ShinyHuntersがSalesforce Aura APIを悪用——Questel・Alcon・Lumenis から47M件超の個人情報を盗取

「大手企業のSalesforceデータが盗まれたって聞いたでしゅけど、SalesforceってAWSみたいなものでしゅよね？そんなに簡単に攻撃されるんでしゅか？」
「47M件って47万件でしゅか？……47百万件でしゅか？！」

ボス

ShinyHuntersは今年だけでOracle PeopleSoftのゼロデイを悪用し、Mandiantが100組織超に通知を送り、今回はSalesforceの設定不備を突いて47M件超を盗み取った。規模も手口も年々大型化しているグループだ

チップス

設定不備ってことは、Salesforceにバグがあったわけじゃないんでしゅか？

大企業が使う著名なCRMプラットフォーム「Salesforce」の設定不備を突き、ShinyHuntersが知財管理大手のQuestel SAS（フランス）、眼科専門医療機器メーカーのAlcon Inc.（スイス）、医療レーザー企業のLumenis Be Ltd.（イスラエル）から計47M件超の個人情報を盗み取ったと主張しています。
3社とも2026年8月2日にShinyHuntersのリークサイトに掲載され、8月4日までに連絡しなければデータを公開すると脅迫されました。

Questel・Alcon・Lumenis Be——被害3社の概要

Questel SASはパリ本社の知的財産管理・特許・法律業務の大手SaaSプロバイダーです。
Alcon Inc.はスイスに本社を置く眼科専門の世界的医療機器・製薬企業、Lumenis Be Ltd.はイスラエルの医療レーザー・光治療機器メーカーです。

チップス

なぜバラバラな業種の3社が同時に攻撃されたんでしゅか？

ボス

3社に共通するのはSalesforce Experience Cloudを使っていたことだ。ShinyHuntersは2025年9月からSalesforceの設定不備を利用して大量のデータを収集するキャンペーンを展開しており、今回はその延長線にある

各社のShinyHuntersによる主張の概要は以下のとおりです。

盗取されたとされるデータには顧客・従業員の氏名・メールアドレス・電話番号・住所等のPIIが含まれます。
3社は2026年8月4日時点でいずれも公式声明を出しておらず、被害の確認中とみられます。

Salesforce Aura Campaignの手口——設定不備を自動スキャンで突く

チップス

SalesforceってISO 27001も取ってる大企業なのに、なんで攻撃されるんでしゅか？

ボス

Salesforceのプラットフォーム自体に脆弱性があったわけではない。Salesforce Experience Cloudを使う企業側の設定が不十分だったんだ。具体的には、ゲストユーザーに過剰なアクセス権限が与えられていた

ShinyHuntersが2025年9月から展開している「Salesforce Aura Campaign」の手口は以下のとおりです。

Mandiantが2026年1月に公表して以降も攻撃は継続しており、推定300〜400組織が侵害を受けたとされています。

今回の攻撃で特に注意が必要な点は以下のとおりです。

まとめ：Salesforce Experience Cloudのゲストユーザー設定を今すぐ見直す

ShinyHuntersの「Salesforce Aura Campaign」は、使い慣れたプラットフォームの設定不備が大規模なデータ流出に直結することを示しています。
SalesforceのSecurity Health Checkを実行したことがない、またはExperience Cloudのゲストユーザー権限を見直したことがない組織は、今すぐ確認が必要です。

チップス

うちもSalesforceを使ってるんでしゅけど、どこを確認すればいいんでしゅ？

ボス

ふふふ、最優先はExperience Cloudを使っているかどうかの確認だ。使っているなら、ゲストユーザープロファイルに与えられているオブジェクト・フィールドのアクセス権限を棚卸しする。不要な権限はすべて剥奪することが基本だな

今すぐ取るべき対応は以下のとおりです。

設定ミスによるデータ漏洩は、適切な設定レビューと権限管理の習慣化で防げます。