身元不明の脅威アクターが、独自開発のツールセットを使い、過度に緩いゲストアクセス設定を持つSalesforceおよびServiceNowのインスタンスを1年以上にわたって探索し、データを窃取し続けていることが分かりました。
標的となったのは、通信、金融サービス、エンタープライズソフトウェア、セキュリティ・データプライバシー企業、そして世界各国の公共部門ポータルなど、複数の業種に及びます。このキャンペーンを追跡しているAIサイバーセキュリティ企業Recoの研究者らは、攻撃者のIPアドレスに紐づくドメイン名にちなみ、これを「City-Forum」と名付けました。活動は少なくとも2025年3月から確認されています。
際立って異なるデータ窃取の手口
Recoによれば、このキャンペーンの注目すべき点は、脅威アクターが両プラットフォームを綿密に調査した上で、組織が誤ってゲストユーザーからアクセス可能な状態にしてしまっているデータを特定するための独自ツールを開発していることです。
例えば、旧来のAuraフレームワークではなく、同社のLightning Web Runtime(LWR)を採用した新しいSalesforceサイトでは、攻撃者はランタイムの基盤となるデータアクセス層と直接やり取りする方法を突き止め、ゲストアクセス可能な状態で露出している箇所からレコードを取得しているとみられます。
Auraを介して過度な権限が付与されたSalesforceのゲストユーザーからアクセス可能なデータをスキャンする際、一般に公開されているツールに頼る他の攻撃者とは異なり、このアクターはLWRのデータアクセス層のような、あまり文書化されていないインターフェースにアクセスするための新たな手法を独自に開発したとみられます。
この脅威アクターは同じ独自ツールセットを使い、ServiceNow Service Portalの比較的マイナーな検索エンドポイントも同様に標的にしています。同エンドポイントについては「オンライン上のドキュメントや、よく知られたオープンソースツールがほとんど存在しない」と、シニアセキュリティ研究者のNitay Bachrach氏はブログ記事に記しています。これらの攻撃から、脅威アクターは両プラットフォームにまたがる、これまで知られていなかった複数のデータ漏えい経路をマッピング済みであることがうかがえます。
「この脅威アクターは、オンライン上ではあまり文書化されていない調査や技術に基づいて、独自のツールセットを作り上げました。両サービスを研究し、共通のデータ漏えいベクターをマッピングしている点からも、高度な能力を持つアクターであることが分かります」とBachrach氏は結論づけています。Salesforceのゲストアクセスを悪用することで、攻撃者はアカウントデータ、連絡先情報、リード情報、ユーザー情報、コンテンツドキュメントファイルを窃取できる可能性があります。ServiceNowでは、ナレッジベースやカタログなどが潜在的な漏えい対象に含まれます。
表面的には、City-Forumキャンペーンは、Salesforce環境を標的としたShinyHuntersグループによる同様のキャンペーンに似ています。しかし、Bachrach氏によると、使用されている独自ツールはShinyHuntersが一連の攻撃で用いたものとは異なるとのことです。
City-Forumが及ぼしうる広範な影響
Bachrach氏がDark Readingに語ったところによると、攻撃者がゲストアクセスを使って窃取するSalesforceデータの典型例としては、社会保障番号、医療データ、財務データ、クレジットカード番号、パスポート情報といった顧客情報が挙げられます。また、サポートチケットとその内容、社内メールや会議情報を含むカレンダー・メールデータもよく標的になるといいます。
「ServiceNowの場合、大半はナレッジベースの記事です。ServiceNowは高度にカスタマイズ可能なため、具体的な設定次第では何でも露出しうる状態になります。過去にも、独立系の研究者が別の手法を用いてServiceNowのナレッジベースから機密データを発見できることを実証しています」とBachrach氏は述べています。
顧客のログを精査した結果、脅威アクターは北米、欧州、アジアの組織を標的にしていることが分かったと同氏は言います。SalesforceキャンペーンはServiceNowキャンペーンよりもはるかに規模が大きく、侵害された標的の数も多くなっています。
この一連の攻撃を実行する前に脅威アクターが行ったとみられる調査は、ゼロデイ脆弱性を発見するほど高度なものではない、とBachrach氏は指摘します。「ただし、サービス内の潜在的な弱点をマッピングし、自らの開発用インスタンスでそれをシミュレートし、通信内容を精査するという作業が攻撃者には必要になります」と同氏は語ります。AIはこうした調査へのハードルを下げる可能性がありますが、それでも検証環境を構築し、潜在的な脅威をマッピングする作業自体は必要になるとのことです。
Recoは、City-Forumキャンペーンに関連する侵害の痕跡(IoC)に加え、Salesforceのイベント監視ログやServiceNowのトランザクションログでこうした痕跡を検出するための具体的なガイダンスを提供しています。
さらにRecoは、こうしたキャンペーンによるリスクを軽減するために組織が取り得るいくつかの対策も示しています。Salesforceユーザー向けには、ゲストユーザーの共有ルールを見直し、匿名ユーザーが必要としないレコードへのアクセス権を削除すること、ゲストプロファイルで不要な権限を無効化すること、不要な場合は自己登録機能とゲストによるファイルアクセスをオフにすることなどが推奨されています。
ServiceNowを利用する組織向けには、公開する必要のない検索ソースを削除すること、カスタムのスクリプト化されたソースを含む各検索ソースに対して適切な認証・アクセス制御を実施することをRecoは推奨しています。
管理者が念頭に置くべき重要な点として、これまで成功してきた攻撃キャンペーンは、両サービスの初期設定そのものではなく、特定の設定ミスに起因していることが挙げられる、とBachrach氏は述べています。「痕跡が見つかったからといって、必ずしも機密データが盗まれたことを意味するわけではありません」と同氏は言います。「とはいえ、痕跡の有無にかかわらず、環境を監査することは極めて重要です。すべてのSalesforceサイトとServiceNowポータルを監査すべきです」
