セキュリティ大手11社のCRM流出。日本にも影響か

情報の灯台

2026年6月24日 06:0200

バンクーバーの競合分析SaaS「Klue」が侵害され、Jamf、Tanium、Recorded Futureなどセキュリティ大手を含む少なくとも12社のSalesforce CRMデータが窃取された。Jamf、Tanium、Recorded Futureはいずれも日本法人を持ち、国内企業の取引先情報を含むデータが流出した可能性がある。6月23日にはLastPassも被害を公表し、影響は広がり続けている。

使い捨ての鍵が残っていた

現地時間6月12日、Klueのインテグレーション基盤で不正アクティビティが検出された。侵入経路は、かつてサードパーティ連携のプロトタイプ用に作られ、そのまま放置されていたレガシー認証情報だった。

Klueは競合インテリジェンスを提供するSaaSで、顧客企業のSalesforceやGongにOAuthトークンで接続し、営業データを取り込む仕組みだ。攻撃者はこのレガシー認証情報を使ってKlueの基盤に侵入し、顧客がKlueに預けていたOAuthトークンを一括で収穫するコードを仕込んだ。

OAuthトークンはパスワードやMFAを必要としない。Salesforce側から見れば、トークンの持ち主はKlueそのものだ。攻撃者はこのトークンを使い、Python自動スクリプトでSalesforce REST APIを叩いた。15分間で約1,000件のクエリを実行し、6時間以上にわたってデータを抜き続けたと報告されている。

Klue侵害によるOAuthトークン悪用の攻撃フロー

被害は12社以上、さらに拡大中

影響範囲はなお広がっている。Klueの顧客は約500社とされ、Huntressは「数百のKlue顧客」が影響を受けたとしている。6月24日時点で被害を公表した企業は以下の通りだ。

Gong
HackerOne
Huntress
Insurity
Jamf
Kudelski Security
LastPass
OneTrust
Recorded Future
Snyk
Sprout Social
Tanium

窃取されたデータは各社のSalesforce CRMに保管されていた営業関連情報で、ビジネス連絡先（氏名、メールアドレス、電話番号、役職、所属企業名）、取引先のアカウント情報、契約・価格見積り、営業コミュニケーションの記録などが含まれる。各社とも、パスワードやクレジットカード情報、自社製品のテレメトリや脆弱性データは影響を受けていないとしている。

LastPassの被害はさらに深刻だ。Salesforceに保管されていたカスタマーサポートケースの内容も窃取されており、ユーザーがサポートに相談した内容を攻撃者が読める状態にある。暗号化されたパスワードボルトへのアクセスはないとLastPassは明言しているが、2022年にボルトそのものを盗まれている企業だけに、ユーザーの不安は避けられない。

日本で何が起きうるか

被害を公表した企業のうち、少なくともJamf、Tanium、Recorded Futureの3社は日本に法人を持ち、日本市場で積極的に事業を展開している。

Jamf Japan合同会社（東京都港区）は、Apple製品の企業向け管理ソリューションで日本の企業・教育機関・行政機関に広く導入されている。アジア太平洋地域の本部機能も兼ねる。
タニウム合同会社（東京都千代田区）はエンドポイント管理の大手で、国内の従業員5万人以上の企業の約半数を顧客に持つと公言している。NECグループ全端末の一元管理にも採用されている。
レコーデッド・フューチャー・ジャパン（東京都千代田区）は脅威インテリジェンスの最大手で、NRIセキュアやインテリジェントウェイブが国内販売パートナーを務め、金融・通信・テクノロジー企業を中心に導入されている。

窃取されたのはSalesforce CRMのデータだ。これらのベンダーが日本の顧客・見込み客を管理するSalesforceインスタンスに、日本企業の担当者の氏名、メールアドレス、電話番号、契約情報、価格見積りなどが入っていれば、攻撃者はそれを手にしていることになる。

各社とも自社の製品基盤やインフラは影響を受けていないと明言している。Jamf ProやTaniumのエージェント、Recorded Futureのインテリジェンスプラットフォームが侵害されたわけではない。だが、CRMに入っていた営業データはまだ攻撃者の手の中にある。Jamfは顧客に対し、窃取されたSalesforceデータを悪用したフィッシングキャンペーンへの警戒を呼びかけている。

LastPassも日本語対応しており日本のユーザーが多い。サポートケースの中身まで流出しているため、ユーザーがサポートに相談した内容を攻撃者が読める状態にある。

攻撃者「Icarus」とSalesforceエコシステムの構造的な弱点

犯行を主張したのは「Icarus」と名乗る新興のデータ恐喝グループで、リークサイトによると活動開始は2026年4月末だ。被害企業に48時間以内の連絡を求める脅迫メールを送り、6月22日を期限として、応じない場合はデータを公開すると宣言していた。宣言通り6月22日、Huntressを含む複数企業のデータがリークサイトに掲載された。Huntressによると、脅迫メールはオーストラリア企業のメールサーバーを悪用して送信されていた。

6月21日にはShinyHuntersがTelegramでKlue侵害の犯行声明を投稿し、その中にIcarusのSession Messenger IDを記載している。両者の関係が示唆されるが、確定はしていない。

Klue侵害タイムライン（2026年6月）

6/11

異常行動を検出

Klueのインテグレーション基盤で不審なアクティビティ

6/12

不正アクセス確認・調査開始

レガシー認証情報経由の侵入を特定

6/13

認証情報失効・連携停止

OAuthトークン無効化、顧客へ通知開始

6/16

脅迫メール送信

Icarusが被害企業に48時間以内の連絡を要求

6/17

Salesforceが連携停止

Klue Battlecardsアプリとの接続を無効化

6/18-19

被害企業が相次ぎ公表

Huntress・Recorded Future・Jamf・Taniumなど

6/21

ShinyHuntersが犯行声明

TelegramでIcarusとの関連を示唆

6/22

リークサイトにデータ掲載

Huntressを含む複数企業のCRMデータが公開

6/23

LastPassが被害を公表

サポートケースの内容を含むCRMデータの流出を確認

この種の攻撃は繰り返されている。2025年にはSalesloft DriftやGainsightの連携が同様のOAuthトークン悪用で侵害され、何百もの企業のSalesforceデータが窃取されている。Salesforceのプラットフォーム自体に脆弱性があるわけではない。だが、Salesforceに接続するサードパーティアプリのOAuthトークンが、パスワード以上にパスワードとして機能してしまう構造は変わっていない。

トークンは一度発行されれば、明示的に失効させない限り有効だ。MFAもバイパスする。接続した時点では正当な業務アプリでも、使わなくなった後にトークンが残り続ける。Klueでは、プロトタイプ段階で放棄された連携のレガシー認証情報が何年も残っていた。

Klueは現在、CrowdStrikeの支援で調査を進めている。Salesforceは6月17日にKlue Battlecardsとの連携を停止し、Klue自身もSalesforce、Gong、HubSpot、SharePoint、Google Driveなどすべての連携を切断した。

Klueの経営陣ページには、サイバーセキュリティの責任者が記載されていない。2025年6月にはAI投資の強化を理由に全従業員の約半数にあたる約100名を解雇していた。人員削減がセキュリティ体制の空白を生んだかどうかは明らかになっていない。ただ、放置されたレガシー認証情報という侵入経路が、その空白と無関係だったかどうか。

日本でJamf、Tanium、Recorded Future、LastPassのいずれかと取引や利用がある企業・個人は、フィッシングへの警戒を強めるべきだ。窃取されたのは名前やメールアドレスや契約内容であり、それを使って精度の高い標的型攻撃が組み立てられる。セキュリティ企業の名前をかたるメールは、むしろ開封されやすい。

SaaSの連鎖型攻撃は加速している。狙われるのはSalesforceではなく、Salesforceが「信頼済み」として認めた鍵の管理者だ。自社のSalesforceに接続しているサードパーティアプリの棚卸し、使われていないOAuthトークンの失効、接続アプリごとの権限の最小化。これらは、次のKlueが起きる前にやるべき作業だ。

参照元