Workiva、Salesloft Driftへのサプライチェーン攻撃で情報漏洩|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2025年09月05日更新日時: 2025年09月29日

SaaS大手のWorkivaは、外部CRM（Salesforce）に対する第三者アプリ連携の不正利用により、顧客の連絡先情報やサポートチケット本文の一部が流出したと顧客に通知しました

情報漏洩の概要

Salesloft側の不正アクセスと情報漏洩で、DriftのSalesforce連携に紐づくOAuth資格情報が流出。攻撃者はこれを用いて各社のSalesforceからデータ抽出を実施。

この一連のサプライチェーン攻撃でWorkivaの、Salesforceに保存していた顧客の連絡先情報やサポートチケット本文の一部が流出したと顧客に通知しました。Workivaの基幹プラットフォーム自体への侵入は確認されておらず、影響はCRM側に限定されています。

流出情報は氏名・メール・電話番号・サポート本文で、フィッシング等の二次被害に警戒するよう呼びかけています。

問題の背景

今回のWorkiva件は、Salesloftが買収したDriftのSalesforce連携（およびDrift Email連携）で発行・保持されていたOAuthトークンが窃取され、各社のSalesforceテナントにAPI経由でアクセスされた一連のサプライチェーン型インシデントの一部です。攻撃者はSOQLでケース（Case）オブジェクトを広範に照会し、Bulk API 2.0で本文テキストを一括抽出、ジョブ削除で痕跡を薄めるなどの手口が観測されています。Google Threat Intelligence Group（GTIG）はこの活動をUNC6395として公表し、Drift Emailのトークン悪用により一部のGoogle Workspaceアカウントにも限定的アクセスがあったとしています。

同様の被害公表例（主要ベンダ）

Cloudflare：SalesforceのCase本文テキストが抽出され、社内スキャンでCloudflare APIトークン104件を発見・全件ローテーション。添付ファイルは対象外、自社インフラ侵害は無しと説明。攻撃者の時系列（8/9偵察→8/12侵入→8/17一括抽出）やBulk APIジョブ削除まで詳細を開示しました。
Zscaler：Drift資格情報の悪用でSalesforce情報に限定的アクセス。Salesforce連携の遮断、トークンの予防回転、顧客認証手順の強化などを実施。
Palo Alto Networks：Unit 42がCase/Account/Contact/Opportunity等の広範オブジェクト抽出、証跡隠しのクエリ削除を観測。資格情報探索（“password”“secret”“AKIA”など）が行われたと警鐘。製品や基盤への影響は無し。
Google：Salesforce連携に加えDrift Email連携のOAuthも侵害されていたと更新。ごく少数のWorkspaceアカウントでアクセス兆候があり、該当トークンを失効・連携を無効化。