Salesforceの設定不備に起因した外部からのアクセス事案についてまとめてみた - piyolog

2020年12月25日、セールスフォースドットコムは一部製品、または機能を利用するユーザーにおいて、Salesforce上の組織の一部情報が第三者より閲覧できる事象が発生していると案内を掲載しました。また、12月に入り外部への情報流出の可能性を発表した楽天、PayPayがこの影響を受けたユーザーに含まれていたことが報じられています。ここでは関連する情報をまとめます。 設定不備で第三者からの情報閲覧事象が発生 www.salesforce.com セールスフォースドットコムが公開したリリースをまとめると以下の通り。 影響を受ける対象機能、製品はExperience Cloud（旧 Community Cloud）、Salesforceサイト、Site.com。 既に当該機能、製品利用組織において第三者による閲覧行為が発生している。 脆弱性起因の問題で生じた事象ではなく、ゲストユーザーに対する

[smken]

Lightning云々でなくデフォOffの「ゲストユーザー権限でObjectの参照が可能」をonに変えてたのがどうかしてる。Objectはセールスフォース用語でテーブルやぞ。UI用意しないからとanonymousにread権与えてAPIで持ってかれるって何？

[gfx]

「Lightning」という中身を何も説明していない名前の機能がこんな重大な事故を引き起こすのはどうなのと思わなくもないな…。

[Falky]

周りで詳しい人に聞いた限りでは、ゲストに変な権限渡す方がおかしいし、設定も丁寧に説明されていたので楽天の確認不足でしかないという見解が多かった。でも「よくある設定ミス」なら、設計の問題じゃないかなあ…

[akulog]

Google WorkspaceのGroup事故思い出す

[diveintounlimit]

“ゲストユーザーのLightning機能のアクセスが既定で可能”やっぱSalesforce側の設定がダメじゃない？何で設定規定でONにしたの？「地雷用意しといたぞ。絶対に踏むなよ」って告知したからOKって話にはならないのでは？

[tukanana]

結局、PayPayはセキュリティ業界的に姿勢がevil。（ちゃんと公開しておけばもうちょっと早く対処が（ry））

[B-108]

巨大システムの設定だの権限だのは人間の理解の限界を超えてて、どの設定が何に依存してるとか含めて１００％理解してる人なんかいない。事故が起きて初めて設定の脆弱性が見つかるトライ＆エラー、地雷原の世界。

[ohaan]

設定不備を、あたかも導入しているシステム自体に問題があるような扱いをするのはやめてほしいね。

[nowandzen]

「二子玉川のあのIT企業でsalesforceのスキルをいかせるお仕事！」的な求人を年中見かけるので納得感がある

[w1234567]

CRMでゲストユーザーのAPIアクセスをデフォルトで許可する意味がまったく分からん、製品不具合で賠償が普通だろうけど元オラクルの幹部が創業した会社だし絶対認めないんだろうな

[fortrand]

新機能の実装直後はアクセス権機能が十分でなかったこと、後から機能追加されたけど周知徹底してなかった、からのリスク顕在化という流れだろうか。ベストプラクティスの解説見たけど、機能のややこしさにも問題が

[at_yasu]

「「ゲストユーザのLightning機能」の無効化」

[verda]

LightningはIE11とEdgeレベルの別物で なかなか移行できてない会社が多いイメージ

[sawarabi0130]

楽天の情報にアクセスできるグローバルなオポチュニティを与えてたわけか

[evolist]

こういうのって教祖様に漏洩するように仕向けろとお告げを受け、神の意志にもとづいて実行した可能性はないのかね? ありうると思うがね

[kijtra]

むかしGoogleのフォーラム機能 (メーリングリストが自動で掲示板になるやつ。デフォルトがパブリックだった)で機密情報が公開されまくってた時あったね

[akatuki_sato]

全グループでSF担当者が２名という都市伝説を聞いたことがある

[evergreeen]

楽天ぐらいの規模でのお客様となると、ベンダーから何人か社内に常駐させて支援してると思うけどセールスフォースは違うの？少なくAdobeとかは数人派遣してたと思うけど。

[monbobori]

タスカル。4月に来てるメール見るとゲストユーザーのセキュリティポリシーを使用して、自動有効化からオプトアウトできます、とあった。うちはこのプロファイル不使用なんだけど、オプトインにしといてよ！！

[kazkun]

どうもデフォルトがゲストアクセス可能だったみたいだけど、それって怖すぎる。

[viperbjpn]

SFDC入れてる人らは年末ない可能性

[paradisemaker]

まぁ普通にあり得ない仕様変更ですね

[door-s-dev]

PayPayのもこれが原因だったのか

[inmysoul]

管理してた運用担当がゴミなだけ。使ってるサービスの仕様変更把握してないとか、給料泥棒そのもの。

[rzi]

『「ゲストユーザのLightning機能」を無効に変更していないこと』なんでデフォルトが有効なのの？？？ これ、まだまだ影響広がりそうな。Salesforceさんやばいよ実害でたら訴訟祭りになりそう…

[lifefucker]

楽天はわかるけどPayPayが導入したの最近でしょ？

[gachapining]

Lightning は SPA で書かれたダッシュボード機能のことかな。

[ya--mada]

ピヨログ

[masatomo-m]

おお、事実関係の整理＆まとめありがたい