Google、Salesforceへの不正アクセスでGoogle広告の見込み客情報が漏洩|セキュリティニュース-セキュリティ対策 Lab

投稿日時: 2025年08月12日更新日時: 2025年08月12日

Googleは2025年8月9日、同社のSalesforce CRMインスタンスの1つが不正アクセスを受け、Google広告の見込み客情報が流出したことを認めました。

流出したのは企業名、電話番号、営業担当者用のメモなどの基本的なビジネス連絡先情報で、決済情報やGoogle Adsアカウント、Merchant Center、Google Analyticsなど他の広告製品データへの影響はないとしています。

攻撃の概要と規模

通知文によると、影響を受けたのはGoogleの営業チームが広告見込み客と連絡を取るために使用していたSalesforceインスタンス。

Googleは具体的な件数を明らかにしていませんが、

脅威グループShinyHuntersは約255万件のレコードを窃取したと主張しています（重複の有無は不明）。

この侵害は、ShinyHuntersと初期侵入を担ったとされるScattered Spiderによる一連のSalesforce顧客への攻撃の一環で、両者は現在「Sp1d3rHunters」として活動を名乗っています。

Google Threat Intelligence Group（GTIG）の調査によると、攻撃者は電話やメールを使ったソーシャルエンジニアリング（ボイスフィッシング／ビッシング）で従業員をだまし、Salesforceの悪意あるOAuth版「Data Loader」アプリをターゲット環境に接続させます。

これによりSalesforce環境全体のデータを一括ダウンロードできる権限を取得し、その後窃取データを基に身代金要求メールを送付します。

GTIGは、攻撃者が従来のSalesforce Data LoaderではなくPythonスクリプトを用いたカスタムツールに移行していることも確認。

これによりデータ窃取の高速化・自動化が可能になっています。