Salesforce・ServiceNowを標的にした新たなサイバー攻撃 キャンペーン「City-Forum」

セキュリティ企業Recoは、Salesforce（AuraおよびLWR）とServiceNowの双方を標的にした、新しい専用ツールセットを用いた攻撃キャンペーン「City-Forum」を追跡していることを明らかにしました。認証不要のゲストユーザーによるアクセスを悪用し、両プラットフォームに公開されたままになっているデータを、静かに列挙・持ち出すという手口です。ShinyHuntersが2026年3月に展開したSalesforce Auraを狙った攻撃と類似する部分がありますが、Recoは複数の技術的な相違点から、両者が同一の攻撃者かどうかを断定していません。

この記事のサマリー

• セキュリティ企業Recoは、Salesforce（AuraおよびLightning Web Runtime、LWR）とServiceNowの双方を標的にした攻撃キャンペーン「City-Forum」を確認しました。
• 主な標的は、通信事業者、銀行・金融サービス企業、（セキュリティ・データプライバシー企業を含む）エンタープライズソフトウェアベンダー、公共機関のポータルサイトとみられています。
• 攻撃の主要な侵入経路は「ゲストユーザー」です。Salesforce Experience Cloud・ServiceNowともに、認証不要のリクエストが機能するゲストユーザーの仕組みが存在し、これを削除することはできません。ゲストユーザーが読み取れる情報は、インターネット上の誰もが読み取れる状態にあることを意味します。
• 攻撃者は1つのGoバイナリで、SalesforceのAura・LWRの双方と、ServiceNowを同一のインフラから攻撃しており、既製のツール（AuraInspector等）ではなく、専用に開発されたマルチプラットフォーム対応のツールセットだとみられています。
• ServiceNow側では、ほとんどオンライン上に文書化されていない、ネイティブのService Portal検索エンドポイントが悪用されています。
• 攻撃には2025年3月から一貫して同一のIPアドレス（158.220.87.79、ドメインcity-forum.com）が使われており、17カ月以上にわたりローテーションなしで稼働し続けています。
• Recoは、2026年3月に公表されたShinyHuntersによるSalesforce Aura攻撃キャンペーンとの類似性を指摘しつつも、City-Forumはより新しい専用マルチプラットフォームツールを使い、ServiceNowも標的にしている点で異なるとし、「これが誰であるかは分からず、誰かを排除も特定もしていない」としています。

整理表

何が起きたか

Recoによると、City-Forumは、SalesforceのAuraと、より新しいLWR（Lightning Web Runtime）実装の双方を標的にした、実環境で初めて観測されたSalesforce UI-APIのゲストサーフェス悪用事例です。Auraを狙った攻撃（Salesforceのユーザーの多くが依然としてAuraを利用しているため、Salesforceを狙うキャンペーンには通常含まれます）は、LWRへの攻撃と単一のツールセットに統合されています。Recoの研究者は「1つのGoバイナリが、Salesforceに対してAura・LWRの両方を、そして同じマシンからServiceNowも攻撃していた」と説明しており、これは既製のツール（AuraInspectorなど）ではなく、専用に開発されたツールセットであることと整合すると指摘しています。

両プラットフォームにおける主要な侵入経路は「ゲストユーザー」です。すべてのSalesforce Experience Cloudには、認証不要のリクエストが機能する固有のゲストユーザーが存在します。ServiceNowも同様の仕組みを持っています。Recoは「こうしたゲストユーザーを削除することはできず、ログインを必須にしたとしても、ゲストユーザー自体は削除されない。プロファイル、権限、共有ルール、そのコンテキストで動作するコードはすべて存在し続ける。ゲストユーザーがレコードを読み取れるなら、インターネット上の誰もがそれを読み取れる」と説明しています。

ShinyHuntersのAura攻撃との異同

今回の攻撃の技術的な革新性を理解するうえで参考になるのが、2026年3月に公表された、ShinyHuntersによるSalesforce Auraを狙った攻撃キャンペーンとの比較です。当サイトでもこれまで、ShinyHunters（Scattered Lapsus$ Huntersとも呼ばれる）によるSalesforceを狙った一連の攻撃を継続的に取り上げてきました。同グループは、Salesforce Experience Cloud（旧Aura）の設定ミスを突く独自ツール「RapeForce」を使い、設定不備のある組織を自動スキャンして侵害する手口で知られており、コンビニエンスストア大手7-Elevenのフランチャイズ関連情報が、まさに「/s/sfsites/aura」APIエンドポイントにおけるゲストユーザーのクエリ権限の設定不備を突かれて流出した事例については、2026年5月 最新サイバー攻撃の被害事例まとめで報じています。同様に、UdemyのSalesforceデータ流出についてもハッカーグループがUdemyへのサイバー攻撃を主張、Salesforceへ不正アクセスかで解説しています。

ShinyHuntersのキャンペーンは、SalesforceのAuraのみを標的とし、ServiceNowへの標的化は確認されておらず、既存のAuraInspectorを改変したツールを使用していたとされます。これに対しCity-Forumは、新しい専用のマルチプラットフォームツールを使い、LWRも標的にしているほか、オンライン上でほとんど文書化されていない、ネイティブのServiceNow Service Portal検索エンドポイントも突いています。

Recoは、City-FormがShinyHuntersによるものである可能性を排除しないとしたうえで、「これが誰であるかは分からず、誰かを排除も特定もしていない」と慎重な立場を示しています。

単一の変わらないインフラという特徴

City-Forumの攻撃には、一貫して単一のマシンが使われています。Recoによると「同じIPアドレスが2025年3月から同じドメインを使い続けており、今日に至るまでスキャンを継続している。少なくとも17カ月間、一度もローテーションすることなく、同一のアドレスを使い続けている」とされています。このIPアドレス（158.220.87.79）は、city-forum.comというドメインに解決されます。

単一のマシンを使い続けることの主な利点は、異常検知システムに対する攻撃者の footprint を減らせる点にあります。既知の情報であればブロックしやすい一方、目立った変化がないため、ステルス性の高い攻撃としては検知されにくいという側面もあります。

データ持ち出しの実態

Salesforceについては、ゲストユーザーとしてのアクセスが主要な手段ですが、自己登録（セルフレジストレーション）が有効になっている場合、ゲストユーザーから認証済みユーザーへの昇格が可能になる場合があります。ServiceNowには同様の仕組みはありません。Recoは「これまでのところ、確認されているのはゲストユーザーとしての活動のみで、認証済みユーザーとしての活動は一度も確認されていないが、可能性を排除することはできない」としています。

Auraからは、収集・持ち出されたSalesforceデータの大部分が引き出されており、Recoによれば「最も活発だった標的では、キャンペーン期間中に56万件を超えるイベントが記録され、そのほぼすべてがゲストによるAuraの列挙だった」とされています。SalesforceのLWRサイトからは、GraphQL経由でもデータが引き出されています。

ServiceNowへの攻撃では、事実上未文書化の検索エンドポイントが標的にされ、有意なコンテンツを検出するために利用されています。持ち出しの通信量自体は多いものの、プロトコル上は正規の通信として扱われるため、検知が難しいという特徴があります。ShinyHuntersの事例と同様に、今回もSalesforceやServiceNowのプラットフォーム自体が侵害されたことを示す痕跡はなく、「攻撃者が取得したすべてのバイトは、サイトの管理者自身が匿名ユーザーに対して公開していたものだった」とRecoは説明しています。

情報システム部門が確認すべき対策ポイント

• 自社がSalesforce Experience Cloud（Aura・LWR）を利用している場合、ゲストユーザーのプロファイル・権限・共有ルールを点検し、意図しないオブジェクト・フィールドへのアクセスが許可されていないか確認してください。
• 可能な限り早急に、自己登録（セルフレジストレーション）機能が有効になっていないか確認し、不要であれば無効化してください。これにより、認証不要のゲストユーザーが認証済みユーザーへ昇格することを防げます。
• ServiceNowを利用している場合も、Service Portalの検索機能を含め、認証不要でアクセス可能な範囲に機密情報が含まれていないか確認してください。
• 通信事業者、銀行・金融サービス、エンタープライズソフトウェアベンダー、公共機関のポータルサイトを運営している場合は、特に優先的にゲストアクセスの設定を点検することをおすすめします。
• 今回判明したインフラ（158.220.87.79、city-forum.com）への通信を、自社のネットワーク監視・遮断ルールに反映することを検討してください。Recoのブログには、より詳細なIOCと修復手順が掲載されています。
• 高ボリュームだがプロトコル上は正規に見える通信パターンについても検知できるよう、SaaSアプリケーションのログ監視体制を見直してください。

今後注目すべき点

本記事執筆時点で、City-Forumの攻撃者の身元は特定されていません。今後は以下の点が焦点になると考えられます。

• City-Forumの攻撃者の身元特定、ShinyHuntersとの関連性についてのさらなる調査
• 実際に被害を受けた組織の具体的な公表事例の有無
• 同様のゲストユーザー悪用手口が、他のSaaSプラットフォームにも広がるかどうか

出典

Stealthy ‘City-Forum’ Attacks Target Salesforce and ServiceNow With Custom Toolset——SecurityWeek

City-Forum: A Stealthy New Campaign Targeting Salesforce and ServiceNow——Reco

2026年5月 最新サイバー攻撃の被害事例まとめ——セキュリティ対策Lab

ハッカーグループがUdemyへのサイバー攻撃を主張、Salesforceへ不正アクセスか——セキュリティ対策Lab

関連記事

Google、Chromeの脆弱性を修正-V8 ゼロデイ 脆弱性 「CVE-2026-11645」が実際にサイバー攻撃に悪用中 SonicWall SMA1000にゼロデイ 脆弱性、既にサイバー攻撃へ悪用(CVE-2026-15409, CVE-2026-15410) Linux カーネルの act_pedit モジュールに脆弱性(CVE-2026-46331)-RHEL・Debian・Ubuntu 全バージョンに影響 東京医療保健大学、委託先のメディカ出版へのランサムウェア攻撃により個人情報漏洩の恐れ 日本紙パルプ商事、Paper & Greenを一時閉鎖-不審サイトへの誘導を確認 ニデック グループ会社のランサムウェア被害について第報三報 取引先など約30万件の個人情報が漏洩 三菱UFJ銀行が2026年7月18日よりPPAPを原則 廃止-マルウェアチェックができない 致命的欠陥にCISA・NISTも警告 WordPressプラグイン「Gravity SMTP」の脆弱性がサイバー攻撃に悪用中(CVE-2026-4020) 1件のMDRアラートが1,048ファイルの生成AI活用マルウェア製造ラボを暴露-Rapid7がWebDAV配信基盤の全容を公開

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)