発端は2025年6月5日に同社が公開した「通話の代償：音声フィッシングからデータ強要まで」というブログだ。ここには「UNC6040」と呼ばれる金銭を目的としたサイバー犯罪集団が、ITサポートをかたる音声を用いた「ビッシング攻撃」を仕掛けらたことが記されている。

　Salesforceに悪意のあるアプリケーションを接続することをビッシング攻撃で承認させた結果、被害企業のSalesforce環境に犯罪者が侵入し、一部の情報が流出した。これはGoogle Threat Intelligence Group（GTIG）の報告であり、具体的な攻撃手法や攻撃後の展開の他、攻撃の影響範囲が記されていた（関連記事：Salesforceから社内ネットワークへ侵入、被害が急増する音声フィッシング攻撃とは）。

　2025年8月5日にGoogleはこのブログの内容に追記した。それによれば、2025年6月、Googleの従業員がビッシング攻撃を受けた結果、GoogleのSalesforceインスタンス内の情報がUNC6040によって一部流出したという。ただし、流出したのは中小企業向けの連絡先情報や関連メモなど、一般の第三者が通常の手段で比較的簡単に入手できる可能性がある業務情報にとどまっており、被害は短時間かつ限定的だったという。

　さらに2025年8月8日には、8月5日に追記したUNC6040の攻撃の影響を受けた取引先などへのメールでの通知を完了したと書き加えた。

Salesforceを狙った別の攻撃が発生

　2025年8月8日～同8月18日には別のサイバー攻撃が発生した。Salesforceではなく、Salesloftが提供する営業チーム向けのセールスエンゲージメント・プラットフォーム「Salesloft」を狙ったサイバー攻撃だ。

　Salesloftは2024年2月にDriftというリアルタイムのチャットや会話AIを提供するAIプラットフォームを買収しており、「SalesDrift」として提供中だ。このSalesDriftを介してOAuthトークン（アクセストークンとリフレッシュトークン）が盗み出された。OAuthトークンは一般企業がDriftとSalesforceを連携させるために使う。この結果、攻撃者が被害者のSalesforce環境にAPI経由で不正アクセスした。被害を受けた企業からすると、これは一種のサプライチェーン攻撃だったことになる。

　2025年8月27日、Google（GTIG）は攻撃者が「Drift Email」との連携に使うOAuthトークンを侵害していたことを発表した。その結果、Driftと連携するように設定していたごく少数の「Google Workspace」アカウント（Gmail）で、攻撃者がメールへアクセスした。Googleは影響を受けたユーザーを特定して、被害を受けたOAuthトークンを無効化した。Driftとの連携機能も一時的に無効化した。

　Driftを経由したサイバー攻撃ではGoogle以外にもPalo Alto NetworksやZscaler、Cloudflareなどが被害を受けた。

　2025年8月下旬に入ると、米国の複数の著名な媒体が25億人のGmailユーザーが影響を受ける可能性がある、またはGoogleが全ユーザーに警告を出したと報じ始めた。トレンドマイクロも2025年9月3日に「最大25億人のGmailユーザ情報が漏えい」と発表した。

　これはGoogleのSalesforceインスタンスが攻撃を受けたこと、Salesloftとの連携でGoogle Workspaceアカウント（Gmail）にアクセスされてしまったことを拡大解釈したためだと思われる。

ユーザーはどうすればよいのか

　結局、Gmailからの大規模なデータ漏えいがあったことは確認されておらず。GoogleもDrift関連以外でGmailからデータ漏えいがあったとは発表していない。Googleは2025年9月1日の発表で、ユーザーに届くフィッシング詐欺やマルウェアの試みの99.9％以上をブロックしているとした。

　ただし、これはGmailユーザーが何もしなくてよいということではない。Gmailのユーザーが25億人だったとしよう。その場合0.1％は250万人だからだ。

　GoogleはGmailの保護を強化するためにパスキーのような技術を利用するように薦めている。同社はフィッシングメールを回避する方法も紹介している。