Klue経由のSalesforce侵害でOAuthトークンが悪用、24社以上の営業データが流出―SaaS連携の落とし穴が露呈

「うちもSalesforceに複数のSaaSを連携しているが、連携先が侵害されたらどうなるのか？」
「OAuthトークンを盗まれると、パスワードなしに自社データにアクセスされるのか？」

チップス

ボス、KlueってSalesforceと連携するSaaSが侵害されたって聞いたんでしゅ。うちも色々なSaaSをSalesforceに連携してるんでしゅけど……。

ボス

そこが今回の核心だ。直接Salesforceが破られたわけではない。連携先のSaaSが破られ、その連携に使っていたOAuthトークンが盗まれた。自社には何もしていないのに、自社のCRMデータが抜き出された典型的なSaaSサプライチェーン攻撃だ。

競合情報プラットフォーム「Klue」が2026年6月11〜12日にかけて不正アクセスを受け、Salesforceとの連携に使われていたOAuthトークンが悪用された。
攻撃グループ「Icarus」が窃取したトークンを使い、Klueを利用する企業のSalesforceへパスワード不要でアクセスし、営業データを大量に持ち出した。
現時点でHuntress・Recorded Future・Taniumなど24社以上への影響が確認されており、最大195社のKlue顧客が潜在的な被害範囲にある。

この記事では、OAuthトークンを使ったSaaSサプライチェーン攻撃の仕組みと、企業が今すぐ取れる対策を解説する。
Salesforceを含む複数のSaaSを連携している企業にとって、他人事ではない事件だ。

Klue侵害の概要と攻撃者「Icarus」による被害の広がり

この事件は、「直接攻撃を受けていない企業のデータが流出した」という典型的なサプライチェーン攻撃の構造を持つ。

レガシー認証情報でKlueに侵入、OAuthトークンを使ってSalesforceへ横展開

攻撃者Icarusは、Klueのレガシー連携サービスに関連する侵害済み認証情報でKlueのシステムに侵入した。
その後、Klueが顧客のSalesforceと通信するために使っていたOAuthトークンを入手し、Salesforceの視点からは正規のKlueとして振る舞うことで大量のCRMデータを取得した。

流出したデータの主な内容は以下の通りだ。

チップス

OAuthトークンって、一回盗まれたらずっと使えるんでしゅか？

ボス

有効期限や自動ローテーションが設定されていなければ、長期間使い回せる。それが今回の「レガシー認証情報」の問題だ。古いトークンほど管理が甘くなりがちで、攻撃者にとっては格好の標的になる。

SaaSサプライチェーン攻撃の構造と企業が取るべき対策

今回の事件が示す教訓は、「自社が攻撃されていなくても、連携先が攻撃された時点で自社データは危険に晒される」という現実だ。

OAuthアクセス権の棚卸しと不要な長期トークンの無効化が急務

Salesforce・Slack・Google Workspaceなど主要なSaaS平台では、連携アプリの一覧と付与しているOAuth権限を管理者が確認できる。
今すぐ実施すべき対策は以下の通りだ。

Salesforceは今回の事件を受けてKlue連携を6月17日に無効化した。
しかし自社環境では何の通知もなく連携が維持されているケースが多い。
一度設定したSaaS連携は「放置」されやすく、それが攻撃者の侵入路になる実態が今回改めて示された。

チップス

Salesforceに何十個もSaaS連携してるんでしゅけど、全部確認するの大変でしゅよ……。

ボス

大変でも、やらなければ次の被害企業になる可能性がある。Salesforceの管理コンソールから「接続済みアプリ」の一覧を開いて、見覚えのないアプリや使っていないアプリを今すぐ確認しろ。

まとめ：SaaS連携の「見えないリスク」は今すぐ棚卸しが必要

KlueとSalesforceの連携を悪用したIcarusの攻撃は、直接自社が標的でなくても被害者になるSaaSサプライチェーン攻撃の典型例だ。
OAuthトークンひとつで企業のCRMデータに無制限アクセスが可能になる。
Salesforceをはじめとする主要SaaSに連携しているアプリを今すぐ棚卸しし、不要な連携と長期トークンを削除することが、次の被害を防ぐ最初の一手だ。

チップス

今日中にSalesforceの接続済みアプリ一覧を確認して、使ってないのを全部外しましゅ！

ボス

ふふふ。それが正しい行動だ。「使っていないつもり」が一番危ない。確認してから判断しろ。