Salesforceには顧客情報や商談情報、問い合わせ履歴など、企業にとって重要なデータが集約されています。そのため、「Salesforceを利用していて情報漏洩することはあるのか」「Salesforceそのものに脆弱性があるのではないか」と不安を感じる担当者もいるでしょう。

Salesforceから情報が流出するケースでは、必ずしもSalesforceのコアプラットフォーム自体に問題があるとは限りません。認証情報を盗むソーシャルエンジニアリングや、悪意あるConnected App、OAuth連携、権限設定の不備、内部ユーザーによる大量エクスポートなど、利用企業側の認証・設定・運用を起点として情報が持ち出されることがあります。原因を切り分けずにアカウント停止や設定変更だけを進めると、痕跡消失の恐れがあります。

たとえばSalesforceは、ITサポートを装ったビッシングによって認証情報やMFA情報を窃取し、その後にConnected Appを追加してデータへアクセスする攻撃について注意を呼びかけています。また、外部アプリとの連携が侵害されることでSalesforce内のデータへアクセスされるケースもあります。

そこで本記事では、Salesforceで情報漏洩につながる主な原因を整理したうえで、漏洩が疑われる場合に確認したいログや設定、被害拡大を防ぐための対策、専門調査を検討する判断基準まで解説します。

Salesforceで情報漏洩につながる主な原因

Salesforceの情報漏洩は、単一の原因だけで起きるとは限りません。認証情報の窃取、外部アプリとの連携、公開範囲の設定ミス、過剰な権限、内部ユーザーによる持ち出しなど、複数の経路が考えられます。まずは代表的な原因を把握し、自社環境に当てはまるものがないか確認することが重要です。

ビッシングでSalesforceの認証情報を盗まれる

Salesforceを狙う攻撃では、システムの脆弱性だけでなく、人をだまして認証情報を取得するソーシャルエンジニアリングにも注意が必要です。なかでもビッシングは、電話などでITサポート担当者を装い、利用者に認証操作を促す手口です。

攻撃者がユーザー名やパスワードだけでなく、追加認証に必要な情報まで取得すると、正規ユーザーになりすましてSalesforceへログインされる可能性があります。正常な認証操作として記録される場合もあるため、単純なログイン成功・失敗だけでは判断しにくいことがあります。

普段と異なる接続元や時間帯からのログイン、直後の権限変更や外部アプリ追加などが確認された場合は、認証情報が窃取された可能性も含めて確認する必要があります。

悪意あるConnected Appを追加される

Connected Appは、外部アプリケーションからSalesforceへ安全に接続するために利用されます。正しく管理すれば便利な仕組みですが、攻撃者によって悪意あるConnected Appが追加・認可されると、Salesforce内のデータへ継続的にアクセスされる経路になる可能性があります。

特に注意したいのは、攻撃者が一度アカウントへ侵入した後、外部アプリへ権限を与えるケースです。外部アプリ側で有効な認可情報が残っていると、単にユーザーのパスワードを変更しただけではアクセス経路を完全に閉じられない場合があります。

見覚えのないConnected Appや、本来利用していない外部アプリへの認可が確認された場合は、追加された時期や対象ユーザー、付与された権限、その後のAPIアクセスまで合わせて確認することが重要です。

OAuth連携を侵害される

Salesforceでは、外部サービスとの連携にOAuthが利用されることがあります。OAuthではパスワードそのものを外部サービスへ渡さずにアクセスを許可できますが、アクセストークンなどの認可情報が侵害されると、外部サービス経由でSalesforce内のデータへアクセスされる可能性があります。

そのため、Salesforce上で不審な操作が確認された場合でも、原因がSalesforce本体やユーザーアカウントとは限りません。連携しているSaaSやアプリケーション、その認可情報が侵害されているケースも考える必要があります。

外部連携を利用している企業では、どのアプリにどの権限を与えているのかを把握し、不要な連携や長期間使われていない認可を残さないことが大切です。

Experience Cloudのゲスト権限を誤設定する

Experience Cloudでは、顧客や取引先向けに外部公開サイトを構築できます。公開範囲を柔軟に設定できる一方、Guest User Profileなどの権限設定に不備があると、本来外部へ公開する予定のないSalesforceデータへアクセスできる状態になる可能性があります。

特に、ゲストユーザーは通常の社内ユーザーとは利用目的が異なるため、「誰でもアクセスできる範囲」と「認証後にのみ利用できる範囲」を明確に分けて設計する必要があります。

Experience Cloudを利用している場合は、ゲストユーザーが参照できるオブジェクトやレコード、共有ルールなどを定期的に確認し、必要以上の情報を公開していないか見直すことが重要です。

ユーザーに必要以上のアクセス権限を付与する

Salesforceでは、プロファイルや権限セットなどを利用してユーザーごとのアクセス範囲を設定できます。しかし、業務上必要な範囲を超えて閲覧・編集・エクスポート権限を付与すると、アカウントが侵害された際の被害範囲も広がります。

たとえば、担当業務では一部の顧客情報しか必要ないユーザーが、全顧客データを閲覧・出力できる状態になっていると、1アカウントの侵害から大量の情報へアクセスされる可能性があります。

アクセス権は「念のため広く付与する」のではなく、業務上必要な範囲に限定する最小権限の考え方で管理することが重要です。異動や役割変更の際には、以前の権限が残っていないかも確認してください。

内部ユーザーがSalesforceのデータを大量に持ち出す

Salesforceからの情報漏洩は、外部の攻撃者だけが原因とは限りません。正規のアカウントを持つ従業員や委託先が、レポートやAPIなどを使って大量のデータを取得し、社外へ持ち出すケースも考えられます。

特に退職前後や部署異動の前後に、通常とは異なる量のレポートエクスポートやAPI経由のデータ取得が発生している場合は注意が必要です。ただし、大量ダウンロードだけで直ちに内部不正と判断することはできないため、業務上の必要性や利用時刻、対象データなどを合わせて確認する必要があります。

内部ユーザーによる持ち出しが疑われる場合は、アクセス権を変更する前に関連ログを確保し、事実関係を整理することが重要です。

Salesforceの情報漏洩原因を判断するときに注意したいこと

不審な挙動を見つけても、Salesforce自体に脆弱性があったとすぐに判断するのは適切ではありません。認証情報の窃取、外部アプリ、OAuth、ゲスト権限、内部ユーザーなど、複数の経路を切り分ける必要があります。

原因を確認する前にConnected Appやユーザーを一律に削除すると、後から侵害経路を確認するための情報が不足する場合があります。痕跡消失の恐れがあるため、異常を確認した時点の画面や設定、ログなどを残しておくことが大切です。

Salesforceからの情報漏洩が疑われるときに確認するログ

Salesforceからデータが漏れた可能性がある場合は、「ログインされたか」だけでなく、「どのデータへアクセスし、どのような方法で取得したのか」まで確認する必要があります。ログイン履歴、Event Monitoring、APIアクセス、レポートエクスポート、Connected App、設定変更の記録を組み合わせることで、侵害の流れを整理しやすくなります。

ログイン履歴から不審なアクセスを確認する

最初に確認したいのがログイン履歴です。普段利用していないIPアドレスや地域、時間帯からのログインがないかを確認すると、不正アクセスの手がかりを得られる場合があります。

ただし、VPNやモバイル回線、海外拠点からの利用などによって、正規ユーザーでも普段と異なるIPアドレスが記録されることがあります。そのため、IPアドレスだけで不正アクセスと断定せず、対象ユーザーの業務状況や、その後の操作と合わせて判断してください。

Event Monitoringからデータへのアクセス状況を確認する

Event Monitoringを利用すると、Salesforce上で発生したさまざまな操作をイベントログから確認できます。ログインだけでは分からないデータアクセスやレポート利用などを確認する際に役立ちます。

情報漏洩が疑われる場合は、不審なユーザーがどのタイミングでSalesforceへアクセスし、その後どの機能を利用したのかを時系列で整理することが重要です。複数のイベントを組み合わせることで、単なるログインなのか、実際のデータ取得まで行われたのかを判断する材料になります。

APIアクセスから不審なデータ取得を確認する

SalesforceではAPIを利用して外部システムからデータを取得できます。そのため、ブラウザ上で大量ダウンロードが見つからなくても、API経由でデータが取得されている可能性があります。

特にConnected AppやOAuth連携が侵害されている場合は、正規のAPI通信に見える形で大量のデータへアクセスされる可能性があります。通常利用しているアプリや連携処理と照らし合わせ、不自然な時間帯や量のAPI利用がないか確認してください。

レポートの大量エクスポートを確認する

Salesforce上のレポートは、業務上必要なデータをまとめて確認できる一方、大量の情報を外部へ持ち出す経路にもなり得ます。通常より多い件数のエクスポートや、業務上扱う必要がないデータの出力が発生していないかを確認してください。

退職予定者や外部委託先などのアカウントで大量エクスポートが発生していた場合でも、それだけで不正と断定することはできません。業務上の作業だった可能性も含め、出力時刻、対象レポート、アクセスしたユーザー、取得されたデータの範囲を整理することが大切です。

Connected Appの認可状況を確認する

見覚えのないConnected Appが追加されている場合や、不審なユーザーが外部アプリへ認可を与えている場合は、そのアプリがSalesforceデータへアクセスする経路になっていないか確認する必要があります。

確認するときはアプリ名だけで判断せず、認可されたユーザー、付与されている権限、追加・利用された時期、その後のAPI通信などを合わせて確認してください。

Setup Audit Trailから設定変更を確認する

Setup Audit Trailでは、Salesforceの設定に関する変更履歴を確認できます。情報漏洩が疑われる場合は、不審なログインと同じ時期に権限やセキュリティ関連の設定が変更されていないかを確認することが重要です。

たとえば、権限セットの変更や外部連携に関係する設定変更などが不審なログインの直後に行われている場合、侵入後にアクセス範囲を広げられた可能性を検討する材料になります。

ログを確認しても情報漏洩の範囲が分からない場合

Salesforce上のログを個別に確認しても、「実際にどのデータが閲覧・取得されたのか」「Connected AppやAPIを経由してどこまで情報が持ち出されたのか」が分からない場合があります。特に複数アカウントや外部サービスが関係する場合は、それぞれのログを時系列で照合する必要があります。

原因の確認前にログや設定を削除すると、証拠消失の恐れがあります。不審なアクセスが確認された場合は、ログイン履歴、イベントログ、設定変更履歴、API関連情報などを可能な範囲で保全してから調査を進めることが重要です。

自社だけでは侵入経路や情報漏洩の範囲を判断できない場合は、Salesforceだけでなく、利用端末や認証基盤、外部連携サービスなどの記録も含めて専門的に調査する方法があります。

Salesforceの情報漏洩を防ぐ対策と調査が必要なケース

情報漏洩を防ぐには、認証を強化するだけでなく、アクセス元、ユーザー権限、Connected App、イベント監視まで含めて対策することが重要です。また、すでに不審な操作が確認されている場合は、再発防止だけを進めるのではなく、先に被害の有無と範囲を確認する必要があります。

フィッシング耐性のある多要素認証を設定する

パスワードだけでSalesforceへログインできる状態では、認証情報を盗まれた場合に不正アクセスへつながりやすくなります。そのため、多要素認証を利用し、認証情報が漏れた場合でも第三者がログインしにくい状態にすることが重要です。

特に管理者など高い権限を持つユーザーについては、パスキーやセキュリティキーなど、フィッシングによる認証情報窃取への耐性を高めた方式も含めて検討するとよいでしょう。

IPアドレス制限でログイン元を限定する

利用環境に応じてアクセス元を制限することで、想定していないネットワークからのログインを抑制できます。社内ネットワークや管理されたVPNからの利用を基本としている企業では、認証対策と組み合わせることで侵入経路を減らしやすくなります。

ただし、在宅勤務や出張、外部委託先などからアクセスする運用もあるため、実際の利用方法を整理せずに一律制限すると業務へ影響する場合があります。例外運用も含めて設計してください。

ユーザー権限を最小限に設定する

アカウントが侵害された場合の影響を小さくするためには、ユーザーが閲覧・操作できる範囲を業務上必要な範囲へ限定することが重要です。

プロファイルや権限セットを定期的に確認し、異動や担当変更後も以前の権限が残っていないかを見直してください。管理者権限や大量データを出力できる権限については、付与対象を特に慎重に管理する必要があります。

Connected Appの利用を必要なアプリだけに制限する

外部アプリとの連携が増えるほど、Salesforceへアクセスできる経路も増えます。Connected Appは必要なものだけを利用し、承認されていないアプリを自由に追加できる状態を避けることが重要です。

既存のConnected Appについても定期的に棚卸しを行い、利用終了したサービスや用途が分からないアプリの認可が残っていないか確認してください。

不審な操作を検知できるようEvent Monitoringを設定する

情報漏洩を早期に発見するためには、不審なログインだけでなく、データアクセスや大量エクスポートなどの操作も監視できる状態を整えることが重要です。

Event MonitoringやTransaction Securityなどを利用できる環境では、自社で想定するリスクに応じて監視条件を設計します。たとえば通常より大規模なレポートエクスポートなどを検知対象としておけば、情報持ち出しの兆候に早く気づける可能性があります。

情報漏洩の可能性がある場合はログを消さずに調査する

すでに見覚えのないログイン、不明なConnected App、異常なAPI通信、大量エクスポートなどが見つかっている場合は、予防設定だけで終わらせないことが重要です。

不審な操作が実際の情報漏洩につながったかを判断するには、ログを時系列で照合し、「いつ侵入されたのか」「どのアカウントが利用されたのか」「どのデータへアクセスされたのか」を確認する必要があります。

独自の判断でログを削除したり、関連端末を初期化したりすると、後から事実関係を確認しにくくなる場合があります。現在の状態を可能な限り残したうえで調査を進めることが重要です。

Salesforceの情報漏洩調査を専門会社に相談する

Salesforce上で確認できるログから一定の状況は把握できますが、侵害の入口がユーザー端末や認証情報、外部サービスにある場合は、Salesforceだけを確認しても原因を特定できないことがあります。

Salesforceから本当にデータが持ち出されたのかを客観的に確認するには、Salesforceのログだけでなく、関連する端末や認証基盤、ネットワーク、外部連携サービスなどの記録を保全し、時系列で解析する方法が有効です。その手法として用いられるのがフォレンジック調査です。

フォレンジック調査では、不正アクセスの有無、侵入経路、利用されたアカウント、アクセスされた情報、外部送信の痕跡などを調べ、被害範囲の判断につなげます。顧客情報などが関係する場合は、社内外への説明や今後の対応を検討するためにも、推測ではなく記録に基づいて事実を整理することが重要です。

おすすめのフォレンジック調査会社

公式サイトデジタルデータフォレンジック

編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。

デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。

24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。

【厳格調査】デジタルデータフォレンジックの評判は？口コミや評価、料金体系からサービスを調査

2024.3.5

フォレンジックとは「パソコンやHDD、スマートフォンなどのデジタル端末に残されたログやデータ類を抽出し、サイバーセキュリティ調査や法的紛争支援などを行う」技術です。 その中でも【

【2026年版】ハッキング調査会社を見分けるポイント6選！費用相場や悪徳業者の特徴も解説

2024.3.5

「パソコンが遠隔操作され、詐欺にあったかもしれない…」 「会社のパソコンのログを確認したら、未知のIPアドレスから不正アクセスを受けた痕跡を見

まとめ

Salesforceで情報漏洩が発生する場合、原因がSalesforceのコアプラットフォームそのものにあるとは限りません。ビッシングによるアカウント侵害、悪意あるConnected App、OAuth連携、Experience Cloudの権限設定、過剰なアクセス権、内部ユーザーによる大量データ取得など、認証・外部連携・運用を起点とするケースもあります。

情報漏洩が疑われる場合は、ログイン履歴だけで判断せず、Event Monitoring、APIアクセス、レポートエクスポート、Connected Appの認可状況、Setup Audit Trailなどを組み合わせて確認することが重要です。

また、不審な操作が見つかった場合は、設定変更を急ぐだけでなく、調査に必要な記録を残してください。痕跡消失の恐れがあるため、ログや関連情報を保全したうえで侵入経路と被害範囲を確認する必要があります。

Salesforceだけでは状況を判断できない場合や、大量のデータ取得、不審なConnected App、未知のAPIアクセスなどが確認された場合は、関連するクラウド・端末・認証情報まで含めた専門調査を検討しましょう。