FBI、SalesforceやSalesloft Driftへの不正アクセスを警告|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2025年09月16日更新日時: 2025年09月29日

FBIは2025年9月12日、FLASH-20250912-001（配布区分：TLP:CLEAR）を公開し、サイバー犯罪グループUNC6040およびUNC6395によるSalesforceプラットフォームを狙ったデータ窃取・恐喝型攻撃の実態とセキュリティ対策を共有しました。

1 概要
2 UNC6040-ビッシング(ボイスフィッシング)でMFAを相殺する
3 UNC6395-Salesloft Driftの連携を悪用
4 推奨対策

概要

FBIはTLP:CLEARのFLASHで、Salesforce連携を悪用した二系統の攻撃（UNC6040の電話による承認誘導＋Connected App/OAuth、UNC6395の流出OAuthトークン経由のAPI大量窃取）を警告しました。どちらもMFAを“横から”迂回し、正規トークンで静かにデータを抜くのが特徴です。

UNC6040-ビッシング(ボイスフィッシング)でMFAを相殺する

UNC6040は、コールセンターやITサポート窓口を起点にしたビッシング（ボイスフィッシング）で、侵入します

攻撃者はIT担当者を装って電話をかけ、「チケットXXXXのクローズ作業で設定確認が必要です」などとシナリオを読み上げ、担当者をSalesforce の Connected App 設定画面へと誘導します。

通話の中で「このアプリは安全」「業務委託先での標準手順」などの文言で心理的抵抗を和らげながら、攻撃者が用意したアプリへのアクセス許可（OAuth）を承認させます。

ここで承認されたアプリは長期有効なトークンを得て、MFA の壁を脇から迂回し、API でオブジェクト横断のデータ引き出しが可能になります。

犯人側の工夫は細かいところに及びます。たとえば、正規ツール名に似せたData Loader 風の名称や、

Trial ライセンスで作られた一時アプリを使って発見を遅らせること。承認直後は目立つ操作をせず、数日から数か月後にまとめてAPI で吸い上げます。

さらには、ShinyHunters等の名義で恐喝メールを送り付け、暗号資産での支払いを迫ります。

UNC6395-Salesloft Driftの連携を悪用

UNC6395は第三者SaaS の統合トークンを横取りして横展開する手口を利用します。FBI は、セールスエンゲージメント系の統合（例：Salesloft 経由の Drift 連携）でOAuth アクセストークン／リフレッシュトークンが流出した事案を取り上げ、そこから多数の組織の Salesforce インスタンスに自動的に接続し、CLI やスクリプト的User-AgentでAPI を叩いてデータを抜く挙動を指摘しています。

特徴的なのは、攻撃がブラウザログインに現れにくいこと。

確認できるのはAPI イベントの急増、Export/Report の連続実行、特定UAの偏りといった部分のみです。