Googleの法執行機関向けのポータルにハッカーが不正アカウントを作成：Googleが認める

9月13~16日：サイバーセキュリティ関連ニュース

Googleの法執行機関向けのポータルにハッカーが不正アカウントを作成：Googleが認める

BleepingComputer – September 15, 2025

Googleが法執行機関向けに用意しているデータ提供リクエスト用プラットフォーム内に、ハッカーが不正なアカウントを作成していたという。同社がBleepingComputerの取材に対してこの事実を認めている。

今回標的になったのは、Googleの「Law Enforcement Request System（LERS）」というプラットフォーム。これは、警察などの法執行機関がGoogleに対して公式にデータ提供を要請する際に使用するもので、ハッカーは同プラットフォーム上で不正なアカウントを1件作成したものの、このアカウントを使ったデータ提供リクエストはなされておらず、不正にアクセスされたデータもなかったという。なお現在までに、Googleはこのアカウントを無効化している。

Googleがこの事実を明かす以前には、「Scattered Lapsus$ Hunters」と名乗る脅威アクターグループが、同LERSポータルおよびFBIのバックグラウンドチェックシステムである「eCheck」へのアクセスを獲得したとTelegram上で主張。いずれのシステムも世界各国の警察や諜報機関が令状や裁判所命令、緊急開示要請などを提出するために使うものであるため、この主張は懸念を呼び起こしていた。この件をめぐりGoogle同様にBleepingComputerの取材を受けたFBIは、コメントを拒否しているという。

Scattered Lapsus$ HuntersはShiny Hunters、Scattered Spider、Lapsus$の各恐喝グループと繋がりを持つメンバーらから成るとされるグループで、Googleを含む多数の企業が影響を受けているSalesforceインスタンスからのデータ窃取攻撃に関わっているとみられている。2024年後半から始まった第1弾の攻撃では、ターゲット企業の従業員をビッシングの手法で騙し、Salesforce用データローダーツールを当該企業のSalesforceインスタンスへ接続させる手法でデータを窃取。盗み出されたデータは、企業を恐喝する目的で使用されていた。また2025年8月の第2の攻撃キャンペーンでは、Salesforceに連携されるSalesloft製AIチャットボット「Drift」から盗まれたOAuthトークンを使い、企業のSalesforceインスタンスからのデータ窃取が行われたとされる。

9月11日、Scattered Lapsus$ HuntersはBreachForumsに関連するドメインへのメッセージにおいて、活動終了を思わせる発言をしていたものの、BleepingComputerが話を聞いた何人からのサイバーセキュリティ研究者は、同グループが今後も密かに攻撃を行い続けるだろうとの考えを示したとのこと。

FBIがSalesforceのデータ狙うUNC6040、UNC6395の攻撃について警告、IoCを共有

BleepingComputer – September 14, 2025

FBIは9月12日、企業のSalesforceインスタンスを標的としたデータ窃取キャンペーンについてのFLASHアラートを発出。2組のサイバー犯罪グループUNC6040およびUNC6395によるものとされるこのキャンペーンに関連するIoCを共有した。

UNC6040によるものとされるキャンペーンは、2025年6月にGoogleの脅威インテリジェンスグループ（Mandiant）が初めて報告したもので、ターゲット企業の従業員をソーシャルエンジニアリングおよびビッシングの手法で騙し、悪意あるOAuthアプリケーションを当該企業のSalesforceアカウントに接続させ、そこから企業データを大量に抜き取るというもの。抜き取られたデータはその後、恐喝グループShinyHuntersによる恐喝の試みに使用されたとみられている。

一方で2025年8月8日〜18日の間に行われたと考えられているUNC6395のキャンペーンは、Salesloft Driftから盗み出されたOAuthトークンおよびリフレッシュトークンを使って企業のSalesforceインスタンスを侵害し、カスタマーサポートケースの情報を窃取するというもの。収集されたデータはその後分析され、ここからAWSキーやパスワード、Snowflakeトークンを含むシークレット、認証情報、認証トークンなどの情報が抽出されたという。なおその後の調査で、2025年3月に攻撃者がSalesloftのGitHubリポジトリを侵害しており、これがDriftからのOAuthトークン窃取を可能にしていたことが発覚している。

FBIのアラートにはUNC6040およびUNC639への言及しかないものの、BleepingComputerによれば、いずれのキャンペーンにもShinyHuntersおよびScattered Lapsus$ Huntersが関与しているとのこと。

【開催決定！】日本最大級サイバー（脅威）インテリジェンスイベント

サイバーインテリジェンスイベント「Cyber Intelligence Summit 2025」を11月に開催します！

サイバー脅威インテリジェンスとセキュリティ戦略についての国際セキュリティカンファレンス「Cyber Intelligence Summit 2025」を2025年11月5日〜7日、ベルサール虎ノ門にて開催します。

3大メガバンクスペシャル対談に加え、JC3、公安調査庁、楽天、リクルート、パナソニックなどからスペシャリストが登壇！海外からもアナリストや専門家が多数登壇予定です！

開催概要

名 称：Cyber Intelligence Summit 2025

日 程：2025年11月5日（水）、6日（木）、7日（金）

会 場：ベルサール虎ノ門（オンライン配信無し）

主 催：株式会社マキナレコード

料 金：フルパス ¥10,000｜展示パス 無料

翻 訳：英日同時通訳付き

登 録：特設サイトより事前登録

Day,01&02　一般企業中心（官公庁の方も歓迎）

民間企業においてサイバー脅威インテリジェンスに携わる部門のご担当者（情報セキュリティ部門、リスク管理、経営企画、IT・CISO室など）、またはその関連分野に関心をお持ちの方。官公庁・自治体のサイバー対策・情報分析部門にご所属の方もご参加いただけます。

Day,03　官公庁限定（主に法執行機関）

国内の官公庁、自治体、法執行機関（警察庁・都道府県警察、防衛省関連機関等）において、サイバー対策、情報保全、脅威インテリジェンス業務に携わる職員の方。

※Day3は官公庁、自治体、法執行機関所属の方に限りご参加いただけます。

※個人名義や企業所属でのご登録はできません。