Cushman & Wakefieldがビッシング攻撃で侵害、Salesforce上の50万件超データがShinyHunters・Qilinに脅迫材料に

「電話一本で会社が侵害されるって本当でしゅか？」
「Salesforceみたいな大手SaaSなら大丈夫じゃないの？」

チップス

ボス、不動産大手のCushman & Wakefieldがやられたって、また50万件レベルでしゅか？

ボス

そう、しかも入口は「電話越しのなりすまし（ビッシング）」だ。SaaSの認証情報が、クラウド時代の最前線になっているんだ。

2026年5月、不動産大手Cushman & Wakefieldが、ビッシング（音声フィッシング）を起点とするサイバー攻撃を受けたことを公表しました。
本記事では、攻撃の経緯、被害規模、ShinyHuntersとQilinによる二重脅迫の構図、そして日本企業がSaaS時代に取るべき対策を解説します。

このまま読み進めれば、ShinyHuntersの最新Salesforce攻撃キャンペーンの全体像と、自社で打てる現実的な対策が分かります。

Cushman & Wakefield攻撃の経緯と被害状況

世界トップクラスの不動産大手にも、電話越しの社会工学的攻撃が突き刺さりました。

ビッシングから始まる侵害の流れ

Cushman & Wakefieldは、社員を狙ったビッシング攻撃により認証情報を盗まれ、その認証情報を使ってSalesforce環境に侵入された、と公表しました。
同社は侵入を確認後、すぐに対応プロトコルを起動し、第三者専門家を招いてフォレンジック・封じ込めを実施しています。

主な事実関係は以下のとおりです。

チップス

50万件って、企業全体の取引履歴がまるごとなくしゅよね……

ShinyHunters・Qilin両グループによる二重脅迫

ShinyHuntersは5月1日付けで攻撃を主張し、5月6日を期限に身代金を要求しました。
同社が応じなかったため、ShinyHuntersは約50GBのデータセットをリークサイトに公開しています。

加えて、別のランサムウェアグループQilinも5月4日にCushman & Wakefieldをリークサイトに掲載しており、同一被害企業に対する複数グループからの脅迫が併発する構図が浮かびます。

SaaS時代の脅威と日本企業が取るべき対策

ShinyHuntersは過去にもSalesforce周辺を中心に大規模窃取を続けており、SaaSが新しい主戦場であることが明確になっています。

SalesforceなどSaaS環境を狙う攻撃の構造

クラウドの普及により、機密情報の多くが社外SaaSに集約されました。攻撃者にとっては「社員1人の認証情報」が大量データへのチケットになるため、社会工学攻撃の費用対効果が極めて高くなっています。
近年Salesforceを狙う攻撃は、設定ミスを突くものから、社員へのビッシング・SMSフィッシングを起点とするものへと進化しています。

SaaS環境を狙う典型的な手口は以下のとおりです。

日本企業が今日から取れる対策

SaaS窃取攻撃の対策は、ID管理・社員教育・SaaS監視の3層で組み立てるのが効果的です。
限られたリソースで効果が大きい打ち手は以下のとおりです。

チップス

電話に出ない、っていうのは難しいでしゅから、訓練が大事でしゅね……

ボス

その通り。「ヘルプデスクを名乗る電話には絶対パスワードを言わない」が社内ルールとして浸透しているか、まずそこから確認しろ。

まとめ：SaaSデータは「電話一本」で抜かれる時代

Cushman & Wakefieldの侵害は、ビッシングという古典的な手口でSaaS上の大量データが盗まれる現実を改めて示しました。
Salesforceなどクラウドサービスを業務の中核に据える日本企業も、認証強化・社員教育・SaaS監視の3点セットを欠かせません。

パスキー導入、API監視、ビッシング訓練、第三者アプリ棚卸しの4本柱で、SaaS時代の防御を底上げしましょう。

参考：Cybernews「ShinyHunters posts 50GB Cushman & Wakefield dataset」