セールスフォース(Salesforce)、Gainsight 連携アプリ経由の不審な活動を調査-API経由のサイバー攻撃に注意|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2025年11月24日更新日時: 2025年11月24日

2025年11月21日　Salesforceは、Gainsightが公開・提供するSalesforce連携アプリで「不審な活動」を検知したと明らかにしました。

調査の結果、当該アプリのSalesforce外部接続を介して、一部顧客のSalesforceデータに不正アクセスが可能になっていた可能性があるとしています。
発見後、SalesforceはGainsight公開アプリに紐づくすべてのアクセス／リフレッシュトークンを失効し、当該アプリをAppExchangeから一時的に非公開化しました。影響が確認できた顧客には個別に通知済みとしています。Salesforceは、自社プラットフォームの脆弱性が起点ではないことも併せて示しています。

Gainsightとは

Gainsightは、B2B企業のカスタマーサクセス（CS）業務を支援するソフトウェアを提供するベンダーで、顧客ヘルススコアの可視化、利用状況分析、解約兆候検知、NPSなどのアンケート運用、オンボーディング／アダプション施策の管理といった機能を備えています。Salesforceとの連携を前提としたアプリ（AppExchange掲載）を通じて、Salesforceに保存された顧客・案件・利用データを参照・書き込みし、CSチームの業務フローを自動化する構成が一般的です。これらの連携はOAuth接続で実現され、連携アプリに付与された権限（スコープ）に基づきAPIアクセスが行われます。

影響範囲と現在の措置

影響が疑われるのは、顧客が自社テナントに導入・管理しているGainsight公開アプリの接続部分です。
Salesforceは関連トークンの一括失効とアプリの一時撤去を実施。調査は継続中で、必要に応じて追加対応を行う方針です。
追加支援が必要な顧客はSalesforce Helpでの問い合わせを案内されています。

類似インシデントとの関係（時系列の文脈）

2025年8月には、SalesloftのDrift AIチャット統合で用いられていたOAuthトークンの窃取を足掛かりに、外部脅威グループが多数の企業に紐づくSalesforceインスタンスへ不正アクセスした事案が報じられています。

脅威グループ Scattered Lapsus$ Hunters: ShinyHunters”は当時、数百社規模のSalesforceレコード窃取を主張しました。

Gainsightはこれとは別に、Salesloft Driftに関連する盗難OAuthトークンを経由して侵害を受けた事実を認め、氏名、業務用メールアドレス、電話番号、地域情報、ライセンス情報、サポートケース内容といった業務連絡先データへのアクセスが発生したと説明しています。

今回の不審活動についても、報道ベースでは過去のトークン流出に起因する秘密情報の連鎖的悪用が示唆されています。

管理者が直ちに確認すべきポイント

Connected Appの棚卸し：Gainsight関連アプリの権限（OAuthスコープ）と利用ユーザー／統合ユーザーを確認。不要アプリは無効化。
トークンとシークレットのローテーション：統合ユーザーのパスワード／APIトークン、Connected Appのコンシューマ鍵・秘密を再発行。
監査ログの確認：OAuth承認履歴、ログイン履歴、Event Monitoring（あるいはログエクスポート）で異常なAPIアクセスや大量エクスポートの有無を確認。
最小権限化：連携アプリ用プロファイル／権限セットの見直し（読み取り・必要最小のオブジェクト／フィールドに限定）。
ネットワーク制御：統合ユーザーのログインIP制限、セッション制御、MFA強制、トークン寿命の適正化。
データ保護：レポート／エクスポート権限の一時的制限、DLPや監視ルールの強化（機微オブジェクトを優先）。
ベンダー連絡：Gainsightからの正式な復旧手順・更新版アプリ提供の案内に基づき、再接続は段階的に実施。必要に応じてSalesforce Helpに問い合わせ。