SalesforceにおけるOAuth権限の悪用とデータ流出を防ぐための対策

解説

近年、特定の攻撃グループによって行われるサイバー攻撃の手口が注目されています。特に、企業の顧客管理情報（CRM）を扱うSaaSアプリケーション、例えばSalesforceなどの環境が標的となり、深刻なデータ漏洩のリスクが増加しています。

今回の脅威は、従来のマルウェア感染や認証情報の盗用といった形ではなく、「信頼されたOAuthの連携機能」を経由して実行される点が特徴です。攻撃者は、まるで正規の業務フローの一部であるかのように振る舞い、ユーザーが本来承認した範囲内の権限（APIコール）を利用して大規模なデータ収集と持ち出し（エクスフィルトレーション）を行っています。

具体的には、ITサポートを装った「なりすまし電話（vishing）」を通じてユーザーに誤ってOAuth同意を許可させたり、Salesforceの連携機能を使うサードパーティベンダー（例：Salesloft, Gainsight）のセキュリティホールを突いたり、さらに設定が不適切な「ゲストアクセス権」を利用してデータに不正にアクセスしたりといった経路が見られています。

これらの攻撃は、システム上の脆弱性を突いているわけではなく、むしろ正当なワークフローや既存の信頼関係（OAuth連携）を悪用することで、組織内の監視網から逃れるのが非常に巧妙です。このため、セキュリティ担当者にとっては、「どの動作が正常で、どの動きが悪意か」を識別することが大きな課題となっています。

単なる認証情報の監視だけでは不十分な時代となり、アプリケーションレベルの動作と権限フローに対する深い可視化とガバナンスの構築が急務です。

ポイント

• 攻撃者はOAuthの信頼関係を悪用し、正規の業務フローに見せかける形でデータ漏洩を引き起こしており、従来の認証監視では検出困難な高度な脅威である。
• 主な侵入経路は、vishingによる誤った権限付与、連携サードパーティツールの脆弱性利用、および設定不備なゲストアクセス機能の悪用など多岐にわたる。
• これに対抗するためには、OAuth接続アプリケーションの詳細な可視化、利用状況の監視、非アクティブアカウントや過剰な権限を持つアプリの継続的なガバナンスが必須となる。

情シスへの影響

この脅威はSalesforceを利用しているすべての組織、特に顧客情報（CRMデータ）を扱っている環境に影響します。

1. OAuth接続アプリケーションのリスク増大：最も大きなリスク源です。ユーザーやシステムが承認したサードパーティ製アプリ（連携ツールなど）の権限が悪用され、管理者以上の権限を持つにもかかわらず監視されていないケースがあります。この場合、悪意のある動作は「正当なアクセス」として見逃されます。

2. 設定不備による不正アクセス：ゲストユーザーや外部連携用のアカウントに対して過剰な権限が付与されていることが発見されました。これらの環境は攻撃者にとって侵入の格好の足場となります。

3. 監視・検知の難化：攻撃が既存の「信頼された経路」を経由するため、通常のログ分析やサインイン異常検出では対応できません。データ流出自体（大量のエクスポート、特定のAPIへの連続クエリ）に焦点を当てた高度な可視化とリアルタイムイベント監視が必要です。

4. 広範囲なガバナンスの必要性：一時的に作成されたが削除されなかった古い接続アプリや、使われなくなった連携機能も引き続きリスクとして存在します。

影響範囲

【製品】Salesforceプラットフォーム（SaaS）を利用しているすべての組織

【管理領域】OAuth権限付与の設定、外部連携アプリケーションのアクセス制御、ゲストユーザーの利用設定。

【影響範囲】CRMデータを含む機密性の高い顧客情報、アカウント、連絡先などのデータ。

【考慮事項】特にSalesforce Shield: Event MonitoringやMicrosoft Defender for Cloud Appsなど、高度な監視ツールが導入されている環境では対策が可能ですが、基本的なガバナンスレベルでの対応が必要です。

重要度

★★★★★

対象者

• セキュリティ担当者
• M365管理者
• Entra管理者
• AD管理者
• システム管理者
• ネットワーク管理者

優先度

早めに対応

優先度の理由

本件は、悪用が確認されている実証的な脅威であり、特にOAuthの信頼関係を突くため即座に対応が必要なレベルです。ただし、環境全体のガバナンスを見直す包括的なプロセスとなるため「今すぐ対応」ではなく「早めに対応」と判断しました。最優先事項は、接続アプリの権限監査および過剰なアクセス権を持つアカウントへの制限設定です。本記事の内容を鵜呑みにせず、必ず自社環境や導入しているSaaSベンダー（Salesforce）からの公式通知を確認してください。

確認手順

• 【最優先】全てのOAuth接続アプリケーションについて、本来の利用目的が継続して必要か否かを監査し、不要なものは権限を削除または削除する。
• ゲストユーザーおよび外部連携用アカウント（非人間主体ID）のアクセス設定をレビューし、最小権限の原則に基づき、必須以上の権限が付与されていないか確認する。
• Salesforce Shield: Event Monitoringなどの機能を利用し、「レポートのエクスポート」「大量APIコール」など、データ取り出しに特化したイベントログの監視体制を構築する。
• Microsoft Defender for Cloud Apps等を利用している場合、connected app attributionや権限詳細（Scope）に関するアラート設定が有効化されているかを確認する。
• 不活性なアプリケーション（例：90日以上使用されていないアプリ）の一覧を取得し、アクセス権の再確認と必要に応じた無効化を実施する。