ShinyHunters Hackers Abuse Salesforce OAuth to Bypass MFA and Exfiltrate CRM Data
2026/07/14 gbhackers — ShinyHunters と TTP が重複する、大規模なキャンペーンが検出された。この攻撃者は、信頼されている Salesforce OAuth 関係を悪用し、従来型の MFA 保護をバイパスし、永続化を確立した後に、CRM データを大規模に外部へ持ち出していた。このアクティビティは、2025年半ばから2026年半ばにかけて観測され、小売／教育／製造業の組織に影響を及ぼした。
これらのキャンペーンは、Salesforce に内在する脆弱性を悪用したものではないと、Microsoft は強調している。その代わりに、悪意のオペレーターは正規の OAuth ワークフローを操作し、信頼された SaaS 統合を侵害し、過度に許可されたゲスト・アクセス・コンフィグを悪用した。
最も目立つ侵入経路は、音声フィッシング (vishing) だった。IT サポート担当者を装う攻撃者は、自身が制御する接続済みアプリケーションを Salesforce で認可するよう、従業員を説得した。
確認されたケースにおいて、この悪意のアプリケーションは、正規の Salesforce Data Loader ユーティリティとして提示されていた。ユーザーが OAuth 同意リクエストを承認すると、そのアプリケーションは当該ユーザーの権限を継承し、その後の認証を必要とすることなく、Salesforce API 呼び出しを発行していた。
これにより、MFA は実質的に無効化され、意味のある障壁として機能しなくなった。つまり、悪意のアクティビティは、盗まれたパスワードや異常なログインを介することなく、認可済みの有効な OAuth セッションを通じて実行されていた。
Microsoft によると、このアクセスを得た攻撃者は、Salesforce 環境の列挙／CRM データのクエリ／永続的アクセスの維持などに加えて、他の SaaS サービスへの移動を促進し得る認証情報の発見が可能になった。
2025年半ばから2026年半ばにかけて観測された一連のキャンペーンにおいて、Microsoft が特定したのは、ShinyHunters と関連付けられる TTP と重複する脅威アクターのアクティビティであり、その中には音声フィッシング (vishing) が含まれる。
悪意の呼び出しが、承認済みアプリケーションから発生し、正規ユーザー権限で動作していたことで、不審なサインインに焦点を当てた検知は回避された。
Salesforce OAuth が悪用される
脅威アクターは、Salesforce に接続されたベンダーおよび統合も標的にした。2025年8月には、Salesloft Drift に関連する侵害された認証情報により、下流の SaaS アプリケーションで使用される接続シークレットが露出したと報告されている。それにより、攻撃者は複数の顧客 Salesforce テナントにまたがって OAuth トークンを使用できるようになった。
その後の 2025年11月のキャンペーンでは、Salesforce と統合された Gainsight 公開アプリケーションが影響を受けた。Gainsight のアドバイザリによると、攻撃者は信頼された外部接続を悪用し、ユーザー環境全体で API アクセスを維持した。
さらに Microsoft は、同様の手法を 2026年6月の Klue インシデントにも関連付けた。このインシデントでは、Salesforce 顧客インスタンスへのアクセスで使用される認証情報に、Storm-3138 がアクセスした。Klue によると、それらの認証情報を悪用する脅威アクターが、顧客データを発見／クエリした後に、抽出に成功していた。
いずれのケースにおいても、正規の統合トークンの使用により、探索から抽出に至るアクティビティは、通常のアプリケーション挙動に似たものになっていた。
一連の侵害における攻撃者は、アカウント／連絡先／サービスケース・レコードへアクセスできたが、アカウント侵害に関連付けられる一般的なログイン異常は生成されなかった。
Microsoft が観測したものには、Salesforce Aura エンドポイントに対する不審なアクティビティもある。この攻撃者は、ミスコンフィグされた Experience Cloud のゲスト・ユーザー権限を悪用し、GraphQL アクセスに基づく Aura リクエストを送信して、露出したデータを列挙／取得していた。
このアクティビティも、ソフトウェアの欠陥に依存していなかった。その代わりに悪用されたのは、必要以上に付与されたゲスト・アクセスの権限である。そこに Aura リクエストを連鎖させた攻撃者は、通常のレコード取得制約をバイパスし、ゲスト・ユーザーに許されたアクセス範囲を大きく逸脱する情報を抽出できた。
Salesforce 管理者にとって必要なことは、Experience Cloud のゲスト・ユーザー・セキュリティ・ガイダンスを確認し、不要なオブジェクト／フィールド／レコード権限を削除することだ。
Microsoft は、Salesforce Shield Event Monitoring を通じて、ほぼリアルタイムの Salesforce テレメトリをサポートするよう、Defender for Cloud Apps Salesforce コネクタを拡張した。
この強化された統合により、接続済みアプリの帰属／OAuth スコープの可視性／API コンテキストに加えて、特権アプリケーションまたは非アクティブ・アプリケーションに対するリスク・ベースのインサイトが提供される。
ユーザー組織にとって必要なことは、すべての接続済みアプリケーションおよび外部クライアント・アプリケーションに関するインベントリである。OAuth スコープを検証し、未使用の統合を取り消し、広範な管理権限またはデータアクセス権限を保持するアプリケーションを調査すべきである。
また、Salesforce イベントログを監視し、大量の API クエリ／異常なエクスポート・パターン／新たに認可された接続済みアプリ／NHI (Non-Human Identity) からの予期しないアクティビティを確認すべきである。
これらのキャンペーンが示すのは、信頼された認可を悪用する攻撃は、MFA だけでは阻止できないことである。SaaS 環境では、OAuth 同意／サードパーティ統合／ゲスト権限を、運用上の利便性のためのものではなく、重要なアイデンティティ・セキュリティ制御として扱う必要がある。
侵害指標 (IOC)
| Indicator | Type | Description |
| 138.226.246.94 | IP address | Used by the Klue integration to call Salesforce API to perform CRM queries on June 11. Previously disclosed by Klue in their notification about the breach. |
| 212.86.125.24 | IP address | |
| 213.111.148.90 | IP address | |
| 94.154.32.160 | IP address | |
| 103.75.11.78 | IP address | Used to target the Aura framework with guest access from June 19 to 22. These IP addresses were not previously published and were discovered by Microsoft as part of a novel campaign. |
| 103.75.11.110 | IP address |
注記：IP アドレスおよびドメインは、意図しない名前解決またはハイパーリンク化を防止するため、意図的に無害化されている。再有効化は、MISP／VirusTotal／SIEM などの管理された脅威インテリジェンス・プラットフォーム内でのみ実施すべきである。
訳者後書：Salesforce などのクラウド・サービスで、音声によるなりすまし行為などにより、不正な外部連携アプリが追加されてしまう問題が発生しています。今回のインシデントは製品自体の欠陥ではなく、信頼された接続設定の仕組みを悪用されたことが原因です。この影響により、通常の多要素認証 (MFA) が機能せず、大切な顧客データが大量に持ち出されてしまう可能性があります。有効な対応策として、現在連携している外部アプリの一覧を定期的に確認し、不要なアクセス権限を削除することが重要です。また、ゲスト・ユーザーの権限を最小限に制限し、不審なデータ取得の動きがないかログを監視することも安全な運用に繋がります。よろしければ、Salesforce での検索結果も、ご参照ください。
IoT OT Security News 
You must be logged in to post a comment.