Salesforceデータ侵害ケーススタディ：SalesLoft＆Driftの大失敗からのレッスン

2025年のSalesLoftドリフトデータ侵害に深く潜り込み、Salesforceユーザーとより広範なSaaSエコシステムの脆弱性、影響、および重要なレッスンを調査します。

Salesforce Data Breach Case Study: Lessons from the Salesloft & Drift Debacle

Salesforceデータ侵害ケーススタディ：SalesLoft＆Driftの大失敗からのレッスン

In the ever-evolving landscape of cybersecurity, the 2025 Salesloft Drift data breaches stand as a stark reminder of the interconnected risks within the SaaS ecosystem. This case study delves into the incident, highlighting key vulnerabilities and offering insights for Salesforce users and organizations seeking to bolster their cyber resilience.

サイバーセキュリティの絶え間なく進化する状況では、2025年のSalesLoftドリフトデータ侵害は、SaaSエコシステム内の相互接続されたリスクの厳しいリマインダーとして立っています。このケーススタディは事件を掘り下げ、重要な脆弱性を強調し、サイバーレジリエンスを強化しようとするSalesforceユーザーと組織に洞察を提供します。

The Salesloft Drift Data Breach: A Perfect Storm

SalesLoftドリフトデータ侵害：完璧な嵐

The Salesloft Drift breaches of August 2025 represent a significant supply chain attack in SaaS history. Threat actor UNC6395 exploited OAuth token vulnerabilities to access sensitive data from over 700 organizations, including major cybersecurity vendors like Cloudflare, Palo Alto Networks, and Zscaler. It all started with a compromised GitHub account.

2025年8月のSalesloft Drift違反は、SaaSの歴史における重要なサプライチェーン攻撃を表しています。 Threat Actor UNC6395は、CloudFlare、Palo Alto Networks、Zscalerなどの主要なサイバーセキュリティベンダーを含む700を超える組織の機密データにアクセスするために、OAuthトークンの脆弱性を活用しました。それはすべて、侵害されたgithubアカウントから始まりました。

GitHub Account Breach: The Starting Point

GitHubアカウント違反：開始点

The attack began months before public disclosure, with UNC6395 gaining access to Salesloft's GitHub account in March 2025. This initial compromise, undetected for three months, allowed the attackers to conduct reconnaissance, download content, add guest users, and establish workflows for mass data exfiltration. This highlights the critical importance of securing code repositories and development infrastructure.

攻撃は、公開開示の数ヶ月前に始まり、UNC6395は2025年3月にSalesLoftのGitHubアカウントにアクセスできました。この最初の妥協は3か月間検出されず、攻撃者は偵察、コンテンツのダウンロード、ゲストユーザーの追加、および大量データ抽出のワークフローを確立することができました。これは、コードリポジトリと開発インフラストラクチャを保護することの重要な重要性を強調しています。

OAuth Token Theft: The Key to the Kingdom

oauthトークン盗難：王国の鍵

The attackers then exploited Drift's Amazon Web Services (AWS) environment to obtain OAuth tokens for Drift customers’ technology integrations. These tokens, acting as digital keys, granted access to user data across platforms like Salesforce, Google Workspace, and other business applications. This is a classic supply chain vulnerability – compromising one service to gain access to many others.

その後、攻撃者はDriftのAmazon Web Services（AWS）環境を悪用して、Driftの顧客のテクノロジー統合のためにOAuthトークンを取得しました。これらのトークンは、デジタルキーとして機能し、Salesforce、Google Workspace、その他のビジネスアプリケーションなどのプラットフォーム全体でユーザーデータへのアクセスを許可されました。これは古典的なサプライチェーンの脆弱性であり、他の多くの人々にアクセスするための1つのサービスを妥協します。

Salesforce Instances Targeted

ターゲットを絞ったSalesforceインスタンス

Between August 8 and 18, 2025, UNC6395 launched a systematic data exfiltration campaign targeting Salesforce instances connected through Drift integrations. The focus was on credential harvesting, aiming to enable secondary attacks and lateral movement across victim environments. This shows the long-term strategic thinking of sophisticated threat actors.

2025年8月8日から18日の間に、UNC6395は、ドリフト統合を通じて接続されたSalesforceインスタンスを対象とした体系的なデータ抽出キャンペーンを開始しました。焦点は、犠牲者の環境全体で二次攻撃と横方向の動きを可能にすることを目指して、資格収穫に焦点を当てていました。これは、洗練された脅威アクターの長期的な戦略的思考を示しています。

Key Takeaways and Mitigation Strategies

主要なポイントと緩和戦略

The Salesloft Drift breach exposes several interconnected security failures:

SalesLoft Drift Breachは、相互接続されたいくつかのセキュリティ障害を公開します。

• Inadequate Security Controls: The GitHub compromise points to weaknesses in securing code repositories and development infrastructure.
• Credential Management Shortcomings: The ability to steal OAuth tokens from AWS environments indicates significant gaps in credential management.
• Insufficient Oversight of Third-Party Integrations: Organizations lacked adequate monitoring and control over third-party integrations.
• Detection and Response Deficiencies: The extended duration of malicious activity reveals deficiencies in detection and response capabilities.

Immediate Response Actions

即時の応答アクション

• Implement robust OAuth token security hardening measures.
• Conduct thorough third-party integration reviews.
• Enhance monitoring and detection capabilities.

Strategic Security Improvements

戦略的セキュリティの改善

• Establish comprehensive supply chain risk management programs.
• Implement a Zero Trust architecture.
• Enhance development security practices.

The Big Picture: A Wake-Up Call for SaaS Security

全体像：SaaS Securityのモーニングコール

The Salesloft Drift breach serves as a critical reminder of the evolving threat landscape and the importance of proactive security measures. As supply chain attacks become more sophisticated, organizations must prioritize comprehensive, integrated security programs that can adapt to dynamic cyber threats. The incident underscores how interconnected the SaaS world is, and how vulnerabilities in one area can quickly cascade into widespread problems.

SalesLoft Drift違反は、進化する脅威の状況と積極的なセキュリティ対策の重要性を批判的に思い出させるものとして機能します。サプライチェーン攻撃がより洗練されるにつれて、組織は動的なサイバー脅威に適応できる包括的な統合セキュリティプログラムに優先順位を付ける必要があります。この事件は、SaaSの世界がどのように相互に関連しているか、そして1つの領域の脆弱性が広範囲にわたる問題に迅速にカスケードできる方法を強調しています。

Final Thoughts

最終的な考え

So, what's the takeaway? This whole Salesforce data breach saga is a bit of a mess, right? But hey, on the bright side, it's a fantastic learning opportunity. Let's use this as a chance to tighten up our security game and keep those digital bandits at bay. After all, a little paranoia never hurt anyone in cybersecurity!

それで、持ち帰りは何ですか？このセールスフォースデータ侵害のサガ全体は少し混乱していますよね？しかし、ちょっと、明るい面では、それは素晴らしい学習の機会です。これをセキュリティゲームを締め、それらのデジタルバンディットを寄せ付けないようにしましょう。結局のところ、小さなパラノイアはサイバーセキュリティで誰も傷つけることはありません！