正体不明のアクター、1年以上にわたりSalesforceとServiceNowを利用する企業の公開データを収集

正体不明のアクター、1年以上にわたりSalesforceとServiceNowを利用する企業の公開データを収集

The Register – Thu 13 Aug 2026

AIセキュリティ企業Recoの調査によると、詳細不明のアクターがSalesforceとServiceNowのポータルサイトで意図せず公開されていた世界中の企業データを1年以上にわたって収集している。

使用されているドメイン名から「City-Forum」と名付けられたこの作戦は、いつ始まったのかは不明であるものの、2025年3月からドメインが攻撃者のサーバーを指し示しているという。標的となった企業名は公表されていないが、Recoによると通信会社・金融機関・企業向けソフトウェアベンダー・サイバーセキュリティ企業・公共機関のポータルサイトが狙われており、現在も活動は継続中。観測されたすべての活動は認証なしで行われ、組織が権限や共有ルール、検索ソース、その他の設定選択を通じて公開している情報が収集されているが、これはSales ForceやServiceNowに存在する脆弱性に起因するものではないとされる。

Salesforceでは、UI APIのGraphQLレイヤーを介してLightning Web Runtime（LWR）サイトが標的にされている。これは今まで文書化されていない攻撃手法である模様。使用されたツールは、SalesforceのLWRサイト上で自己登録が有効であるかを確認する。有効である場合にはゲストユーザーであってもアカウントが認証済み外部ユーザーに昇格され、通常のゲストユーザーよりもはるかに多くの情報を見ることが可能になる。一方、ServiceNowでは、これまで注目されていなかったネイティブのService Portal検索エンドポイントにクエリが実行されていた。

この報告をめぐるThe Registerの取材に対し、ServiceNowは同社自身の環境が侵害されたという申し立てはないものの、調査を進めていると述べた。SalesforceはThe Registerの記事執筆時点ではコメント要請に反応していないとのこと。

ゲスト設定、ゲスト共有ルール、LWR UI APIの公開範囲、ServiceNowポータルの検索アクセス権限を今一度チェックすることをRecoは推奨している。