Salesforce を巡る集団訴訟が北カリフォルニアで相次いでいます。発端は 2025 年夏に表面化した「Salesloft（Drift）」の侵害で、第三者に盗まれた OAuth トークンが Salesforce 各社テナントへの API 取得に悪用された一連の事件です。The Register は、過去数週間で少なくとも十数件の訴状が同地裁に提出され、原告側は「個人情報（PII）が不正利用され、本人確認詐欺の被害リスクが高まった」と主張していると伝えています。Salesforce は「自社プラットフォーム自体の侵害ではない」との立場を崩していません。
何が起きたのか
2025年5 月〜夏にかけて、Salesloft 傘下の Drift で管理・連携されていた OAuth トークンが盗まれ、攻撃者は正規アプリとして Salesforce API／SOQL を実行し、Account／Opportunity／User／Case などの大量レコードをエクスポートしました。
Google Threat Intelligence Group はこの活動を UNC6395 として追跡し、Drift Email 連携トークン経由で Google Workspace に一部アクセスが及んだ構成も確認しています。
このサイバー攻撃でクラウドフレアやZscaler(ゼットスケーラー)、Palo Alto Networks(パロアルトネットワークス)なども一部顧客情報の漏洩の可能性を発表しました。
なおこのインシデントは「Salesforce 本体の脆弱性ではなく、第三者連携に付与した正規権限の横取り」であることです。
訴訟の中身
北カリフォルニア地裁に提出された代表的な訴状の一つが Staci Johnson v. Salesforce, Inc. です。原告は集団訴訟として提起し、陪審審理を求めています。
訴状は、2025 年 7 月頃に開示されたデータ侵害に関連し、氏名・SSN・請求先住所・電話番号・メールアドレス・生年月日などの PII を Salesforce が適切に守れなかったと主張しています。
原告側は、被害者が監視・凍結・連絡先の変更などに時間や費用を要し、実損や将来の不正利用リスクに晒されたと述べ、損害賠償に加えて「セキュリティ改善の差止（年次監査・長期の与信監視の提供など）」を求めています。
請求原因（Causes of Action）としては、過失（Negligence）を柱に、FTC Act に準拠した「合理的安全管理の不備」、黙示契約違反、CCPA／CCRA、カリフォルニア州憲法上のプライバシー権侵害などが並びます。
また、原告は信用情報機関 TransUnion からの通知書（8/26 付）を証拠に挙げ、「第三者アプリに保存されていた個人データへの不正アクセスがあった」と指摘。通知で示す“第三者アプリ”は Salesforce であると受け止めています（原告の主張）。
Salesforce の姿勢
Salesforce は一貫して「自社の Trust サイトで顧客が取るべき防御手順を案内しており、侵害は当社システムの欠陥によるものではない」と説明しています。
事実関係としても、初動の侵入口は Drift 側（Salesloft）の GitHub 侵害 → Drift に保存された OAuth／連携トークンの窃取 → その権限で Salesforce データを取得、というサプライチェーン型サイバー攻撃でした。
The Register も、訴状群の多くが Salesforce とともに TransUnion、Allianz Life、Farmers、Workday、Pandora など連携先を共同被告として言及している点を挙げています
※各社のシステム基盤が直接破られたわけではないとする広報も併記）
一部参照
Salesforce facing multiple lawsuits after Salesloft breach
関連記事
日本紙パルプ商事、Paper & Greenを一時閉鎖-不審サイトへの誘導を確認
英、ルノーとダチア、サイバー攻撃で情報漏洩
キリンビール、お歳暮ギフト全商品を休売へ-アサヒへのサイバー攻撃によるシステム障害の余波
韓国の国立データセンターが火災で8年分 858テラバイトのデータが消失
中央大学、教員用メールサーバへの不正アクセスで送信者情報が流出の恐れ-標的型メールに注意
Linux カーネルの act_pedit モジュールに脆弱性(CVE-2026-46331)-RHEL・Debian・Ubuntu 全バージョンに影響
Mozillaの中国事業が終了、Firefoxの公式サイトやコミュニティ機能も停止
エレコム、元従業員が営業秘密を不正取得し不正競争防止法違反容疑で告訴
アミューズ、従業員（当時）を懲戒処分 職務を利用し自己の利益をはかる行為を確認
