- エスティローダーが2025年8月に発生したOracle E-Business Suiteの侵害を確認、公表は2026年6月まで遅れる
- 攻撃者は人事管理プラットフォームから個人情報、財務情報、健康情報、雇用情報を大量に窃取
- 侵害の原因はOracle EBSの深刻なRCE脆弱性CVE-2025-61882で、100以上の組織が被害に
2025年10月頃に多数の攻撃で悪用されたOracle E-Business Suiteの脆弱性を覚えているだろうか。エスティローダーも、この被害に遭った企業のリストに新たに加わることになりました。
この化粧品大手は、被害を受けた事実を認めましたが、実際の侵害発生からほぼ1年が経過していました。2026年6月中旬の調査によって、ようやくこの事案が明らかになったのです。
現在送付されているデータ侵害通知書の中で、同社は「2026年6月19日、当社は調査を通じて、2025年8月9日前後にOracle E-Business Suiteシステムへ第三者が不正にアクセスし、一部個人の個人情報を取得したことを確認しました」と説明しています。
深刻なリモートコード実行の欠陥
エスティローダーによると、このプラットフォームはホールディングカンパニーが「人事管理目的」で使用していたものだといいます。
今回の事案で何人が影響を受けたのか正確な数は明らかになっていませんが、攻撃者がフルネーム、住所、メールアドレス、生年月日、社会保障番号(SSN)、パスポート番号、銀行口座番号を含む財務口座情報、健康情報、雇用情報を取得したことは判明しています。
これらは、非常に破壊的かつ深刻な被害をもたらすなりすまし詐欺を実行するには十分すぎるほどの情報であり、エスティローダーの警告はほぼ1年遅れで届いたも同然で、ほとんど役に立ちません。
2025年10月上旬、サイバー犯罪者たちは米国内の様々な組織の幹部にメールを送りつけ、彼らのOracle E-Business Suiteシステムから機密ファイルを盗んだと主張していました。当時、Oracleもサイバーセキュリティ業界全体も、実際に侵害が発生したのか、それとも身代金要求の支払いを迫るためのはったりに過ぎないのか、確信が持てずにいました。
しかし、その後まもなくこの主張は事実であると確認されました。100を超える組織が被害を報告したためです。2025年10月上旬、OracleはOracle EBSにおける深刻度9.8/10(緊急)の認証前リモートコード実行(RCE)脆弱性CVE-2025-61882を修正する緊急パッチを公開しました。
「この脆弱性はリモートから認証なしで悪用可能です。つまり、ユーザー名やパスワードを必要とせず、ネットワーク経由で悪用される可能性があります」とOracleはアドバイザリで説明しています。「悪用に成功した場合、この脆弱性はリモートコード実行につながる可能性があります」。
