2025年8月1日、ネットワーク機器大手のシスコシステムズ（以下、Cisco）は、同社の第三者クラウドベースの顧客管理（CRM）システムの一部から、ユーザー情報が不正に持ち出されたインシデントを公表しました。事案の発端は、同社社員がボイスフィッシング（vishing）と呼ばれる手口によって標的とされ、結果的に攻撃者がCRMシステムに一時的にアクセスし、データをエクスポートしたことにあります。
被害の内容と影響範囲
不正アクセスが行われたのは、Ciscoが利用するCRMシステムのうちの一つのインスタンスで、影響を受けたのはCisco.comに登録していたユーザーの基本プロフィール情報とされています。流出した情報には以下の項目が含まれます。
-
氏名
-
組織名
-
住所
-
Ciscoが割り当てたユーザーID
-
メールアドレス
-
電話番号
-
アカウント作成日などのメタデータ
Ciscoは、組織顧客の機密情報、パスワード、財務情報などのセンシティブな情報は流出しておらず、同社の製品やサービスへの影響もないと明言しています。また、他のCRMシステムインスタンスは影響を受けていないとのことです。
インシデントの経緯と対応
Ciscoがインシデントを認知したのは2025年7月24日。即座に攻撃者のアクセスは遮断され、同社による調査が開始されました。
現在までに、対象となった個人には法令に基づいて通知が行われており、各国のデータ保護当局とも連携して対応を進めています。
再発防止策として、Ciscoは以下の取り組みを表明しています。
-
音声フィッシングを含むソーシャルエンジニアリング攻撃に対する従業員教育の強化
-
セキュリティ対策のさらなる強化と見直し
同社は今回のインシデントを「教訓」として位置付け、セキュリティ体制の強化とセキュリティコミュニティへの貢献を継続するとしています。
背景：Salesforceを狙った一連の攻撃か？
今回のCRMはCiscoが利用するサードパーティのクラウド型CRMで、公式には製品名は明らかにされていないものの、情報筋によればSalesforceである可能性が高いと見られています。最近、Salesforce環境を狙ったvishingやソーシャルエンジニアリングによる攻撃が相次いでおり、
ShinyHuntersと呼ばれる脅威グループの関与が指摘されています。
実際に、同様の手口でAdidas、Qantas、Allianz Life、Louis Vuitton、Dior、Tiffany & Co.、Chanelといった複数のグローバルブランドが被害を受けており、CRMデータのセキュリティに対する関心が高まっています。
なお、Ciscoは2024年10月にも、開発者向けポータル「DevHub」が誤設定により公開状態になり、IntelBrokerと名乗る人物により一部非公開データが漏洩する事件を経験しています。
関連記事
ハーバード大学、ボイスフィッシング(ビッシング)で個人情報漏洩の恐れ
メルセデス・ベンツ日本、システムの設定不備で約1.5万名分の個人情報が一時外部から閲覧になるインシデント
日本共創プラットフォーム、サイバー攻撃の調査結果を公表-情報流出の痕跡なしも、再発防止策を強化へ
Salesforce(セールスフォース)へサイバー攻撃-ハッカーによる不正アクセスで情報漏洩か-シスコ/トヨタ/富士フイルム/Googleに影響か
西日本鉄道、エコ企業定期券Webサイトへの不正アクセスで約3,000件の顧客情報漏洩の可能性
AGCポリマー建材、業務委託先の不正アクセスにより顧客情報が漏洩の可能性
長野県立こども病院、看護師が電子カルテの画像を無許可で共有-停職1か月の処分
WelcomeHRを提供するワークスタイルテックが個人情報漏洩に関しての再発防止策を発表
Fortinetが440GBのデータを窃取される 脅威アクターがサードパーティー経由でハッキングか
