【ITニュース解説】Salesloft OAuth Breach via Drift AI Chat Agent Exposes Salesforce Customer Data

ITニュース概要

販売自動化サービスSalesloftで、Drift AIチャットを悪用したデータ侵害が発生した。ハッカーは顧客の認証情報を盗み出し、Salesforceの顧客データが流出した可能性がある。日和見的な攻撃とされる。

ITニュース解説

今回のニュースは、企業が日常的に利用するセールス支援ツールと顧客管理システムの間で発生した、データ漏洩事件についてである。具体的には、セールス自動化プラットフォームであるSalesloftが攻撃を受け、AIチャットエージェントのDriftを経由して、Salesforceに保存されていた顧客データが外部に流出した可能性があると報じられている。 まず、この事件に関与する主なシステムを簡単に説明する。Salesloftは、企業の営業活動を効率化するためのプラットフォームだ。顧客とのメールのやり取りや電話、会議のスケジューリングなどを一元的に管理し、営業担当者がより生産的に働けるように支援するツールである。次にDriftは、ウェブサイトに導入されるAIチャットエージェント、つまり自動応答式のチャットボットサービスだ。ウェブサイト訪問者からの問い合わせに自動で対応したり、顧客サポートを行ったりすることで、企業と顧客のコミュニケーションを円滑にする役割を担う。そしてSalesforceは、顧客関係管理（CRM）システムとして世界中で広く利用されている巨大なプラットフォームだ。企業はSalesforceに顧客の氏名、連絡先、取引履歴など、非常に多くの重要な顧客情報を保存・管理している。これらのシステムは、業務効率向上のために連携して使われることが一般的だ。例えば、Salesloftで営業活動を行った結果をSalesforceに自動で記録したり、Driftで得られた顧客情報をSalesloftやSalesforceに連携させたりする。このようなシステム連携は非常に便利だが、同時にセキュリティ上のリスクも伴う可能性がある。 今回の事件の中心にあるのは「OAuth（オーオース）」という認証の仕組みだ。OAuthは、あるサービス（例えばSalesloft）が、別のサービス（例えばSalesforceやDrift）に、ユーザーのパスワードを直接知ることなく、特定の情報へのアクセスを許可するための安全な方法である。具体的には、ユーザーが「SalesloftがSalesforceの情報にアクセスすることを許可しますか？」といった承認を行うと、SalesloftはSalesforceから「アクセストークン」と呼ばれる一時的な許可証を受け取る。このアクセストークンがあれば、SalesloftはユーザーのSalesforceアカウントに、あらかじめ決められた範囲内でアクセスできるようになる。ユーザー名とパスワードを各サービスに直接入力する手間が省けるため、利便性が高く、多くのWebサービスで採用されている。 アクセストークンは通常、有効期限が短く設定されていることが多い。しかし、毎回ユーザーに承認を求めるのは手間がかかるため、多くのOAuthの実装では「リフレッシュトークン」という別のトークンも発行される。リフレッシュトークンは、アクセストークンの有効期限が切れた際に、新しいアクセストークンを自動的に取得するための「更新用の許可証」だ。このリフレッシュトークンは、アクセストークンよりも有効期限が長く設定されていることが多く、適切に保護されるべき非常に重要な情報である。 今回の攻撃では、このOAuthの仕組みが悪用された。具体的には、ハッカーがSalesloftに侵入し、DriftのAIチャットエージェントに関連付けられていたOAuthトークンとリフレッシュトークンを盗み出したとされている。DriftはSalesloftと連携し、さらにSalesforceの顧客データにアクセスする権限を持っていたと考えられる。そのため、Driftに関連付けられたトークンが盗まれると、ハッカーはDriftになりすましてSalesloftにアクセスし、そこからSalesforceの顧客データにも不正にアクセスできる可能性が生じた。攻撃者は、この盗まれたトークンを使って正規のユーザーや連携サービスになりすまし、本来アクセスが許されていない情報に手を出したのだ。 盗まれたのはSalesforceの顧客データである。これには、企業の顧客に関する機密性の高い情報が含まれており、漏洩すれば企業の信用失墜はもちろん、顧客への詐欺行為や悪質な営業活動に利用されるリスクがある。今回のデータ窃盗キャンペーンは「広範囲にわたる」と表現されており、単一の企業だけでなく、複数のSalesloft利用企業が影響を受けた可能性を示唆している。 この攻撃は「偶発的な（opportunistic）性質」であると評価されている。これは、特定の企業を狙って周到に計画された標的型攻撃というよりは、インターネット上で見つかる脆弱性や設定ミスなどを探し、手当たり次第に攻撃を仕掛けるタイプのアプローチであった可能性が高いことを意味する。攻撃者については、Google脅威インテリジェンスグループ（GTIG）とMandiantというセキュリティ企業が「UNC6395」という識別名で追跡している脅威アクターであると報じられている。脅威アクターとは、サイバー攻撃を実行する個人やグループを指す専門用語である。セキュリティ業界では、共通の攻撃手法やツールを使う攻撃者グループに名前をつけて追跡することで、攻撃のパターンを分析し、防御策を講じるのに役立てている。 この事件は、システム連携の利便性とセキュリティリスクのバランスについて重要な教訓を与えている。複数のサービスを連携させることで業務は効率化されるが、その連携部分が脆弱性を持つと、一つのシステムのセキュリティ問題が、連携している他のシステム全体に波及し、最終的に重要なデータが漏洩する可能性がある。特に、OAuthのような認証トークンは非常に強力な「鍵」であり、その管理がずさんであれば、攻撃者に容易に悪用されてしまう。企業は、連携するサービスのセキュリティ対策を常に確認し、トークンの適切な管理、定期的なセキュリティ監査、そして万が一の侵害に備えたインシデント対応計画を持つことが不可欠となる。システムエンジニアを目指す者にとっても、このようなシステム連携の仕組みとそれに伴うセキュリティリスクを理解することは、将来、安全なシステムを設計・構築・運用する上で非常に重要だ。