Salesloft Drift の連携トークンが盗まれ、多数の Salesforce からデータ流出 — SaaS 連携が入口に

何が起きたか

2025年8月26日、Google の脅威分析チーム（GTIG）は、攻撃者が Salesloft の「Drift」（Web 接客チャット）と Salesforce をつなぐ連携用トークン（OAuth トークン）を盗み、8月8日から少なくとも18日にかけて多数の企業の Salesforce からデータを抜き取ったと発表しました。Salesforce 自体の脆弱性ではなく、連携アプリの「通行証」が悪用されたものです。攻撃者は抜き取ったデータから、AWS の鍵やパスワードなどを探していたとされます。8月20日に Salesloft と Salesforce はトークンを無効にし、アプリの提供を一時止めました。

影響を受けたのは

• Drift を Salesforce と連携させていた企業（数百社規模と報じられた）
• Drift のメール連携を使っていた一部の Google Workspace アカウント

自社で確認したいこと

• Drift に保存・連携していたトークンや認証情報はすべて漏れた前提で無効化し、作り直す
• Salesforce の問い合わせ（ケース）などに、パスワードや API キーを書き込まない
• SaaS に連携させているアプリと、その権限を定期的に棚卸しする