McGraw Hillで1350万件流出、Salesforce設定ミスを突くShinyHuntersが300社超を侵害

「Salesforceの設定ミスで1350万人のデータが流出するなんて、何が起きたの?」
「日本企業もSalesforceは使ってるけど、自社は大丈夫?」

チップス

ボス、ShinyHuntersってあの常連さんでしゅよね…McGraw Hillまでやられたんでしゅか?

ボス

ふふふ。McGraw Hillだけじゃない。同じ手口で300〜400社が侵害されている。
正規ツールを武器化した、巧妙な「設定ミス狙い」キャンペーンだ。

2026年4月14日、教育大手McGraw HillがSalesforce環境の設定ミスを起点に1,350万件の個人情報が流出したことを認めました。
身代金交渉が決裂し、ShinyHuntersはリークサイトに100GB超のデータを公開。
本記事では同社の事例から見える、Salesforce Experience Cloudを取り巻く広範な攻撃キャンペーンの実態と、自社で確認すべきポイントを解説します。

SaaS設定ミスは「自社の責任範囲」のグレーゾーンに落ちやすい論点です。
本稿で攻撃者側の視点を理解すれば、自社のSalesforce運用を即見直せます。

1.事件の全体像と漏洩した情報

McGraw Hillの公式声明と、リークされたデータの実態には認識のズレがあります。
そのズレに、SaaS時代の事故の特徴が表れています。

「限定的」と「1350万件」の温度差

McGraw Hillは「コアな顧客DBや教材システムは無事で、影響は限定的」と発表しました。
一方ShinyHuntersは身代金支払い拒否を受けて100GB超を公開し、Have I Been Pwnedにも1,350万件として登録されています。
漏洩した情報は以下のとおりです。

引用元: BleepingComputer

チップス

パスワードは入ってなくても、氏名と電話と住所が揃ったら、なりすましし放題でしゅ…

ボス

そう。攻撃者にとっては「素材」が手に入ればいい。
後はAIで個別のフィッシングメールを量産すれば、クリック率は跳ね上がる。

2.原因と教訓 — 設定ミス狙いの大規模キャンペーン

McGraw Hillは単独の被害者ではありません。同じ脆弱な設定を持つ企業が世界中で標的になっています。

AuraInspectorの武器化と300〜400社への波及

ShinyHuntersは2025年9月以降、Salesforce Experience Cloudのゲストユーザー権限が過剰に設定された企業を狙い続けてきました。
2026年1月にはGoogle傘下Mandiantが公開した正規監査ツールAuraInspectorを攻撃用に改造。
未認証のAuraエンドポイントから内部オブジェクトを抽出する手法で、合計300〜400社が侵害されたと推定されています。
引用元: Salesforce Ben

自社のSalesforce環境で今夜確認すべきこと

「ベンダー側の責任」と切り分けてしまうと、設定ミスは見つかりません。
共有責任モデルを意識した点検が必要です。
優先度の高いチェックポイントは以下のとおりです。

引用元: FINRA Cybersecurity Alert

チップス

うちもExperience Cloudで顧客ポータル運用してるでしゅ…来週点検するでしゅ。

ボス

来週ではなく、今夜だ。
同じ設定なら、すでに侵害されている可能性すらある。

まとめ

McGraw Hillの事案は、SaaSの「設定ミス1個で1,350万人分が流出する」という現実を見せつけました。
正規の監査ツールが攻撃者の手で武器化されるパターンは、今後も他のSaaSで再現される可能性が高いと感じます。
ベンダー任せにせず、自社のSaaS設定を継続的に監査する仕組みづくりが、サイバー予算の中で優先順位を上げるべき領域です。
「ログイン情報は漏れていないから安心」ではなく、「PIIが揃った時点で被害は始まっている」と捉える姿勢が必要です。