Klue Battlecardsを起点としたサイバー攻撃がSalesforceへ波及|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年06月24日更新日時: 2026年06月24日

2026年6月17日、SalesforceはマーケットインテリジェンスSaaS「Klue Battlecards」のSalesforce連携インフラを停止しました。

第三者がKlueのバックエンドに侵入し、Klueの顧客各社がSalesforceとの接続に使用するOAuthトークンを窃取したうえ、Salesforce REST APIを経由した大規模なCRMデータ窃取が行われたためです。

SalesforceはKlueのアプリ連携に起因する問題であり、Salesforceプラットフォーム自体の脆弱性ではないとしています。

Huntress、Jamf、Recorded Future、Tanium、Gong、Insurityなど複数のセキュリティ・テック企業が被害を確認しており、新興恐喝グループ「Icarus」が同月16日から被害企業へ身代金要求のメールを送り付けています。

本件は2025年にSalesloft DriftおよびGainsight連携を起点として相次いだSalesforce顧客データ窃取事案と手口の骨格が一致しており、OAuthを通じたSaaSサプライチェーン攻撃の継続的な脅威を改めて浮き彫りにしています。

サマリー

2026年6月11日：Klueのバックエンドへの不正アクセス開始（開発中に作成し後に使わなくなったテスト用認証情報を悪用）
6月12日：Klueが異常なネットワーク接続を検知、OAuthトークンを一斉無効化、Salesforce・HubSpot・SharePoint・Zoom・Gong・Chorus・Clari・Google Drive・Slackとの連携を一時停止
6月13日：Klueが顧客に一般的な通知（影響企業名は未特定）
6月16日：Huntressをはじめとする被害企業のスタッフに身代金要求メールが届く（48時間以内の対応要求）
6月17日：Salesforceがセキュリティアラートを公開し、Klue連携インフラを停止
6月19日：Icarus公式リークサイトにKlueが記載される
窃取されたデータ：ビジネス連絡先、見積書、メールアドレス、営業メッセージ（CRM上の商業データ）
窃取されなかったデータ：パスワード、決済情報、テレメトリデータ、製品セキュリティに関わる情報
攻撃手法：Python-urlibスクリプトでSalesforce REST API（/services/data/v59.0/query/）をたたき15分間で約1,000クエリ、断続的に6時間以上にわたる大量エクスポート
攻撃者IP（オランダ・フランス・ウクライナ系ISP）：138.226.246[.]94 / 212.86.125[.]24 / 213.111.148[.]90 / 94.154.32[.]160
恐喝グループ：Icarus（2026年4月28日から活動。Klue以前に2組織を被害リストに記載）

1 何が起きたか
2 概要
3 原因
4 恐喝グループ「Icarus」の実態
5 Salesforce連携を標的とした過去の攻撃の一覧
6 情報システム部門が今すぐ確認すべき対応
7 FAQ

何が起きたか

2026年6月11日、Klueのバックエンドシステムで異常な動作が発生しました。

後の調査で判明した侵入経路は、かつてKlueが外部サービスとの連携プロトタイプを開発する際に作成し、その後使わなくなっていたにもかかわらず有効なまま放置されていたテスト用認証情報でした。

攻撃者はこのレガシー認証情報でKlueのバックエンドに侵入すると、Klueの顧客各社がSalesforceや他のSaaSツールとの連携に使用するOAuthトークンを収集するための悪意あるコード更新を配置しました。

Klueは翌6月12日に異常なネットワーク接続を検知し、攻撃者が使用していたIPアドレスからのアクセスを確認したうえで、顧客のOAuth認証情報を一斉無効化するとともにSalesforceを含む9つの主要サービスとの連携を一時停止しました。6月13日には顧客全体への一般的な通知を送付しましたが、この時点では誰が影響を受けたかは明示されませんでした。

6月16日、HuntressをはじめとするKlueの顧客企業のスタッフの受信トレイに、件名「top secret email」の見慣れないメールが届き始めます。メール本文は「あなたのデータはダウンロードされました。Klueに聞いてみてください。48時間以内に連絡しなければ情報を公開します」という趣旨の内容で、Sessionメッセンジャー経由での交渉を求めていました。このSessionメッセンジャーIDが新興恐喝グループ「Icarus」のダークウェブリークサイトに掲載されているIDと一致したことで、Icarusが本件の攻撃者として特定されました。Icarusは6月19日にリークサイトへKlueを被害者として正式記載しています。

6月17日、Salesforceはサービスステータスページに「Klueのアプリ接続経由でサブセットの顧客データへの不正アクセスが発生した可能性がある。Salesforceプラットフォーム自体の脆弱性ではなく、Klueのアプリ接続に起因する問題だ」とするアラートを公開し、Klueの連携インフラ全体を停止しました。

概要

Klue Battlecardsは、競合他社の情報・市場分析をSalesforceなどのCRMツールと連携して提供するマーケットインテリジェンスSaaSです。

Salesforce上でバトルカード（競合対応の営業資料）を自動更新したり、SalesforceのCRMデータと競合情報を組み合わせた分析を提供するために、各顧客のSalesforceインスタンスとOAuth接続を持っていました。

今回の攻撃でIcarusが使ったのは、このOAuth接続を使って窃取したトークンです。OAuthトークンは、ユーザーが都度ログインしなくてもアプリケーション間でデータを共有できるようにする仕組みです。一度トークンを入手した攻撃者は、MFAなど通常の認証手順を一切経ることなく、正規のアプリケーションと同様にSalesforceのRESTful APIをたたいてデータを取得できます。

Huntressの調査ではSalesforce REST APIのエンドポイント /services/data/v59.0/query/ への大量クエリが確認されており、User-AgentはPython-urllib/3.12またはPython-urllib/3.14といった自動スクリプト由来のものが大半を占めていました。

IcarusはPythonスクリプトでクエリを自動化し、15分以内に約1,000件のクエリを送信するバースト、一部の企業ネットワークでは6時間以上にわたる継続的なデータ取得を行っています。ReliaQuestの調査でも同様のパターンが確認されています。

SalesforceのCRM上にある商業データはそのまま恐喝の材料になります。今

回窃取された情報として確認されているのは、ビジネス名・トライアルや利用製品・サブスクリプション詳細（数量・価格）・業務連絡先情報（氏名・業務用メールアドレス・役職・電話番号・住所）・営業コミュニケーション・商談メモ（担当者が記録した自由記述フィールド）です。

パスワード・決済情報・製品テレメトリなど中核的な機密データは影響を受けていません。

原因

今回の侵入起点は、Klueがかつてある外部サービスとの連携プロトタイプを開発する際に作成し、その後その連携を断念してサービスを廃止したにもかかわらず有効のまま残されていたテスト用の認証情報でした。Huntressはこれを「その連携のために作られ、後に放棄された、有効のまま残っていた古い資格情報」と表現しています。

認証情報の管理という観点から見ると、これはきわめて典型的な見落としです。プロトタイプ開発や検証作業で作成したサービスアカウント・APIキー・テストユーザーアカウントは、本番の監査対象になりにくく、プロジェクト終了後も気づかれないまま残存するケースが実務上多くあります。今回はそのレガシー認証情報が使われ続けていたことが、Klueのバックエンド全体への侵入口になりました。

バックエンドへの侵入後にOAuthトークンを収集するコードを配置できた点も問題です。Klueのシステム上で本番の認証情報管理インフラに接触できるほどの権限がそのテスト用認証情報に付与されていたか、あるいは侵入後の横展開によってそこへのアクセスを獲得できたかのいずれかと考えられます。

OAuthトークンが窃取された後に攻撃者がMFAを回避できた構造的な問題は、OAuthトークンがそもそもMFAの対象外であることです。MFAはユーザーが認証する際の保護手段であり、一度発行されたトークンにはMFAは適用されません。発行済みトークンを物理的に入手した攻撃者は、誰もログインしていないまま正規のAPIとして動作できます。これが「OAuthトークン窃取 → API経由のサイレントなデータ大量取得」という手口が繰り返し使われる理由であり、MFAを導入していても防げない攻撃経路として情報システム部門が認識しておくべき盲点です。

恐喝グループ「Icarus」の実態

Icarusは2026年4月28日から活動しているとダークウェブリークサイト上で自称する新興の恐喝グループです。Klue以前に2つの組織を被害リストに記載しており、1件目は2026年5月上旬の侵害とみられています。

Icarusはlitstyle as “Session”メッセンジャーを連絡手段とし、恐喝メールをオーストラリアの小売業者「Global Retail Brands」傘下のサブシジアリー（home goods/appliances retail）のメールサーバーを侵害したインフラ経由で送信しました。

メールヘッダーには正規のSPFおよびDMARCの値が含まれており、フォージされた送信元ではなく実際にそのドメインのメールサーバーから送信されていました。IcarusはHuntressへの最初の恐喝メールを「mr bean」名義で送付し、38分後に「wrong session lol」と述べてSessionメッセンジャーIDを送り直すという、組織としての成熟度を疑わせる対応も見られています。

リークサイト上の被害者エントリにはgofile[.]ioへのリンクが設定されており、盗んだデータを外部の無料ストレージサービスに仮置きする手法を使っています。同グループは公式ニュースセクションで「get ready; big corps getting listed. be ready」（覚悟せよ、大企業をリストアップしていく）と宣言しており、Klueを皮切りにした大規模な標的型恐喝活動の継続を示唆しています。

Salesforce連携を標的とした過去の攻撃の一覧

今回のKlue/Icarus事案は、当サイトが2025年から継続して報じてきたSalesforceを狙ったサプライチェーン型攻撃と、手口の核心が完全に一致しています。

事案	侵入起点	OAuthトークンの窃取方法	被害規模	恐喝グループ
Salesloft Drift連携（2025年8月）	GitHubリポジトリへの侵害 → Driftに保存されたトークン	Drift経由のOAuth/リフレッシュトークン	700社超のSalesforceアカウントからデータ流出（Cloudflare・Palo Alto Networks・Zscalerなど）	UNC6395
Gainsight連携（2025年11月）	Salesloft Drift侵害に関連したトークンの連鎖悪用	Gainsight経由のOAuthトークン	200社超のSalesforceインスタンスに影響	ShinyHunters/UNC6395
Klue Battlecards連携（2026年6月）	放置されたレガシーテスト用認証情報	Klue経由のOAuthトークン	Huntress・Jamf・Recorded Future・Tanium・Gongなど複数社	Icarus

3件に共通するのは、Salesforce本体に脆弱性がなく、正規の連携アプリが保有するOAuthトークンを起点とするという攻撃の構造です。

攻撃者はMFAなど通常の認証制御を経ることなく、Salesforce REST APIを正規アプリと同様の形で呼び出してデータを一括エクスポートします。Salesforceは一貫して「自社プラットフォーム自体の脆弱性ではなく、連携先の第三者アプリの問題」と説明しており、この構造的な性格は変わっていません。

情報システム部門が今すぐ確認すべき対応

Klueを利用していた組織については、まずSalesforceおよびGong上のKlue関連のOAuthトークン・アクセス許可を失効・再発行してください。また、Huntressが公開したIoCに基づきSalesforceのAPIアクセスログを確認し、/services/data/v59.0/query/ へのアクセスのうちUser-AgentがPython-urllib/3.12・Python-urllib/3.14・5238、または空白になっているもの、および攻撃者IP（138.226.246[.]94 / 212.86.125[.]24 / 213.111.148[.]90 / 94.154.32[.]160）からのアクセスが記録されていないかを確認してください。

Salesforceを利用しているすべての組織への共通対策として、まず接続済みアプリ（Connected Apps）の棚卸しを実施することを推奨します。誰がどのアプリにどんな権限でOAuthアクセスを許可しているかを可視化し、使われていないまたは接続が廃止されたアプリへのアクセス権を削除してください。

次に、Salesforce APIのイベントモニタリング（Event Monitoring）またはSalesforceシールドの有効化を検討してください。不審なUser-Agent・異常なクエリ量・通常とは異なる時間帯のAPI呼び出しを検知する体制を整えることで、今回のような大量エクスポートを早期に検知できる可能性があります。

連携アプリを開発・管理しているチームについては、開発・テスト・検証の各フェーズで作成したサービスアカウント・APIキー・OAuth認証情報が、フェーズ終了後に確実に無効化・削除されているかを確認するプロセスを整備してください。今回のKlue事案の起点はその見落としです。既存の認証情報が必要最小限の権限のみ持ち、不要になったものが自動的に期限切れとなるライフサイクル管理の仕組みが根本的な再発防止策になります。

最後に、身代金要求メールがスパムフォルダに入っている可能性があります。現在Klueを利用している、または過去に利用していた組織は、受信トレイおよびスパムフォルダに「top secret email」という件名やIcarusのダークウェブサイトに関連する内容のメールが届いていないかを確認することを推奨します。

FAQ

Q. Salesforceのプラットフォーム自体に脆弱性はありますか？

A. Salesforceは「この問題はKlueのアプリ接続に起因するものであり、Salesforceプラットフォーム自体の脆弱性ではない」と明言しています。今回の攻撃は正規のOAuthトークンを使ってAPIを呼び出したものであり、Salesforceの認証システムを突破したわけではありません。

Q. Klueを使っていなければ関係ありませんか？

A. Klueを直接利用していなければ今回の侵害の直接的な影響は受けません。ただし、Salesloft Drift（2025年8月）やGainsight（2025年11月）など同一手口の攻撃が繰り返されていることから、SalesforceにOAuth連携しているすべてのサードパーティアプリを棚卸しし、不要な連携を削除しておくことが組織的な備えとして推奨されます。

Q. 今回盗まれたデータにはパスワードや決済情報は含まれますか？

A. 含まれていません。HuntressをはじめとするIcarusの被害確認企業は、盗まれたのはCRM上の商業データ（ビジネス連絡先・見積書・営業通信・商談メモ等）であり、パスワード・決済情報・製品テレメトリ・セキュリティに関わるデータには影響がなかったと確認しています。

Q. MFAを有効化していれば防げましたか？

A. 今回の攻撃の起点ではなく、MFAはOAuthトークン窃取後の攻撃には効果がありません。OAuthトークンはユーザーが認証した際に発行されるものであり、発行済みトークンを盗んだ攻撃者は再度の認証なしにAPIを呼び出せます。根本的な対策は、有効なOAuthトークン・認証情報のライフサイクル管理と、Salesforce側でのAPI利用の監視・異常検知です。

出典

当サイト関連記事