けたことを公表。脅威アクターがZscaler自身の顧客の名前や業務用メールアドレス、電話番号といった情報にアクセスしたことがわかったと伝えた。

また9月2日には、サイバーセキュリティ企業Palo Alto NetworksのSalesforceインスタンスもこのサプライチェーン攻撃による影響を受けたとBleepingComputerが報道。同社はBleepingComputerに対し、「攻撃者は主にビジネス関連の連絡先および関連するアカウント情報、内部のセールスアカウント記録、ベーシックなケースデータを抜き取った」と伝えたという。同社によれば、このサポートケースデータには連絡先情報とテキストのコメントしか含まれておらず、技術的なサポートファイルや添付ファイルは含まれないとされる。

さらに同じく2日、Cloudflareもこのキャンペーンの影響を受けたことを公表。不正アクセスを受けた同社のSalesforceインスタンスに含まれていた情報の大部分は、顧客の連絡先情報とベーシックなサポートケースデータだったとされる。ただ、一部のカスタマーサポート関連のやり取りには顧客の設定情報に関する情報が含まれる恐れがあるほか、アクセストークンなどの機微な情報が含まれていた可能性があるという。同社はまた、「Salesforce内のサポートケースデータはサポートチケットのコンテンツを含んでいる」ことを踏まえると、「顧客がカスタマーサポートシステム内で同社と共有した情報はみな、ログ、トークン、パスワードなども含めて侵害されたと考えるべき」だとも述べた。このため顧客には、サポートシステムを通じてCloudflareへ共有した認証情報をローテーションすることが強く推奨されている。なお、侵害されたデータ内には104件のCloudflare APIトークンがあったとされる。

このほか、PagerDuty、Tanium、SpyCloudといった企業もこの攻撃で自社のSalesforceインスタンスからデータが盗まれた恐れがあることを伝えている。

Gmailをめぐる誤報も

今回のサプライチェーン侵害は複数企業でのデータ漏洩を引き起こしたのに加え、「25億人のGmaiユーザーにパスワードリセットを促す警告通知が届いた」などとする誤報が出回る事態も招いた。前述のように少数のGoogle WorkspaceアカウントがDrift Emailの侵害による影響を受けたことに関連し、「Googleが世界各地のGmailユーザー25億人に対し、2要素認証の有効化とパスワードのリセットを促す緊急警告を発した」とのニュースをいくつかのメディアが報じたものの、Googleはこれを否定。不正確なニュースであると強調した上で、「Gmailの保護は強力かつ有効」であると請け合っている。

【無料配布中！】インテリジェンス要件定義ガイド

インテリジェンス要件定義に関するガイドブック：『要件主導型インテリジェンスプログラムの構築方法』

以下のバナーより、優先的インテリジェンス要件（PIR）を中心とした効果的なインテリジェンスプログラムを確立するためのポイントなどを解説したSilobreaker社のガイドブック『要件主導型インテリジェンスプログラムの構築方法』の日本語訳バージョンを無料でダウンロードいただけます。

＜ガイドブックの主なトピック＞

本ガイドブックでは、優先的インテリジェンス要件（PIR）の策定にあたって検討すべき点と、PIRをステークホルダーのニーズに沿ったものにするために考慮すべき点について詳しく解説しています。具体的には、以下のトピックを取り上げます。

• 脅威プロファイルの確立
• ステークホルダーの特定・分析
• ユースケースの確立
• 要件の定義と管理
• データの収集と処理
• 分析と生産
• 報告
• フィードバック
• 実効性の評価