Drift AIチャットエージェント経由のSalesloft OAuth侵害によりSalesforce顧客データが流出

2025年8月27日Ravie Lakshmananクラウドセキュリティ / 脅威インテリジェンス

広範囲にわたるデータ窃取キャンペーンにより、ハッカーがセールスオートメーションプラットフォームSalesloftに侵入し、Drift人工知能（AI）チャットエージェントに関連するOAuthおよびリフレッシュトークンを盗み出しました。

この活動は機会主義的な性質であると評価されており、Google Threat Intelligence GroupおよびMandiantによって追跡されている脅威アクターUNC6395に帰属されています。

「2025年8月8日から少なくとも8月18日まで、攻撃者はSalesloft Driftサードパーティアプリケーションに関連する侵害されたOAuthトークンを通じてSalesforceの顧客インスタンスを標的にしました」と研究者のAustin Larsen、Matt Lin、Tyler McLellan、Omar ElAhdanが述べています。

これらの攻撃では、脅威アクターが多数の企業Salesforceインスタンスから大量のデータをエクスポートしていることが観察されており、その主な目的は被害者環境を侵害するために使用できる認証情報を収集することと考えられます。これにはAmazon Web Services（AWS）のアクセスキー（AKIA）、パスワード、Snowflake関連のアクセストークンなどが含まれます。

UNC6395は、クエリージョブを削除することで運用上のセキュリティ意識も示していますが、Googleは組織に対し、データ流出の証拠を確認するために関連ログの確認、APIキーの無効化、認証情報のローテーション、さらなる調査を行い侵害の範囲を特定するよう促しています。

Salesloftは2025年8月20日に発表したアドバイザリで、Driftアプリケーションにセキュリティ問題を確認し、DriftとSalesforce間の接続を積極的に無効化したと述べています。このインシデントはSalesforceと連携していない顧客には影響しません。

「脅威アクターはOAuth認証情報を使用して、当社顧客のSalesforceインスタンスからデータを持ち出しました」とSalesloftは述べています。「脅威アクターは、ケース、アカウント、ユーザー、商談など様々なSalesforceオブジェクトに関連する情報を取得するためのクエリを実行しました。」

同社はまた、管理者に対してSalesforce接続の再認証を推奨し、連携を再有効化するよう勧めています。活動の正確な規模は不明ですが、Salesloftは影響を受けたすべての関係者に通知したと述べています。

Salesforceは火曜日の声明で、「ごく少数の顧客」が影響を受けたとし、問題は「アプリの接続の侵害」に起因すると述べました。

「この活動を検知した際、SalesloftはSalesforceと連携して、アクティブなアクセスおよびリフレッシュトークンを無効化し、DriftをAppExchangeから削除しました。その後、影響を受けた顧客に通知しました」とSalesforceは付け加えました。

この事案は、Salesforceインスタンスが金銭目的の脅威グループ、例えばUNC6040およびUNC6240（別名ShinyHunters）のようなグループにとって積極的な標的となっている中で発生しました。後者は現在Scattered Spider（別名UNC3944）と手を組み、初期アクセスの確保を目指しています。

「UNC6395の攻撃で最も注目すべきは、その規模と規律です」とAppOmniのCSO、Cory Michal氏は述べています。「これは一度きりの侵害ではなく、特定の関心を持つ組織の数百のSalesforceテナントが盗まれたOAuthトークンを使って標的にされ、攻撃者は多くの環境でデータを組織的にクエリしエクスポートしました。」

「彼らは高度な運用規律を示し、構造化されたクエリを実行し、認証情報を特定して検索し、さらにジョブを削除して痕跡を隠そうとしました。規模、集中、手法の組み合わせがこのキャンペーンを際立たせています。」

Michal氏はまた、標的および侵害された組織の多くがセキュリティやテクノロジー企業であったことを指摘し、このキャンペーンがより広範なサプライチェーン攻撃戦略の「序章」である可能性を示唆しています。

「まずベンダーやサービスプロバイダーに侵入することで、攻撃者は下流の顧客やパートナーに横展開できる立場を得ます」とMichal氏は付け加えました。「これは単なるSaaSの個別侵害ではなく、テクノロジーサプライチェーン全体に存在する信頼関係を悪用する、はるかに大規模なキャンペーンの基盤となる可能性があります。」