Salesforce利用企業の複数が設定不備から情報流出。楽天、PayPay、イオン、バンダイなど 58
ストーリー by nagazou
仕様です 部門より
仕様です 部門より
Salesforceが提供しているサービスで、設定不備により顧客情報などが流出するトラブルが複数起きているようだ。内閣サイバーセキュリティセンター（NISC）も1月29日に注意喚起を求める文書を公開した（NISC[PDF]）。この文章では具体的な設定項目についての詳細は触れられていないが、日経クロステックの記事によれば、
「Salesforceサイトを有効に設定（インターネットに公開している）」などの3条件がそろうと、「セールスフォースが提供するクラウドサービスに保存した情報に第三者が特定の機能を用いてアクセス可能となり、情報が漏洩する可能性がある」
としている。同じ日経クロステックの別記事によると、1日までに楽天やPayPay、イオン、バンダイとBANDAI SPIRITSや 日本政府観光局（JNTO）[PDF]で、この設定不備の問題により顧客情報の流出が起きたとしている。この中の一番新しい被害と思われるバンダイの29日の発表によれば、氏名、住所、電話番号、メールアドレス、対応記録が第三者からアクセスされた可能性があるという。
なおITmediaの記事によると、NISCの担当者は現在の状況は「明らかになっているのは氷山の一角」と話している模様。Salesforce側は12月25日にこの問題に関する声明を発表しており、それによると、プラットフォームの脆弱性に起因するものではなく、公開サイト機能を利用ユーザーが適切な設定をしていないためことが原因としている（Salesforce）。
攻撃を受けたことがわからない「仕様」 (スコア:5, 参考になる)
受け売りだけど…
「Salesforce Lightning Platformへの攻撃手法について [medium.com]」
攻撃の被害の確認方法
Salesforceでは、基本的にはユーザはログをみることはできない。
ただし、Salesforce Shield(別売り)のライセンスを購入していれば、ログを自身で取得できる模様。
ライセンスを購入していない場合、攻撃の有無や成否を確認するためには、Salesforceに問い合わせてログを取得するしか方法はない。つまり、ユーザは攻撃に対して気づく術はない点に注意する必要がある。