サイバーセキュリティ投稿 2026/09/242026/09/24 17:23@CyberDesk タイムラインへ

Federal Bureau of Investigation

FBIが緊急警告、UNC6040とUNC6395がSalesforceインスタンスを攻撃

開始 2025/09/12

サイバーセキュリティ2026/09/24@CyberDesk
グーグル、Salesforce顧客を狙うUNC6040のボイスフィッシング攻撃を公表
SalesforceSalesforce Tower, 415, Mission Street, Rincon Hill, San Francisco, California, 94105, United States
開始 2025/06/04確定確度 88%1.3 年前Google^[1] Cloudの脅威インテリジェンスの投稿「通話の代償：ボイスフィッシングからデータ恐喝へ」（The Cost of a Call: From Voice Phishing to Data Extortion）の日付は「2025年6月4日」である。
グーグルの脅威研究者によると、電話でITサポートを装う集団が従業員を言いくるめて偽のData Loaderアプリを承認させ、その企業のSalesforceデータを大量に盗み出して恐喝に使っていた。
0.74
サイバーセキュリティ2026/09/24@CyberDesk
Salesforce、設定不備のExperience Cloudサイトからの大量窃取を警告
SalesforceSalesforce Tower, 415, Mission Street, Rincon Hill, San Francisco, California, 94105, United States
開始 2026/03/07 22:48確定確度 85%202 日前Salesforce^[1] Securityの投稿の日付は「2026年3月7日」（UTC 22時48分公開）。FINRA^[2]によれば、「2026年3月7日、Salesforceは、ShinyHuntersが設定不備のExperience Cloudゲストユーザープロファイルを積極的に悪用していると報告した」。
Salesforceによると、既知の脅威グループがマンディアントのツールを改変して公開中のExperience Cloudサイトを大量にスキャンし、権限が過大なゲストユーザープロファイルを通じてCRMデータを抜き取っていた。
0.73
サイバーセキュリティ2026/09/24@CyberDesk
ハッカー、盗んだSalesloft Driftのトークンで各社のSalesforceインスタンスを侵害
SalesloftAtlanta, Fulton County, Georgia, United States
2025/08/08〜2025/08/18確定確度 87%1.1 年前GTIGによれば、「2025年8月8日ごろから少なくとも2025年8月18日まで、攻撃者はサードパーティ製アプリケーションSalesloft^[2] Driftに関連する侵害されたOAuthトークンを通じて、Salesforceの顧客インスタンスを標的にした」。
SalesloftのチャットボットDriftから盗んだOAuthトークンを使い、攻撃集団UNC6395は数百社のSalesforceインスタンスからデータをエクスポートし、サポートケースの中からAWSキーやパスワード、Snowflakeトークンを探し出していた。
0.71
サイバーセキュリティ2026/09/24@CyberDesk
「Scattered Lapsus$ Hunters」がリークサイトを開設、Salesforceを恐喝
Salesforce Tower, 415, Mission Street, Rincon Hill, San Francisco, California, 94105, United StatesSalesforce
開始 2025/10/03確定確度 88%357 日前BleepingComputer^[1][2][3]の「2025年10月3日」付けの記事によれば、「本日、彼らは39社を掲載した新たなデータリークサイトを開設した」とあり、「10月10日の期限」を設けていた。
同集団は39社から盗んだSalesforceデータのサンプルを掲載し、Salesforceに対して10月10日までに支払わなければ約10億件のレコードを流出させると迫った。
0.66
サイバーセキュリティ2026/09/24@CyberDesk
Salesforce、「Scattered Lapsus$ Hunters」の身代金は支払わないと顧客に通知
SalesforceSalesforce Tower, 415, Mission Street, Rincon Hill, San Francisco, California, 94105, United States
開始 2025/10/07確定確度 86%353 日前BleepingComputer^[1][4]（2025年10月7日）によれば、「Salesforceは火曜日、顧客にメールで身代金を支払わないと伝えた」。火曜日は10月7日である。
同集団のリーク期限まで3日と迫るなか、Salesforceは顧客にメールで、いかなる恐喝要求にも応じず、交渉も支払いもしないと伝えた。
0.65
サイバーセキュリティ2026/09/24@CyberDesk
Cl0p、Oracle E-Business Suiteのデータを盗んだと主張するメールを経営幹部に送り始める
2300, Oracle Way, Lakeshore, Austin, Travis County, Texas, 78741, United StatesOracle
開始 2025/09/29確定確度 87%361 日前Google^[1] Threat Intelligence Groupによれば、「2025年9月29日から、Google Threat Intelligence Group（GTIG）とマンディアントは、CL0P恐喝ブランドとの関係を主張する攻撃者による大規模な新たな恐喝キャンペーンの追跡を開始した」。
恐喝ブランド「Cl0p」を名乗る集団が、各社のOracle E-Business Suiteシステムからデータを盗んだとして、経営幹部に大量のメールを送りつけ、支払いを要求し始めた。
0.64
サイバーセキュリティ2026/09/24@CyberDesk
オラクル、ShinyHuntersに悪用されたPeopleSoftのゼロデイ脆弱性に緊急修正
2300, Oracle Way, Lakeshore, Austin, Travis County, Texas, 78741, United StatesOracle
開始 2026/06/10確定確度 88%107 日前オラクルのセキュリティアラート・アドバイザリーCVE-2026-35273の変更履歴には「2026年6月10日 Rev 1. 初版」と記載されている。^[1]
オラクルは、PeopleSoft PeopleToolsのログイン不要でリモートコード実行が可能な脆弱性CVE-2026-35273（深刻度9.8）についてセキュリティアラートを出した。その時点でShinyHuntersは大学を中心に100以上の組織からデータを盗んでいた。
0.64
サイバーセキュリティ2026/09/24@CyberDesk
Salesforceへの期限切れ受け、ハッカーがカンタス航空とベトナム航空のデータを公開
QantasQantas Group Headquarters, 10, Bourke Road, Mascot, Sydney, New South Wales, 2020, Australia
開始 2025/10/11 3:30確定確度 87%349 日前Information Ageによれば、「データはまず土曜日のオーストラリア東部夏時間午後2時30分ごろ、一般のウェブ上のハッキングフォーラムに流出した」（2025年10月11日）。ダークウェブで無料公開される約1時間前である。^[1]
身代金の期限が過ぎると、Scattered Lapsus$ Huntersは6社から盗んだSalesforceデータを公開した。カンタス航空の顧客記録500万件と、ベトナム航空の730万件のメールアドレスが含まれていた。
0.64
サイバーセキュリティ2026/09/24@CyberDesk
Salesforce、顧客データへの不審なアクセスを受けGainsightのアプリを遮断
Gainsight350, Bay Street, Fisherman's Wharf, North Beach, San Francisco, California, 94133, United States
開始 2025/11/19確定確度 88%310 日前Gainsight^[1][3][4]のインシデントの時系列（太平洋標準時）によれば、「2025年11月19日午後、SalesforceがGainsightのSalesforce接続アプリに関わる異常な活動をGainsightに通知」。The Register^[5]は、Salesforceが11月19日（水）にトークンの無効化を発表したと報じている。
Salesforceは、未確認のIPアドレスから顧客のSalesforceデータへのAPI呼び出しを検知した後、Gainsightが公開するアプリが保持するすべてのトークンを無効化し、AppExchangeから削除した。
0.62
法律2026/09/24@LawDesk
2025年の顧客データ窃取めぐり、Salesforceに初の集団訴訟
Phillip Burton Federal Building & United States Courthouse, 450, Golden Gate Avenue, Civic Center, San Francisco, California, 94102, United StatesSalesforce
開始 2025/08/27確定確度 89%1.1 年前Scott v. Salesforce, Inc.（事件番号3:25-cv-07232）の訴状には「2025年8月27日提出」の印があり、CourtListener^[1][2][3]の訴訟記録でも2025年8月27日付けのエントリー1として掲載されている。
Farmers Insuranceの顧客がサンフランシスコの連邦地裁でSalesforceを提訴し、同社は法人顧客の顧客のデータが流出した侵害の「ハブ」だと主張した。
0.62
法律2026/09/24@LawDesk
判事、Salesforceの顧客データ侵害をめぐる集団訴訟の継続を認める
Phillip Burton Federal Building & United States Courthouse, 450, Golden Gate Avenue, Civic Center, San Francisco, California, 94102, United StatesSalesforce
開始 2026/09/14確定確度 85%11 日前In re Salesforce Customers Security Incident Litigationの命令は「2026年9月14日付け」で、同日に訴訟記録のエントリー110として登録された。^[1]
ジャクリーン・スコット・コーリー判事は、Salesforceの甘いOAuthのセキュリティによってハッカーがAllianz、Farmers、TransUnionの顧客データを盗めたとする主張の大半について、棄却を認めなかった。
0.62
サイバーセキュリティ2026/09/24@CyberDesk
オラクル、E-Business Suiteのゼロデイ脆弱性CVE-2025-61882に緊急パッチ
2300, Oracle Way, Lakeshore, Austin, Travis County, Texas, 78741, United StatesOracle
開始 2025/10/04確定確度 88%356 日前オラクルのセキュリティアラート・アドバイザリーCVE-2025-61882の変更履歴には「2025年10月4日　Rev 1. 初版」とある。^[1]
オラクルは定例外のセキュリティアラートで、Cl0pがデータ窃取に悪用していた、E-Business Suiteにあるログイン不要のリモートコード実行の脆弱性（深刻度9.8）を修正した。
0.62

確定

確度 89%

FBIのTLP:CLEAR警告の見出しには「2025年9月12日」とあり、FLASH番号は「FLASH-20250912-001」である。^[1]

開始: 2025年9月12日確度 90%出典：出典

FBIが緊急警告、UNC6040とUNC6395がSalesforceインスタンスを攻撃

原文から自動翻訳されています

元のタイトル: FBI Flash Warns UNC6040 and UNC6395 Are Raiding Salesforce Instances

FBIは、企業のSalesforceデータを盗む2つの集団の痕跡情報を公開した。一方はITサポートを装って従業員に電話をかけ、もう一方は盗んだSalesloft Driftのトークンを使っていた。

2025年9月12日、FBIは米国土安全保障省（DHS）とサイバーセキュリティ・インフラストラクチャー安全保障庁（CISA）と連携してFLASH-20250912-001を発表し、組織のSalesforceプラットフォームに対する「データ窃取と恐喝を目的とした侵入の増加に関与している」2つのサイバー犯罪集団、UNC6040とUNC6395の侵害の痕跡（IoC）を公開した^[1]。
UNC6040は2024年10月以降、ITサポートを装って被害組織のコールセンターに電話をかけ、フィッシングパネルを使い、従業員にlogin.salesforce.com/setup/connectで悪意のある接続アプリ（多くは改変されたData Loader）を承認させてきた。この手口は多要素認証（MFA）とパスワードリセットをすり抜ける^[1][3]。
UNC6040の被害者の中には、窃取から数日から数カ月後に、ShinyHuntersを名乗る恐喝メールを受け取ったところもあった^[1]。
UNC6395は2025年8月、SalesloftのAIチャットボットDriftの侵害されたOAuthトークンを使って被害者のSalesforceインスタンスからデータを持ち出していたが、8月20日にSalesloftとSalesforceがDriftのトークンをすべて無効化した^[1][2]。
警告は、Salesforceの接続ページを悪用したフィッシングリンクを含む両集団のIPアドレスとURLを列挙し、被害者に地元のFBIサイバー捜査班への報告を求めている^[1]。

@CyberDesk

参考資料 3確度 89%

最初の項目は常にピンの出典です。全体の確度は、各資料が上記の開始・終了時刻をどれだけ強く裏付けているかの加重平均です。最新の資料より180日古くなるごとに、重みは半分になります。

[1]90%
ic3.gov/CSA/2025/250912.pdf
ic3.gov· 投稿 2026年9月24日· 開始 2025年9月12日 ✓· スコアの 73%
FBIのTLP:CLEAR警告の見出しには「2025年9月12日」とあり、FLASH番号は「FLASH-20250912-001」である。
[2]85%
Widespread Data Theft Targets Salesforce Instances via Salesloft Drift
cloud.google.com· 公開 2025年8月26日· スコアの 16%
GTIG's advisory on UNC6395's use of stolen Drift OAuth tokens between 8 and 18 August 2025.^[1]
[3]85%
The Cost of a Call: From Voice Phishing to Data Extortion
cloud.google.com· 公開 2025年6月4日· スコアの 12%
Google^[2] Threat Intelligence Group's original report on UNC6040's vishing and malicious Data Loader apps, which the FLASH's description follows.

修正を提案

足りない点や誤りがありますか？このピンを裏付けるリンク、別の開始日・終了日とその理由、欠けている情報や誤っている情報を、自由に書いてください。AIがこのピンの出典と照らし合わせ、より良い情報源を探し、裏付けとなるページがあれば参考資料として追加します。ピン自身の出典が引き続き最も重視されます。

スレッド

このピンに返信

サイバーセキュリティ2026/09/24@CyberDesk
グーグル、Salesforce顧客を狙うUNC6040のボイスフィッシング攻撃を公表
SalesforceSalesforce Tower, 415, Mission Street, Rincon Hill, San Francisco, California, 94105, United States
開始 2025/06/04確定確度 88%1.3 年前Google^[1] Cloudの脅威インテリジェンスの投稿「通話の代償：ボイスフィッシングからデータ恐喝へ」（The Cost of a Call: From Voice Phishing to Data Extortion）の日付は「2025年6月4日」である。
グーグルの脅威研究者によると、電話でITサポートを装う集団が従業員を言いくるめて偽のData Loaderアプリを承認させ、その企業のSalesforceデータを大量に盗み出して恐喝に使っていた。
0.74
サイバーセキュリティ2026/09/24@CyberDesk
Salesforce、設定不備のExperience Cloudサイトからの大量窃取を警告
SalesforceSalesforce Tower, 415, Mission Street, Rincon Hill, San Francisco, California, 94105, United States
開始 2026/03/07 22:48確定確度 85%202 日前Salesforce^[1] Securityの投稿の日付は「2026年3月7日」（UTC 22時48分公開）。FINRA^[2]によれば、「2026年3月7日、Salesforceは、ShinyHuntersが設定不備のExperience Cloudゲストユーザープロファイルを積極的に悪用していると報告した」。
Salesforceによると、既知の脅威グループがマンディアントのツールを改変して公開中のExperience Cloudサイトを大量にスキャンし、権限が過大なゲストユーザープロファイルを通じてCRMデータを抜き取っていた。
0.73
サイバーセキュリティ2026/09/24@CyberDesk
ハッカー、盗んだSalesloft Driftのトークンで各社のSalesforceインスタンスを侵害
SalesloftAtlanta, Fulton County, Georgia, United States
2025/08/08〜2025/08/18確定確度 87%1.1 年前GTIGによれば、「2025年8月8日ごろから少なくとも2025年8月18日まで、攻撃者はサードパーティ製アプリケーションSalesloft^[2] Driftに関連する侵害されたOAuthトークンを通じて、Salesforceの顧客インスタンスを標的にした」。
SalesloftのチャットボットDriftから盗んだOAuthトークンを使い、攻撃集団UNC6395は数百社のSalesforceインスタンスからデータをエクスポートし、サポートケースの中からAWSキーやパスワード、Snowflakeトークンを探し出していた。
0.71
サイバーセキュリティ2026/09/24@CyberDesk
「Scattered Lapsus$ Hunters」がリークサイトを開設、Salesforceを恐喝
Salesforce Tower, 415, Mission Street, Rincon Hill, San Francisco, California, 94105, United StatesSalesforce
開始 2025/10/03確定確度 88%357 日前BleepingComputer^[1][2][3]の「2025年10月3日」付けの記事によれば、「本日、彼らは39社を掲載した新たなデータリークサイトを開設した」とあり、「10月10日の期限」を設けていた。
同集団は39社から盗んだSalesforceデータのサンプルを掲載し、Salesforceに対して10月10日までに支払わなければ約10億件のレコードを流出させると迫った。
0.66
サイバーセキュリティ2026/09/24@CyberDesk
Salesforce、「Scattered Lapsus$ Hunters」の身代金は支払わないと顧客に通知
SalesforceSalesforce Tower, 415, Mission Street, Rincon Hill, San Francisco, California, 94105, United States
開始 2025/10/07確定確度 86%353 日前BleepingComputer^[1][4]（2025年10月7日）によれば、「Salesforceは火曜日、顧客にメールで身代金を支払わないと伝えた」。火曜日は10月7日である。
同集団のリーク期限まで3日と迫るなか、Salesforceは顧客にメールで、いかなる恐喝要求にも応じず、交渉も支払いもしないと伝えた。
0.65
サイバーセキュリティ2026/09/24@CyberDesk
Cl0p、Oracle E-Business Suiteのデータを盗んだと主張するメールを経営幹部に送り始める
2300, Oracle Way, Lakeshore, Austin, Travis County, Texas, 78741, United StatesOracle
開始 2025/09/29確定確度 87%361 日前Google^[1] Threat Intelligence Groupによれば、「2025年9月29日から、Google Threat Intelligence Group（GTIG）とマンディアントは、CL0P恐喝ブランドとの関係を主張する攻撃者による大規模な新たな恐喝キャンペーンの追跡を開始した」。
恐喝ブランド「Cl0p」を名乗る集団が、各社のOracle E-Business Suiteシステムからデータを盗んだとして、経営幹部に大量のメールを送りつけ、支払いを要求し始めた。
0.64
サイバーセキュリティ2026/09/24@CyberDesk
オラクル、ShinyHuntersに悪用されたPeopleSoftのゼロデイ脆弱性に緊急修正
2300, Oracle Way, Lakeshore, Austin, Travis County, Texas, 78741, United StatesOracle
開始 2026/06/10確定確度 88%107 日前オラクルのセキュリティアラート・アドバイザリーCVE-2026-35273の変更履歴には「2026年6月10日 Rev 1. 初版」と記載されている。^[1]
オラクルは、PeopleSoft PeopleToolsのログイン不要でリモートコード実行が可能な脆弱性CVE-2026-35273（深刻度9.8）についてセキュリティアラートを出した。その時点でShinyHuntersは大学を中心に100以上の組織からデータを盗んでいた。
0.64
サイバーセキュリティ2026/09/24@CyberDesk
Salesforceへの期限切れ受け、ハッカーがカンタス航空とベトナム航空のデータを公開
QantasQantas Group Headquarters, 10, Bourke Road, Mascot, Sydney, New South Wales, 2020, Australia
開始 2025/10/11 3:30確定確度 87%349 日前Information Ageによれば、「データはまず土曜日のオーストラリア東部夏時間午後2時30分ごろ、一般のウェブ上のハッキングフォーラムに流出した」（2025年10月11日）。ダークウェブで無料公開される約1時間前である。^[1]
身代金の期限が過ぎると、Scattered Lapsus$ Huntersは6社から盗んだSalesforceデータを公開した。カンタス航空の顧客記録500万件と、ベトナム航空の730万件のメールアドレスが含まれていた。
0.64
サイバーセキュリティ2026/09/24@CyberDesk
Salesforce、顧客データへの不審なアクセスを受けGainsightのアプリを遮断
Gainsight350, Bay Street, Fisherman's Wharf, North Beach, San Francisco, California, 94133, United States
開始 2025/11/19確定確度 88%310 日前Gainsight^[1][3][4]のインシデントの時系列（太平洋標準時）によれば、「2025年11月19日午後、SalesforceがGainsightのSalesforce接続アプリに関わる異常な活動をGainsightに通知」。The Register^[5]は、Salesforceが11月19日（水）にトークンの無効化を発表したと報じている。
Salesforceは、未確認のIPアドレスから顧客のSalesforceデータへのAPI呼び出しを検知した後、Gainsightが公開するアプリが保持するすべてのトークンを無効化し、AppExchangeから削除した。
0.62
法律2026/09/24@LawDesk
2025年の顧客データ窃取めぐり、Salesforceに初の集団訴訟
Phillip Burton Federal Building & United States Courthouse, 450, Golden Gate Avenue, Civic Center, San Francisco, California, 94102, United StatesSalesforce
開始 2025/08/27確定確度 89%1.1 年前Scott v. Salesforce, Inc.（事件番号3:25-cv-07232）の訴状には「2025年8月27日提出」の印があり、CourtListener^[1][2][3]の訴訟記録でも2025年8月27日付けのエントリー1として掲載されている。
Farmers Insuranceの顧客がサンフランシスコの連邦地裁でSalesforceを提訴し、同社は法人顧客の顧客のデータが流出した侵害の「ハブ」だと主張した。
0.62
法律2026/09/24@LawDesk
判事、Salesforceの顧客データ侵害をめぐる集団訴訟の継続を認める
Phillip Burton Federal Building & United States Courthouse, 450, Golden Gate Avenue, Civic Center, San Francisco, California, 94102, United StatesSalesforce
開始 2026/09/14確定確度 85%11 日前In re Salesforce Customers Security Incident Litigationの命令は「2026年9月14日付け」で、同日に訴訟記録のエントリー110として登録された。^[1]
ジャクリーン・スコット・コーリー判事は、Salesforceの甘いOAuthのセキュリティによってハッカーがAllianz、Farmers、TransUnionの顧客データを盗めたとする主張の大半について、棄却を認めなかった。
0.62
サイバーセキュリティ2026/09/24@CyberDesk
オラクル、E-Business Suiteのゼロデイ脆弱性CVE-2025-61882に緊急パッチ
2300, Oracle Way, Lakeshore, Austin, Travis County, Texas, 78741, United StatesOracle
開始 2025/10/04確定確度 88%356 日前オラクルのセキュリティアラート・アドバイザリーCVE-2025-61882の変更履歴には「2025年10月4日　Rev 1. 初版」とある。^[1]
オラクルは定例外のセキュリティアラートで、Cl0pがデータ窃取に悪用していた、E-Business Suiteにあるログイン不要のリモートコード実行の脆弱性（深刻度9.8）を修正した。
0.62

似たピン

参考資料 3確度 89%

修正を提案

コメント

スレッド

似たピン