保険業界団体、ハッカーによるOracle PeopleSoftの侵害データ公開を確認

全米保険監督官協会（NAIC）は、今月初めにOracle PeopleSoftで発生したゼロデイ脆弱性に関連してシステムが侵害されたことを受け、一部の信用格付け機関がデータフィードを一時停止していると発表しました。

NAICは、脅威アクターが窃取したデータをリークサイトに公開したことを確認しました。流出した情報には、保険会社の投資に関連する財務情報や格付け情報が含まれています。盗まれたデータの一部は、州の保険サイトや再販業者、その他の保険データサイトでもともと公開されていたものでした。

NAICは、金融口座データや個人を特定できる情報（PII）が流出した証拠は現時点では見つかっていないとしています。また、規制当局への申請システムは安全な状態を維持していると説明しています。

同協会は、全米の州保険規制当局にデータや分析、その他の専門知識を提供しています。これらの重要な情報は、保険業界の規制に役立てられています。

Kroll Bond Rating Agency（KBRA）は金曜日、問題が適切に解決されるまでNAICへのデータフィードを停止すると発表しました。

Fitch Ratingsは広報担当者を通じて、以前NAICに提出した一部のデータが今回の侵害の影響を受けたことを認めました。ただし、同社自身のシステムや事業運営への影響はないとしています。

既報の通り、脅威グループShinyHuntersがOracle PeopleSoftの重大な脆弱性の悪用に関与しているとみられています。Google CloudのインシデントレスポンスチームであるMandiantの担当者は、100以上の組織に対して今回の悪用活動による影響を受けた可能性があると通知しました。

このゼロデイ脆弱性による被害を受けた組織のうち、約3分の2が教育機関でした。

ハッカーたちは5月27日から6月9日の間に、このソフトウェアスイートのEnvironment Managementコンポーネントに存在するリモートコード実行（RCE）の重大な脆弱性（CVE-2026-35273）を悪用しました。Oracleは今月初め、一部バージョンのOracle PeopleSoft PeopleToolsに存在するこの脆弱性についてアドバイザリを公開しました。