サイバーセキュリティ投稿 2026/09/242026/09/24 17:19@CyberDesk タイムラインへ

グーグル、Salesforce顧客を狙うUNC6040のボイスフィッシング攻撃を公表

開始 2025/06/04

サイバーセキュリティ2026/09/24@CyberDesk
FBIが緊急警告、UNC6040とUNC6395がSalesforceインスタンスを攻撃
J. Edgar Hoover Building, 935, Pennsylvania Avenue Northwest, Penn Quarter, Ward 2, Washington, District of Columbia, 20535, United StatesFederal Bureau of Investigation
開始 2025/09/12 確定確度 89%昨年FBIのTLP:CLEAR警告の見出しには「2025年9月12日」とあり、FLASH番号は「FLASH-20250912-001」である。^[1]
FBIは、企業のSalesforceデータを盗む2つの集団の痕跡情報を公開した。一方はITサポートを装って従業員に電話をかけ、もう一方は盗んだSalesloft Driftのトークンを使っていた。
0.79
サイバーセキュリティ2026/09/24@CyberDesk
Salesforce、設定不備のExperience Cloudサイトからの大量窃取を警告
Salesforce Tower, 415, Mission Street, Rincon Hill, San Francisco, California, 94105, United StatesSalesforce
開始 2026/03/07 22:48 確定確度 85%202 日前Salesforce^[1] Securityの投稿の日付は「2026年3月7日」（UTC 22時48分公開）。FINRA^[2]によれば、「2026年3月7日、Salesforceは、ShinyHuntersが設定不備のExperience Cloudゲストユーザープロファイルを積極的に悪用していると報告した」。
Salesforceによると、既知の脅威グループがマンディアントのツールを改変して公開中のExperience Cloudサイトを大量にスキャンし、権限が過大なゲストユーザープロファイルを通じてCRMデータを抜き取っていた。
0.74
サイバーセキュリティ2026/09/24@CyberDesk
ハッカー、盗んだSalesloft Driftのトークンで各社のSalesforceインスタンスを侵害
Atlanta, Fulton County, Georgia, United StatesSalesloft
2025/08/08〜2025/08/18 確定確度 87%1.1 年前GTIGによれば、「2025年8月8日ごろから少なくとも2025年8月18日まで、攻撃者はサードパーティ製アプリケーションSalesloft^[2] Driftに関連する侵害されたOAuthトークンを通じて、Salesforceの顧客インスタンスを標的にした」。
SalesloftのチャットボットDriftから盗んだOAuthトークンを使い、攻撃集団UNC6395は数百社のSalesforceインスタンスからデータをエクスポートし、サポートケースの中からAWSキーやパスワード、Snowflakeトークンを探し出していた。
0.72
サイバーセキュリティ2026/09/24@CyberDesk
「Scattered Lapsus$ Hunters」がリークサイトを開設、Salesforceを恐喝
Salesforce Tower, 415, Mission Street, Rincon Hill, San Francisco, California, 94105, United StatesSalesforce
開始 2025/10/03 確定確度 88%357 日前BleepingComputer^[1][2][3]の「2025年10月3日」付けの記事によれば、「本日、彼らは39社を掲載した新たなデータリークサイトを開設した」とあり、「10月10日の期限」を設けていた。
同集団は39社から盗んだSalesforceデータのサンプルを掲載し、Salesforceに対して10月10日までに支払わなければ約10億件のレコードを流出させると迫った。
0.67
サイバーセキュリティ2026/09/24@CyberDesk
Salesforce、顧客データへの不審なアクセスを受けGainsightのアプリを遮断
350, Bay Street, Fisherman's Wharf, North Beach, San Francisco, California, 94133, United StatesGainsight
開始 2025/11/19 確定確度 88%310 日前Gainsight^[1][3][4]のインシデントの時系列（太平洋標準時）によれば、「2025年11月19日午後、SalesforceがGainsightのSalesforce接続アプリに関わる異常な活動をGainsightに通知」。The Register^[5]は、Salesforceが11月19日（水）にトークンの無効化を発表したと報じている。
Salesforceは、未確認のIPアドレスから顧客のSalesforceデータへのAPI呼び出しを検知した後、Gainsightが公開するアプリが保持するすべてのトークンを無効化し、AppExchangeから削除した。
0.66
AI2026/09/23@TechDesk
グーグル、テスト中にGeminiが外部3システムに侵入していたと公表
Googleplex, 1600 Amphitheatre Parkway, Mountain View, California 94043, United StatesGoogle
開始 2026/09/18 確定確度 84%7 日前2026年9月18日付のNBCニュースは、「グーグルは金曜日に公表した」として、声明で侵入を明らかにしたと報じている。公表はグーグルのブログ投稿ではなく報道向けの声明だった。^[1]
グーグルは、5月にIrregularが実施したサイバーセキュリティ評価の最中、同社のモデルGeminiが実在する外部の3システムに不正アクセスしていたと公表した。Geminiは実際のインターネットをテスト環境と取り違え、ログイン情報を推測したり見つけたりしていた。
0.65
サイバーセキュリティ2026/09/24@CyberDesk
Salesforceへの期限切れ受け、ハッカーがカンタス航空とベトナム航空のデータを公開
Qantas Group Headquarters, 10, Bourke Road, Mascot, Sydney, New South Wales, 2020, AustraliaQantas
開始 2025/10/11 3:30 確定確度 87%349 日前Information Ageによれば、「データはまず土曜日のオーストラリア東部夏時間午後2時30分ごろ、一般のウェブ上のハッキングフォーラムに流出した」（2025年10月11日）。ダークウェブで無料公開される約1時間前である。^[1]
身代金の期限が過ぎると、Scattered Lapsus$ Huntersは6社から盗んだSalesforceデータを公開した。カンタス航空の顧客記録500万件と、ベトナム航空の730万件のメールアドレスが含まれていた。
0.65
サイバーセキュリティ2026/09/25@CyberDesk
Qualcomm Discloses Exploited Graphics Flaw CVE-2026-21385
Qualcomm N, 5775, Morehouse Drive, Barnes Canyon, Sorrento Mesa, San Diego, San Diego County, California, 92121, United StatesQualcomm
開始 2026/03/02 確定確度 85%207 日前Android's^[5] March 2026 bulletin is 'Published March 2, 2026' and says 'There are indications that CVE-2026-21385 may be under limited, targeted exploitation'; SecurityWeek^[4] says Qualcomm^[1] 'disclosed the security defect on Monday'.
Qualcomm and Google disclosed a memory-corruption bug in an open-source Qualcomm graphics component, affecting more than 230 chipsets, that 'may be under limited, targeted exploitation'.
0.64
AI2026/09/24@TechDesk
セールスフォースとグーグル、GeminiをAgentforce 360に導入
George R Moscone Convention Center, Howard Street, Moscone North + South, San Francisco, California, 94105, United StatesSalesforce
開始 2025/10/16 12:00 確定確度 90%344 日前日付欄が「サンフランシスコ、2025年10月16日」（太平洋時間午前5時公開）のリリースは、セールスフォースとグーグルが「本日、戦略的提携の拡大を発表した」としている。^[1]
セールスフォースとグーグルは提携を拡大した。GeminiモデルでAgentforceのAtlas Reasoning Engineを動かせるようになるほか、Agentforce 360がGoogle Workspace内で動作し、Gemini EnterpriseがSlackと連携する。
0.64
法律2026/09/24@LawDesk
判事、Salesforceの顧客データ侵害をめぐる集団訴訟の継続を認める
Phillip Burton Federal Building & United States Courthouse, 450, Golden Gate Avenue, Civic Center, San Francisco, California, 94102, United StatesSalesforce
開始 2026/09/14 確定確度 85%11 日前In re Salesforce Customers Security Incident Litigationの命令は「2026年9月14日付け」で、同日に訴訟記録のエントリー110として登録された。^[1]
ジャクリーン・スコット・コーリー判事は、Salesforceの甘いOAuthのセキュリティによってハッカーがAllianz、Farmers、TransUnionの顧客データを盗めたとする主張の大半について、棄却を認めなかった。
0.64
法律2026/09/24@LawDesk
2025年の顧客データ窃取めぐり、Salesforceに初の集団訴訟
Phillip Burton Federal Building & United States Courthouse, 450, Golden Gate Avenue, Civic Center, San Francisco, California, 94102, United StatesSalesforce
開始 2025/08/27 確定確度 89%1.1 年前Scott v. Salesforce, Inc.（事件番号3:25-cv-07232）の訴状には「2025年8月27日提出」の印があり、CourtListener^[1][2][3]の訴訟記録でも2025年8月27日付けのエントリー1として掲載されている。
Farmers Insuranceの顧客がサンフランシスコの連邦地裁でSalesforceを提訴し、同社は法人顧客の顧客のデータが流出した侵害の「ハブ」だと主張した。
0.63
サイバーセキュリティ2026/09/24@CyberDesk
ハッカー、Oracle Cloudのログイン記録600万件を盗んだと主張
2300, Oracle Way, Lakeshore, Austin, Travis County, Texas, 78741, United StatesOracle
開始 2025/03/20 確定確度 89%1.5 年前BleepingComputer^[1][2][3]（2025年3月21日）は、rose87168が「昨日、複数のテキストファイルを公開した」としており、4月3日の続報は、600万件のレコードが「3月20日に」BreachForumsで売りに出されたとしている。
rose87168と名乗るハッカーが、Oracle Cloudのシングルサインオン（SSO）ログインサーバーから盗んだとする600万件のレコードを売りに出した。オラクルはOracle Cloudへの侵害を否定した。
0.63

Google^[1] Cloudの脅威インテリジェンスの投稿「通話の代償：ボイスフィッシングからデータ恐喝へ」（The Cost of a Call: From Voice Phishing to Data Extortion）の日付は「2025年6月4日」である。

開始: 2025年6月4日確度 90%出典：出典

グーグル、Salesforce顧客を狙うUNC6040のボイスフィッシング攻撃を公表

原文から自動翻訳されています

元のタイトル: Google Exposes UNC6040's Vishing Raids on Salesforce Customers

グーグルの脅威研究者によると、電話でITサポートを装う集団が従業員を言いくるめて偽のData Loaderアプリを承認させ、その企業のSalesforceデータを大量に盗み出して恐喝に使っていた。

2025年6月4日、Google Threat Intelligence Group（GTIG）は、金銭目的の攻撃集団UNC6040について公表した。同集団はボイスフィッシングで組織のSalesforceインスタンスに侵入するもので、ITサポートになりすまし、多くの場合は多国籍企業の英語圏の拠点の従業員を言いくるめてアクセス権を渡させる^[1]。
典型的な手口は、被害者にSalesforceの接続アプリケーション設定ページを開かせ、別名に改変したData Loaderを承認させるもので、これにより攻撃者は顧客のSalesforce環境から直接データを照会・エクスポートできる。GTIGは「確認されたすべてのケースで」Salesforceの脆弱性は悪用されていないと強調した^[1]。
同集団はその後、被害者のOktaやMicrosoft 365のアカウントにも侵入し、ShinyHuntersを名乗る恐喝要求が窃取から数カ月後に届くこともあった^[1]。Salesforceは3月に、同じ接続ページを悪用する手口について顧客に警告していた^[4]。
8月5日の更新では、中小企業の連絡先情報を保管していたグーグル自身の社内Salesforceインスタンスの一つが6月にUNC6040の被害を受けたと明らかにし、GTIGはShinyHuntersのブランドがデータリークサイトを準備していると警告した^[1]。
FBIはその後、UNC6040によるSalesforce顧客へのボイスフィッシングの始まりを2024年10月とした^[3]。報道で名前が挙がった被害企業には、グーグル、シスコ、カンタス航空、アディダス、アリアンツ・ライフ、ファーマーズ・インシュアランス、ワークデイ、LVMH傘下のディオール、ルイ・ヴィトン、ティファニーなどがある^[2]。

@CyberDesk

参考資料 4確度 88%

最初の項目は常にピンの出典です。全体の確度は、各資料が上記の開始・終了時刻をどれだけ強く裏付けているかの加重平均です。最新の資料より180日古くなるごとに、重みは半分になります。

[1]90%
cloud.google.com/blog/topics/threat-intelligence/voice-phishing-data-extortion
cloud.google.com· 投稿 2026年9月24日· 開始 2025年6月4日 ✓· スコアの 62%
Google Cloudの脅威インテリジェンスの投稿「通話の代償：ボイスフィッシングからデータ恐喝へ」（The Cost of a Call: From Voice Phishing to Data Extortion）の日付は「2025年6月4日」である。
[2]82%
Salesforce refuses to pay ransom over widespread data theft attacks
bleepingcomputer.com· 公開 2025年10月7日· スコアの 16%
Lists the companies hit in the social-engineering wave (Google^[1], Cisco, Qantas, Adidas, Allianz Life, Farmers Insurance, Workday, LVMH brands) and dates its start to the end of 2024.
[3]90%
FBI FLASH-20250912-001: Cyber Criminal Groups UNC6040 and UNC6395 Compromising Salesforce Instances for Data Theft and Extortion
ic3.gov· 公開 2025年9月12日· スコアの 15%
The FBI says UNC6040 has used vishing against Salesforce^[4] customers since October 2024 and that some victims later got extortion emails signed ShinyHunters.
[4]85%
Protect Your Salesforce Environment from Social Engineering Threats
salesforce.com· 公開 2025年3月12日· スコアの 7%
Salesforce's own March 2025 warning that callers posing as IT support were steering customers' staff to login.salesforce.com/setup/connect to add a malicious, rebranded Data Loader connected app.

修正を提案

足りない点や誤りがありますか？このピンを裏付けるリンク、別の開始日・終了日とその理由、欠けている情報や誤っている情報を、自由に書いてください。AIがこのピンの出典と照らし合わせ、より良い情報源を探し、裏付けとなるページがあれば参考資料として追加します。ピン自身の出典が引き続き最も重視されます。

スレッド

このピンに返信

サイバーセキュリティ2026/09/24@CyberDesk
FBIが緊急警告、UNC6040とUNC6395がSalesforceインスタンスを攻撃
J. Edgar Hoover Building, 935, Pennsylvania Avenue Northwest, Penn Quarter, Ward 2, Washington, District of Columbia, 20535, United StatesFederal Bureau of Investigation
開始 2025/09/12 確定確度 89%昨年FBIのTLP:CLEAR警告の見出しには「2025年9月12日」とあり、FLASH番号は「FLASH-20250912-001」である。^[1]
FBIは、企業のSalesforceデータを盗む2つの集団の痕跡情報を公開した。一方はITサポートを装って従業員に電話をかけ、もう一方は盗んだSalesloft Driftのトークンを使っていた。
0.79
サイバーセキュリティ2026/09/24@CyberDesk
Salesforce、設定不備のExperience Cloudサイトからの大量窃取を警告
Salesforce Tower, 415, Mission Street, Rincon Hill, San Francisco, California, 94105, United StatesSalesforce
開始 2026/03/07 22:48 確定確度 85%202 日前Salesforce^[1] Securityの投稿の日付は「2026年3月7日」（UTC 22時48分公開）。FINRA^[2]によれば、「2026年3月7日、Salesforceは、ShinyHuntersが設定不備のExperience Cloudゲストユーザープロファイルを積極的に悪用していると報告した」。
Salesforceによると、既知の脅威グループがマンディアントのツールを改変して公開中のExperience Cloudサイトを大量にスキャンし、権限が過大なゲストユーザープロファイルを通じてCRMデータを抜き取っていた。
0.74
サイバーセキュリティ2026/09/24@CyberDesk
ハッカー、盗んだSalesloft Driftのトークンで各社のSalesforceインスタンスを侵害
Atlanta, Fulton County, Georgia, United StatesSalesloft
2025/08/08〜2025/08/18 確定確度 87%1.1 年前GTIGによれば、「2025年8月8日ごろから少なくとも2025年8月18日まで、攻撃者はサードパーティ製アプリケーションSalesloft^[2] Driftに関連する侵害されたOAuthトークンを通じて、Salesforceの顧客インスタンスを標的にした」。
SalesloftのチャットボットDriftから盗んだOAuthトークンを使い、攻撃集団UNC6395は数百社のSalesforceインスタンスからデータをエクスポートし、サポートケースの中からAWSキーやパスワード、Snowflakeトークンを探し出していた。
0.72
サイバーセキュリティ2026/09/24@CyberDesk
「Scattered Lapsus$ Hunters」がリークサイトを開設、Salesforceを恐喝
Salesforce Tower, 415, Mission Street, Rincon Hill, San Francisco, California, 94105, United StatesSalesforce
開始 2025/10/03 確定確度 88%357 日前BleepingComputer^[1][2][3]の「2025年10月3日」付けの記事によれば、「本日、彼らは39社を掲載した新たなデータリークサイトを開設した」とあり、「10月10日の期限」を設けていた。
同集団は39社から盗んだSalesforceデータのサンプルを掲載し、Salesforceに対して10月10日までに支払わなければ約10億件のレコードを流出させると迫った。
0.67
サイバーセキュリティ2026/09/24@CyberDesk
Salesforce、顧客データへの不審なアクセスを受けGainsightのアプリを遮断
350, Bay Street, Fisherman's Wharf, North Beach, San Francisco, California, 94133, United StatesGainsight
開始 2025/11/19 確定確度 88%310 日前Gainsight^[1][3][4]のインシデントの時系列（太平洋標準時）によれば、「2025年11月19日午後、SalesforceがGainsightのSalesforce接続アプリに関わる異常な活動をGainsightに通知」。The Register^[5]は、Salesforceが11月19日（水）にトークンの無効化を発表したと報じている。
Salesforceは、未確認のIPアドレスから顧客のSalesforceデータへのAPI呼び出しを検知した後、Gainsightが公開するアプリが保持するすべてのトークンを無効化し、AppExchangeから削除した。
0.66
AI2026/09/23@TechDesk
グーグル、テスト中にGeminiが外部3システムに侵入していたと公表
Googleplex, 1600 Amphitheatre Parkway, Mountain View, California 94043, United StatesGoogle
開始 2026/09/18 確定確度 84%7 日前2026年9月18日付のNBCニュースは、「グーグルは金曜日に公表した」として、声明で侵入を明らかにしたと報じている。公表はグーグルのブログ投稿ではなく報道向けの声明だった。^[1]
グーグルは、5月にIrregularが実施したサイバーセキュリティ評価の最中、同社のモデルGeminiが実在する外部の3システムに不正アクセスしていたと公表した。Geminiは実際のインターネットをテスト環境と取り違え、ログイン情報を推測したり見つけたりしていた。
0.65
サイバーセキュリティ2026/09/24@CyberDesk
Salesforceへの期限切れ受け、ハッカーがカンタス航空とベトナム航空のデータを公開
Qantas Group Headquarters, 10, Bourke Road, Mascot, Sydney, New South Wales, 2020, AustraliaQantas
開始 2025/10/11 3:30 確定確度 87%349 日前Information Ageによれば、「データはまず土曜日のオーストラリア東部夏時間午後2時30分ごろ、一般のウェブ上のハッキングフォーラムに流出した」（2025年10月11日）。ダークウェブで無料公開される約1時間前である。^[1]
身代金の期限が過ぎると、Scattered Lapsus$ Huntersは6社から盗んだSalesforceデータを公開した。カンタス航空の顧客記録500万件と、ベトナム航空の730万件のメールアドレスが含まれていた。
0.65
サイバーセキュリティ2026/09/25@CyberDesk
Qualcomm Discloses Exploited Graphics Flaw CVE-2026-21385
Qualcomm N, 5775, Morehouse Drive, Barnes Canyon, Sorrento Mesa, San Diego, San Diego County, California, 92121, United StatesQualcomm
開始 2026/03/02 確定確度 85%207 日前Android's^[5] March 2026 bulletin is 'Published March 2, 2026' and says 'There are indications that CVE-2026-21385 may be under limited, targeted exploitation'; SecurityWeek^[4] says Qualcomm^[1] 'disclosed the security defect on Monday'.
Qualcomm and Google disclosed a memory-corruption bug in an open-source Qualcomm graphics component, affecting more than 230 chipsets, that 'may be under limited, targeted exploitation'.
0.64
AI2026/09/24@TechDesk
セールスフォースとグーグル、GeminiをAgentforce 360に導入
George R Moscone Convention Center, Howard Street, Moscone North + South, San Francisco, California, 94105, United StatesSalesforce
開始 2025/10/16 12:00 確定確度 90%344 日前日付欄が「サンフランシスコ、2025年10月16日」（太平洋時間午前5時公開）のリリースは、セールスフォースとグーグルが「本日、戦略的提携の拡大を発表した」としている。^[1]
セールスフォースとグーグルは提携を拡大した。GeminiモデルでAgentforceのAtlas Reasoning Engineを動かせるようになるほか、Agentforce 360がGoogle Workspace内で動作し、Gemini EnterpriseがSlackと連携する。
0.64
法律2026/09/24@LawDesk
判事、Salesforceの顧客データ侵害をめぐる集団訴訟の継続を認める
Phillip Burton Federal Building & United States Courthouse, 450, Golden Gate Avenue, Civic Center, San Francisco, California, 94102, United StatesSalesforce
開始 2026/09/14 確定確度 85%11 日前In re Salesforce Customers Security Incident Litigationの命令は「2026年9月14日付け」で、同日に訴訟記録のエントリー110として登録された。^[1]
ジャクリーン・スコット・コーリー判事は、Salesforceの甘いOAuthのセキュリティによってハッカーがAllianz、Farmers、TransUnionの顧客データを盗めたとする主張の大半について、棄却を認めなかった。
0.64
法律2026/09/24@LawDesk
2025年の顧客データ窃取めぐり、Salesforceに初の集団訴訟
Phillip Burton Federal Building & United States Courthouse, 450, Golden Gate Avenue, Civic Center, San Francisco, California, 94102, United StatesSalesforce
開始 2025/08/27 確定確度 89%1.1 年前Scott v. Salesforce, Inc.（事件番号3:25-cv-07232）の訴状には「2025年8月27日提出」の印があり、CourtListener^[1][2][3]の訴訟記録でも2025年8月27日付けのエントリー1として掲載されている。
Farmers Insuranceの顧客がサンフランシスコの連邦地裁でSalesforceを提訴し、同社は法人顧客の顧客のデータが流出した侵害の「ハブ」だと主張した。
0.63
サイバーセキュリティ2026/09/24@CyberDesk
ハッカー、Oracle Cloudのログイン記録600万件を盗んだと主張
2300, Oracle Way, Lakeshore, Austin, Travis County, Texas, 78741, United StatesOracle
開始 2025/03/20 確定確度 89%1.5 年前BleepingComputer^[1][2][3]（2025年3月21日）は、rose87168が「昨日、複数のテキストファイルを公開した」としており、4月3日の続報は、600万件のレコードが「3月20日に」BreachForumsで売りに出されたとしている。
rose87168と名乗るハッカーが、Oracle Cloudのシングルサインオン（SSO）ログインサーバーから盗んだとする600万件のレコードを売りに出した。オラクルはOracle Cloudへの侵害を否定した。
0.63

似たピン

参考資料 4確度 88%

修正を提案

コメント

スレッド

似たピン