2025年9月2日、Cloudflare(クラウドフレア)は、Salesloftのチャットボット「Drift」統合を悪用した一連の攻撃の影響により、同社のSalesforce環境（顧客サポート・ケース管理）に攻撃者が不正アクセスし一部顧客情報が漏洩した事を発表しました。
不正アクセスの概要
Salesloft側の不正アクセスと情報漏洩で、DriftのSalesforce連携に紐づくOAuth資格情報が流出。攻撃者はこれを用いて各社のSalesforceからデータ抽出を実施。
Cloudflareが利用するSalesforceの「ケース」オブジェクトのテキストフィールド（件名・本文・連絡先など）をデータ持ち出し（エクスフィルトレーション）されたと公表しました。
添付ファイルは対象外で、Cloudflareの製品・サービス・基盤への侵入は確認されていません。
同社は流出データ中からCloudflare APIトークン104件を検出・全件ローテーションし、影響顧客には個別に通知済みです。ケース本文にログ・トークン・パスワード等を貼り付けていた場合は秘匿情報の漏えいを前提に即時ローテーションが推奨されます。
Cloudflareの脅威インテリジェンス（Cloudforce One）は攻撃者を「GRUB1」と識別しこれはBtoBのサードパーティ統合を狙うサプライチェーン型で、Salesloft顧客の“多数（数百社規模）”が影響したと分析しています。
本件と同様に、ZscalerやPalo Alto Networks(パロアルトネットワークス)も同様のサプライチェーン攻撃による情報漏洩の可能性を公表しています。
関連：SalesforceとSalesloft Drift 連携で拡がるサプライチェーン サイバー攻撃の解説
攻撃の全体像（Googleの技術分析）
Google Threat Intelligence Group（GTIG）は、本件をUNC6395による広範なデータ窃取キャンペーンと位置付けています。8月8日〜18日に、Driftに保存・接続されていたOAuth/リフレッシュトークンを悪用してSalesforceへAPI/ SOQLクエリを実行し、Account/Opportunity/User/Caseなどから大量のデータをエクスポート。
AWSアクセスキー（AKIA）やSnowflakeトークン、パスワード断片といった秘匿情報を検索していたことが示されています。8月28日の更新では、Drift Email連携のトークンも侵害され、一部構成でGoogle Workspaceメールへのアクセスが発生した可能性が示されました（Driftと連携設定済みの少数アカウントに限定）。Salesforce本体の脆弱性が原因ではない点も明記されています。
さらにGoogleは、Driftを使用しているすべての組織に対し、プラットフォームに保存されている、またはプラットフォームに接続されているすべての認証トークンを侵害されたものとして扱うよう強く求めています。
この警告では利用ユーザーへ、これらのアプリケーションの認証情報を失効させてローテーションし、接続されているすべてのシステムで不正アクセスの兆候がないか調査するよう推奨しています。
参照
The impact of the Salesloft Drift breach on Cloudflare and our customers
関連記事
カンタス航空、コールセンター経由のサイバー攻撃で最大600万人の個人情報に影響
岩見沢市立総合病院の委託職員がSNS投稿-患者20名の個人情報が表示
TAC、税理士試験関連で最大1,315人分の個人情報漏洩-ネット上で閲覧可能に
関西エアポートワシントンホテル、予約者情報の漏えいを公表-フィッシング誘導通知をきっかけに判明
Google、Gmailの不正アクセスとアカウント情報 流出のセキュリティ警告に関する報道は事実ではない
セイコーソリューションズのSkyBridge BASIC MB-A130にOSコマンドインジェクション 脆弱性(CVE-2025-54857)
freeeをかたる偽ログインページに注意
サイバー攻撃集団 ロックビット(LockBit)とは？
富士通で個人情報漏洩の恐れ マルウェア感染も
