Scattered LAPSUS$ HuntersがSalesforceを恐喝、新リークサイトに顧客39社を掲載

佐々山 Tacos

2025.10.06

Scattered LAPSUS$ HuntersがSalesforceを恐喝、新リークサイトに顧客39社を掲載

HackRead – October 3, 2025

Scattered Lapsus$ Huntersと名乗るハッカーグループが、新たなリークサイトを立ち上げてSalesforceからおよそ10億件分のレコードを盗み出したと主張。被害企業とされる39社の社名を掲載し、身代金支払いの期限を2025年10月10日に設定しているという。

Scattered Lapsus$ Huntersは、Scattered SpiderとLapsu$、およびShinyHuntersの脅威グループ3組と繋がりを持つメンバーで構成されるハッカー連合で、9月11日にはリタイアを思わせる投稿を行っていた。しかしその活動は続けられている模様で、10月2日に同集団の新たなリークサイトが始動。このサイトには、世界最大規模のSaaS・CRMプロバイダーであるSalesforceのシステムが侵害され、9億8,900万件のレコードが盗み出された旨が記された。

Scattered LAPSUS$ Huntersによれば、攻撃が行われたのは2024年半ばごろ。攻撃では、ビッシング（ボイスフィッシング）によるソーシャルエンジニアリング攻撃で企業のIT担当者やヘルプデスクスタッフになりすまし、ターゲット従業員を騙して当該企業のSalesforce環境内で不正なサードパーティアプリを認可させる手法が用いられたとされる。これにより攻撃者はOAuthトークンを入手し、多要素認証をバイパスして大量のデータを盗み出すことができたという。盗まれたデータには、社会保障番号や運転免許証、生年月日など機微な個人情報が含まれるとされる。

リークサイトにはこの攻撃でデータを盗まれたとされる企業39社（日本企業3社含む）の社名が掲載されているが、Scattered LAPSUS$ Huntersの今回の恐喝相手はSalesforce社自体であるとみられ、10月10日の期限日までに身代金交渉に応じない場合、盗んだとされるすべてのデータを公開することになるとして同社を脅している。またリークサイトには、「我々（Salesforceと攻撃者）の間で解決できれば、（Salesforceの）顧客に対する個々の恐喝は取り下げられる。Salesforce, Incよ、君たちが支払えば、ほかのどの企業も支払わずに済むのだ」というメッセージも記載された。なお、同グループは2025年7月にSalesforceへメールで連絡したものの、有意義な反応は得られなかったとも述べている。

このほか、Scattered LAPSUS$ Huntersの新たな恐喝には以下のような特徴が見受けられる。

法律事務所の関与可能性を示唆：攻撃者は交渉において法律事務所の手を借りる可能性を示唆し、バーガー・モンタギュー（カナダの法律事務所）の名を挙げて同事務所にハッキングの証拠を共有することもあり得る旨を主張した。
裁判所および規制当局への文書提供を示唆：攻撃者は、Salesforceが度重なる侵入を阻止できなかったことは「刑事上の過失」であると述べ、米国やヨーロッパの裁判所および規制当局へ詳細な文書を提供予定であるなどと主張した。
GDPRなどプライバシー関連法違反も指摘：攻撃者はさらに、GDPR（欧州一般データ保護規則）、CCPA（カリフォルニア州消費者プライバシー法）、HIPAA（米国の医療保険の携行性と責任に関する法律）に定められる義務を引用し、Salesforceがデータ保護の義務を果たさなかったと主張。これを裏付けるためのフォレンジック風の文書も公開すると約束した。この文書には、攻撃のフィンガープリントや漏洩の影響を受ける個人の国別分類、漏洩した情報の種類といった情報が記載されているとされる。

Salesforceは10月3日にステータスページ上で「Security Advisory: Ongoing Response to Social Engineering Threats」と題したメッセージを公開。脅威アクターによる恐喝の試みを認識しているとした上で、現在外部の専門家や当局と連携して調査中である旨、これらの恐喝が過去のインシデント、または立証されていないインシデントに関連する試みである旨、また影響を受けた顧客にはサポートを提供する旨を述べている。加えて、Salesforceのプラットフォームが侵害された兆候はなく、同社テクノロジーの脆弱性に関連する活動でもないとも請け合った。その上で顧客に対しては引き続きフィッシングやソーシャルエンジニアリングの試みに警戒するよう促し、詳細なガイダンスについては3月12日公開のブログ記事「Protect Your Salesforce Environment from Social Engineering Threats」を参照するよう記している。