- ShinyHunters、CyrusOneを被害者リストに追加し1,300万ドルの身代金を要求
- 窃取を主張するデータには、Salesforceの記録1,290万件、SharePointデータ600GB、個人情報、契約書、施設図面などが含まれる
- 侵害により物理的侵入やサプライチェーン攻撃が可能になる恐れ、CyrusOneはコメントも支払いも拒否
悪名高いランサムウェア集団ShinyHuntersが、米国大手データセンター事業者CyrusOneを被害者リストに新たに加えました。同グループは極めて機密性の高い大量のデータを窃取したと主張しており、これが事実であれば同社とその顧客にとって深刻な事態を招く可能性があります。
ShinyHuntersの主張によれば、窃取したデータにはSalesforceの記録1,290万件、Salesforce Contactsオブジェクトからの行データ18万2,000件超、SharePointデータ600GB超、個人を特定できる情報(PII)を含む従業員記録8,300件超、締結済み契約書、マスターサービス契約(MSA)、秘密保持契約(NDA)、サービス契約が含まれるほか、データセンターのフロアプラン、電気系統図、アクセス制御記録、入退館カード監査ログ、物理鍵の管理台帳、セキュリティポリシー、重要な環境信頼性管理(ERM)文書、各種パスワードや認証情報も含まれるとされています。
現時点でサンプルはまだ公開されていませんが、研究者らはこれを不審な兆候ではなく、圧力をかけるための戦術と見ています。
今回の攻撃が特異な理由
ShinyHuntersは、窃取したデータをすべて削除する見返りとしてCyrusOneに1,300万ドルを要求していますが、同社は現時点でこの主張についてコメントしておらず、交渉に応じる意思もないようです。
攻撃者らは「彼らは1,300万ドルの要求を拒否している。交渉に応じる猶予は残り24時間だ。我々は1,290万件のSalesforce記録を保持している」と主張したとされています。
ランサムウェア集団による企業機密データの窃取自体は珍しいことではありませんが、今回の事案は史上最も深刻なデータ侵害の一つになりかねません。窃取されたとされる情報の一部は、単純に変更できるものではないためです。データセンターのフロアプラン、電気系統図、アクセス制御記録、入退館カード監査ログ、物理鍵の管理台帳といった情報は、物理的な侵入に悪用され得ます。
犯罪者が鍵の割り当て方法やデータセンターの構造、監視カメラの設置場所、警備員の運用方法を把握してしまえば、物理的な侵入がより容易になります。
研究者らは「建物にパッチを当てることはできない」と警告し、物理鍵やアクセス区画のように変更可能な要素についても、対応には数カ月単位の時間と「相当な費用」がかかると指摘しており、問題の深刻さの大きさをうかがわせています。
CyrusOneは米国全土でおよそ50の施設を運営し、数百社の企業に対してサービスを提供しています。同社の顧客にはフォーチュン1000企業のほか、Microsoft、Meta、Verizon、AT&T、IBM、CME Groupといった大手テック企業も名を連ねています。
さらに事態を深刻にしているのが、ShinyHuntersがMetaやMicrosoftといったCyrusOneの顧客に関する情報も窃取したとされる点です。特定顧客の所在地情報、契約中のサービス内容、NDA、サービスレベル契約(SLA)、連絡先情報といったデータは、極めて巧妙かつ標的を絞ったフィッシング攻撃に悪用される可能性があり、今回の事案が前例のないサードパーティ・サプライチェーン攻撃へと発展しかねません。
研究者らはさらに「契約書、MSA、NDAによって、建物の見取り図に重ね合わせた顧客リストのようにテナントが特定でき、そこに料金やSLAの情報まで紐づいてしまう」と付け加えています。
反応なし
さらに追い打ちをかけるように、ShinyHuntersは同社の電力、冷却、重要環境の信頼性維持プロセスに関する情報も窃取したとみられます。これらの情報はサーバーへの物理的な攻撃に悪用され、障害や停止、最悪の場合は火災を引き起こす恐れもあります。
研究者らによると、同グループは2026年8月20日に初めてCyrusOneを自らのサイトに掲載しましたが、その時点では被害者名は伏せられていました。代わりにShinyHuntersは「最終警告 – 支払うかリークするか」という警告文を投稿していました。同社には8月24日までに連絡するよう期限が設けられていましたが、それは果たされなかったようです。
その3日後となる8月23日、ShinyHuntersは被害者としてCyrusOneの名前を公に明かし、データの見返りとして1,300万ドルを要求していると表明しました。現在すでに期限は過ぎていますが、状況に変化はありません。被害者側は沈黙を保ったままで、ShinyHuntersもデータの流出には至っていません。
