「Nocturne」と名乗る脅威アクターがダークウェブフォーラムにデータベースの出品情報を投稿し、Nikeから顧客データを、また眼科医療企業Alconから機密記録をそれぞれ窃取したと主張しています。ただし両社ともこの件についてはまだ確認していません。
DarkWebInformerによると、企業価値640億ドルのNikeは2026年6月に侵害を受けたとされ、同アクターは数百万行分の顧客データを窃取したと主張、その量は8桁に上ると見積もっています。
出品情報によれば、対象データは最近の顧客登録情報と注文記録のみで、2026年分に限定されており、それ以前の情報は含まれていないとしています。
同アクターは、このデータセットがCSVファイルのみを含む7zアーカイブとしてまとめられており、展開後のサイズは40GBを超えるとしており、証拠としてサンプルのスクリーンショットも公開しました。
Nikeが今年、大規模なデータ流出の主張の中で名指しされたのはこれが初めてではありません。2026年1月には、ランサムウェアグループWorldLeaksが、デザイン・製造・工場運営に関連する約19万ファイルを含む、およそ1.4TBのNike社内データを窃取したとして犯行声明を出していました。
その際の事案は顧客記録ではなく内部関係者によるアクセスが関与していたとされており、Nikeは消費者データに関わる侵害については公式に確認していません。
企業価値100億ドルの製薬・医療機器メーカーAlconについては、同アクターは2026年5月に侵害が発生したと主張しており、データの種類はさらに多岐にわたるとしています。
流出したとされるデータセットには、Alconの「MARLO」プラットフォームへの利用者登録情報（氏名、住所、電話番号を含む）に加え、Salesforce上のサプライヤーデータ、MARLOの内部会話ログ、注文番号、内部ファイルのソースコードが含まれているとされています。
投稿に添付されたサンプルCSVには、顧客階層ID、アカウントグループ、与信限度額、SAP ID、地理的分類データといった項目が含まれています。
注目すべき点として、同アクターはAlconが当初交渉に応じ、サンプルデータを受領した上で契約を反故にしたと主張しており、これを受けて公開流出に踏み切ったとしています。
投稿にはAlcon宛の直接メッセージも含まれており、顧客に対して侵害を開示しなかった同社を批判する内容となっています。
いずれの主張も現時点では検証されておらず、NikeもAlconも、顧客システムまたはサプライヤーシステムへの不正アクセスを確認する公式声明は出していません。
展開後のファイル合計サイズが40GBを超えるとされる規模を踏まえると、両社のデータ露出状況を監視するセキュリティチームは、公式確認を待つ間もこの主張を軽視せず、予防的な監視を実施するに値する信頼性があるものとして扱うべきでしょう。
翻訳元: https://cyberpress.org/nike-alleged-breach/