Recoは、カスタムメイドと見られるマルチプラットフォーム・ツールセットを用いてSalesforceとServiceNowの双方を標的とする、高度で革新的なキャンペーンを追跡しています。
研究者らは、主な標的として通信事業者、銀行・金融サービス企業、エンタープライズソフトウェアベンダー(セキュリティ・データプライバシー企業を含む)、そして公共部門のポータルサイトが含まれるとみています。
このキャンペーンは「City-Forum」と名付けられました。Salesforce Auraと、より新しいLWR実装の双方を標的としており、SalesforceのUI-APIゲストサーフェスに対する実環境での悪用が観測されたのはこれが初めてです。さらに、Aura(Auraユーザーは依然としてLWRユーザーより多いため、Salesforceキャンペーンには必然的に含まれます)に対する攻撃は、単一のツールセットの中でLWR攻撃と統合されています。
「1つのGoバイナリが、Aura経由とLWR経由の双方でSalesforceを攻撃し、さらに同じマシンからServiceNowも攻撃していました」と研究者らはブログレポートの中で述べています。これは、AuraInspectorのような既製ツールではなく、カスタムツールセットであることと整合しています。
両プラットフォームにおける主要なアクセス手段はゲストユーザーです。すべてのSalesforce Experience Cloudには独自のゲストユーザーが存在し、そこでは未認証のリクエストが機能します。ServiceNowも同様です。「これらのゲストユーザーは削除できません。ログインを必須にしたとしても、そのユーザーは消えません。プロファイル、その権限、共有ルール、そしてそのコンテキストで実行されるコードは、すべて依然として存在します。ゲストがレコードを読み取れるのであれば、インターネット上の誰もが読み取れるということです」
このキャンペーンの革新性の度合いをより深く理解するには、City-Forumキャンペーンを、Auraを標的とした他の攻撃、とりわけ2026年3月に公表されたShinyHuntersによるSalesforce Auraキャンペーンと比較すると分かりやすいでしょう。SalesforceのLWRを標的とすることに加え、「[City-Forum]は、オンライン上にほとんどドキュメントが存在せず、よく知られたオープンソースツールも存在しないServiceNowのネイティブなService Portal検索エンドポイントを執拗に叩いています」。
ShinyHuntersはSalesforceのAuraのみを標的とし(ServiceNowを狙った既知の事例はありません)、既存のAuraInspectorの改造版を使用していました。一方City-Forumは、新たに開発されたカスタムのマルチプラットフォーム・ツールセットを使用しています。
Recoは、City-Forumの背後にShinyHuntersがいる可能性も排除していないと慎重に説明しており、「これが誰なのかは分かっていませんし、誰かを容疑者として特定することも除外することもしていません」と付け加えています。
City-Forumキャンペーンは単一のマシンを使用しています。「同一のIPアドレスは2025年3月から同じドメインを保持し続けており、現在も走査を続けています。少なくとも17か月間にわたり、一度もローテーションすることなく同一のアドレスを使い続けています」。このIPアドレス(158.220.87.79)はcity-forum.comに解決されます。
Recoはこの点について特に推測を示していませんが、単一のマシンを使う主な利点は、異常検知システムに対する攻撃者の痕跡(フットプリント)を減らせることです。既知であればブロックしやすくなる一方、ステルス性が高ければ検知は難しくなります。
このキャンペーンは、SalesforceとServiceNowの双方における未認証のゲストユーザーアクセスを標的としています。ただし、Salesforceにおいてセルフ登録が有効になっている場合は、認証済みユーザーへの転換も可能になります。ServiceNowには同様の仕組みは存在しません。
認証済みゲストユーザーになることは必須ではありませんが、それによってより機密性の高いデータへのアクセスが可能になる場合があります。多くの組織がゲスト権限を誤って設定しているため、この可能性は依然として残っています。ただし、「これまでのところ、確認されているのはゲストユーザーによる活動のみで、認証済みユーザーによるものは一度も観測されていません。ただし、その可能性を排除することはできません」と研究者らは述べています。
Auraからは、収集・外部流出されたSalesforceデータの大部分が引き出されています。「最も被害の大きかった標的では、キャンペーン期間中に56万件を超えるイベントが記録されており、そのほぼすべてがゲストによるAuraの列挙(enumeration)でした」と研究者らは述べています。データはGraphQLを使ってSalesforceのLWRサイトからも引き出されています。
ServiceNowへの攻撃は、事実上ドキュメント化されていない検索エンドポイントを標的としています。これを利用して、実質的な内容を持つコンテンツを検出しています。「ここでOutput length(出力長)の列に一目を通す価値があります。空の結果を示す小さなベースライン値を明らかに上回っている行は、内容のある検索結果が返ってきたものです」。攻撃者は、最も有望と思われる結果からデータを抽出できます。
この情報流出は目立った騒がしいものではなく、プロトコル上は正規のやり取りに見えながら大量に行われるという性質を持っています。これにより検知が難しくなっており、単一の固定された宛先アドレスを使い続けているというステルス性重視の意図を裏付けているとも言えるでしょう。
ShinyHuntersによる攻撃と同様、SalesforceやServiceNowのプラットフォーム自体が侵害されたことを示唆する事実はありません。「攻撃者が取得したすべてのバイトデータは、サイト運営者自身が匿名ユーザーに対して公開していたものでした」
City-Forumに標的にされることは、騒がしく分かりやすい攻撃ではありません。しかし、どこを見ればよいかさえ分かっていれば、たいていのものは見つけ出せます。Recoのリサーチブログには、詳細な侵害指標(IOC)と対策手順が掲載されています。少なくとも、できるだけ早くセルフ登録が有効になっていないことを確認してください。これにより、未認証のゲストが認証済みゲストへとアップグレードしようとする試みを阻止できます。
