「City-Forum」データ窃取攻撃、SalesforceとServiceNowのポータルを標的に

現在進行中のデータ窃取キャンペーンが、独自ツールを用いてSalesforce Experience CloudおよびServiceNowカスタマーポータルで匿名ユーザーに公開されているデータを窃取しています。

SaaSセキュリティ企業Recoが「City-Forum」と名付けたこのデータ窃取キャンペーンは、単一のサーバーに端を発しており、世界中の複数の組織を標的にしていることが判明しています。標的となった組織には、通信会社、銀行・金融サービス企業、エンタープライズソフトウェアベンダー、セキュリティ・データプライバシー企業、公共部門のポータルなどが含まれます。

Recoによると、この攻撃は現在も継続しており、活動量は増加を続けているとのことです。

City-Forumデータ窃取攻撃の手口

Recoによれば、すべての攻撃はドイツのVPSプロバイダーContaboがホストするIPアドレス158.220.87.79を発信元としており、データをダウンロードする際にはほぼ常にデフォルトのGo-http-client/1.1ユーザーエージェントを使用しているとのことです。

このIPアドレスはcity-forum.comドメインに関連付けられており、少なくとも2025年3月以降このサーバーに解決されていることから、このインフラが1年以上にわたって維持されてきたことが分かります。

研究者らによると、これらのIOC（侵害指標）の組み合わせは、このキャンペーンでSalesforceおよびServiceNow環境を標的とするほぼすべての攻撃で確認されているとのことです。

「同一のフィンガープリントが、世界中の複数の組織にわたってSalesforceとServiceNowの両方で確認されています。攻撃は今も継続中で、その量は増加しています」とRecoは説明しています。

「これまでのところ確認されているのはゲストユーザーの活動のみで、認証済みユーザーによるものは一度も見られていません。ただし、その可能性を排除することはできません」

これらの攻撃は、SalesforceやServiceNowの脆弱性を悪用しているものではありません。

その代わりに、組織側が過度に緩い共有ルールや権限設定、ポータル構成によって誤って未認証のゲストユーザーに公開してしまっているデータを窃取しています。

Salesforce Experience CloudとServiceNowはいずれも、未認証の訪問者を管理するためにゲストアカウントを使用しています。これらのアカウントにデータレコードへのアクセス権が付与されている場合、インターネット上の誰もが様々なAPIエンドポイントを通じてそれらを取得できてしまう可能性があります。

Salesforceにおいて観測された活動の大半は、旧来のAuraフレームワークを標的にしたものです。攻撃者は/auraまたは/s/sfsites/auraエンドポイントにリクエストを送信し、Accounts、Contacts、Casesなど、どのオブジェクトが一般公開されているかを特定しています。

Recoによると、攻撃者はまずHostConfigController.getConfigDataを呼び出してゲストアカウントが利用可能なオブジェクトを列挙し、その後SelectableListDataProviderController.getItemsを使ってアクセス可能なオブジェクトからレコードを取得しているとのことです。

Recoによれば、最も被害の大きかった標的では攻撃者のIPアドレスから560,000件を超えるイベントが記録されており、そのほぼすべてがゲストによるAuraの列挙に関連するものだったとのことです。

このタイプのSalesforceゲストユーザー悪用は目新しいものではなく、以前にもShinyHuntersによるデータ窃取キャンペーンで使用されています。

ShinyHuntersは以前、AuraInspectorツールの改造版を使用して、設定に不備のあるExperience Cloudポータルから公開レコードを窃取していました。

しかし、City-Forumの攻撃者はこれらと同じAuraエンドポイントを標的にするだけでなく、より新しいLightning Web Runtime（LWR）フレームワークで構築されたSalesforceサイトも標的にしています。

LWRサイトでは、攻撃者はSalesforceのUI APIを利用し、/webruntime/api/services/data/{version}/graphql宛に送信するGraphQLリクエストを通じて、ゲストアカウントに公開されているデータを窃取しています。

Recoによると、この手法を使う公開済みの攻撃ツールはこれまで確認されておらず、AuraInspector、S-RET、CirrusGoといった既存のツールもwebruntimeインターフェースを使用していないとのことです。

攻撃者はまた、/SiteRegisterおよび/CommunitiesSelfRegエンドポイントを通じてExperience Cloudサイトも標的にしており、自己登録機能が有効になっているかどうかを調べています。これが有効な場合、ゲストがより広範なアクセス権を持つ認証済みの外部アカウントを作成できてしまう可能性があります。

同一の攻撃者は、ネイティブのPOST /api/now/sp/search?sysparm_cancelable=trueエンドポイントを通じてServiceNow Service Portalsも標的にしており、Recoによればこのエンドポイントが悪用される事例はこれまで確認されていなかったとのことです。

ServiceNowのポータル検索機能で使用されるこのエンドポイントは匿名リクエストを受け付けており、検索ソースがゲストアクセスを許可する設定になっている場合、データを返すことがあります。

Recoによると、攻撃者は検索語を変えることで公開されている情報を列挙できるとのことで、調査対象となったある環境では、リクエスト数が1日あたり数十件から数百件にまで増加していたとのことです。

ServiceNowのトランザクションログにはPOSTボディが記録されないため、防御側は自動化された検索が発生したことやどれだけの量のデータが返されたかは把握できるものの、攻撃者が実際に使用した検索語までは特定できません。

今回のSalesforceに関する活動の一部は過去のShinyHuntersの攻撃と類似していますが、Recoは現在のキャンペーンをこのグループに結びつける証拠は見つかっていないとしています。

研究者らはまた、ShinyHuntersなど過去のキャンペーンでは通常、複数のシステムや異なるIPアドレスが使用されていたのに対し、City-Forumのインフラは2025年3月以降同一のIPアドレスに留まり続けている点も指摘しています。

Salesforce管理者には、ゲストユーザーの共有ルール、オブジェクトおよびフィールドの権限、ファイルアクセス、メンバーの可視性、自己登録設定を見直すことが推奨されます。

LWRサイトについては、Recoは、不要であればゲストユーザーが公開APIにアクセスできるExperience Builderのオプションを無効にすることも推奨しています。これにより、データの列挙や窃取に使われる各種APIエンドポイントへのアクセスを遮断できます。

ServiceNow管理者は、Service Portalsを通じてどの検索ソースが公開されているかを見直し、機密性の高いデータを扱う検索ソースには厳格な認証とアクセス制御を適用する必要があります。