- ハッカーを名乗る「Xpl0itrs」、ターゲットのソースコード8.6GBを盗んだと主張
- 研究者は1月に確認済みの860GB規模の情報漏洩データの使い回しではないかと疑う
- Xpl0itrsは過去にも根拠の乏しい漏洩主張を繰り返しており、今回の信憑性にも懐疑的な見方
ハッカーらが米大手小売企業ターゲットへの侵害を主張しており、事実であれば2026年に入って早くも2度目の情報漏洩となります。
攻撃者側は、金銭を支払わなければソースコードを何ギガバイトもダークウェブに公開すると脅迫していますが、今回本当に同社がハッキングされたのかどうかについては懐疑的な見方も出ています。
一部のセキュリティ研究者は、これは単に格の低い犯罪者が他人の成果に便乗しているだけの可能性があると見ています。
本当にハッキングは起きたのか
ターゲットが最初に狙われたのは2026年1月のことでした。ある脅威アクターがアンダーグラウンドのハッキングコミュニティに新規スレッドを投稿し、同社のデータを販売していること、そしてこれが今後複数回にわたって行われるオークションの第一弾であることを主張しました。この主張を裏付けるため、攻撃者はセルフホスト型のGitプラットフォームであるGiteaに複数のリポジトリを作成し、データの小規模なサンプルをアップロードしました。
合計で約860GBに及ぶこれらのリポジトリには、ターゲット社内のソースコード、設定ファイル、開発者向けドキュメントが含まれているとみられ、リポジトリ名にはウォレットサービス、ID管理、店舗ネットワークツール、シークレット管理ドキュメント、ギフトカードシステムといった社内システムを示唆する名称が使われていました。
ターゲットは後にこの情報漏洩が事実であることを認めています。
しかし今回は、「Xpl0itrs」を名乗る別の脅威アクターが2026年6月中旬に新たなリークサイトを立ち上げ、今月に入ってターゲットをそこに追加しました。同アクターは同社のソースコード8.6GBを窃取したと主張し、2日以内に支払いに応じなければデータをダークウェブに流出させると通告しています。
Xpl0itrsはサイバー犯罪コミュニティにおいて特に有名な存在ではなく、窃取したと主張するデータのサンプルも一切公開していません。このことが、今回のデータは8か月前に既に盗まれていたものではないかという見方をさらに後押ししています。
同アクターの過去の「実績」にも疑わしい点が見られます。Cybernewsの報道によると、同アクターは6月にもSpotify、米財務省、OpenAI、Trustpilotのデータを漏洩すると予告していましたが、実際には何も起きませんでした。それ以前には、BMWからバイクやディーラーに関する文書を盗んだと主張したこともありましたが、これもデータの一部が既に公開情報であったことが判明し、信憑性が疑われる結果となりました。
