Bimbo Bakeries USA(BBU)は、攻撃者がOracle E-Business Suiteのゼロデイ脆弱性を悪用したことで、従業員の社会保障番号が流出したことを確認しました。
今回のインシデントは、Oracle EBSを利用するサードパーティベンダーに関連しており、Oracleの顧客を標的とした大規模な恐喝キャンペーンの一環とみられています。
2026年8月31日付のデータ侵害通知の中でBimbo Bakeries USAは、2025年12月6日に、攻撃者が当時未知だったOracle E-Business Suiteの脆弱性を悪用し、同プラットフォームからファイルを取得していたことが判明したと明らかにしました。
同社の通知は2026年9月4日にカリフォルニア州司法長官事務所に提出されています。
同申請書によると、今回の侵害はサードパーティベンダーとの関係を通じて発生したとされており、機密性の高い従業員情報や業務情報を扱う企業資源計画(ERP)プラットフォームに伴うサプライチェーンおよびサードパーティのリスクを改めて浮き彫りにしています。
Bimbo Bakeriesは脆弱性の存在を把握した後、Oracleの緊急セキュリティパッチを適用し、フォレンジック調査を開始したとしています。
この調査では、不正アクセスの範囲の特定、影響を受けたファイルの特定、そして盗まれたデータに個人情報が含まれていたかどうかの確認に重点が置かれました。
2026年8月19日、Bimbo Bakeriesは今回のインシデントで取得されたファイルの一つに、個人の氏名と社会保障番号が含まれていたことを確認しました。同社はその後、法律で義務付けられている侵害通知プロセスを開始しています。
Bimbo Bakeriesは通知の中でOracleの具体的な脆弱性を特定していませんが、報告されたタイムラインと影響を受けた技術は、Oracle E-Business Suiteにおける未認証のリモートコード実行を可能にする深刻な脆弱性CVE-2025-61882が広範囲に悪用された事例と一致しています。
この脆弱性は、Oracle EBSのConcurrent ProcessingモジュールにあるBI Publisher Integrationコンポーネントに影響を及ぼすものです。CVSS深刻度スコアは9.8で、リモートの攻撃者が有効な認証情報を持たずに、脆弱なOracle EBSサーバー上で任意のコードを実行できる可能性があります。
Google傘下のMandiantは、Oracleが2025年10月4日に緊急パッチをリリースする以前、2025年8月の時点で既にこの脆弱性が実際に悪用されていたことを突き止めています。
研究者らは今回の攻撃キャンペーンを、マネージドファイル転送製品、企業向けアプリケーション、大規模なサードパーティデータ環境を繰り返し標的にしてきたClopランサムウェア・恐喝グループによるものと特定しています。
Clopの攻撃者は、恐喝要求を出す前にOracle EBSのゼロデイ脆弱性を利用して被害者のデータを窃取していたとされています。この広範なキャンペーンの被害に遭ったとされる組織には、ハーバード大学やワシントン・ポスト紙が含まれると報じられています。
CISAはその後、Oracle EBSの脆弱性を既知の悪用脆弱性(KEV)カタログに追加し、連邦機関や重要インフラ組織に対して修正対応を優先するよう求めています。
Bimbo Bakeries USAは、今回の侵入をClopによるものと公式に認めておらず、影響を受けた人数や、身代金要求を受け取ったかどうかについても明らかにしていません。ただし同社は、このインシデントを受けてベンダーとの関係を再評価しているとしています。
影響を受けた個人には、Cyberscoutを通じて12カ月間の無償の単一機関信用モニタリングおよび不正利用支援サービスが提供されています。
流出した社会保障番号は、アイデンティティ窃盗、税務詐欺、アカウント乗っ取り、標的型フィッシングなどにつながる恐れがあるため、影響を受けた従業員は信用情報の確認や、不正利用アラート・信用凍結の検討、また身に覚えのない連絡への注意を怠らないようにする必要があります。
Oracle EBSのバージョン12.2.3から12.2.14を運用している組織は、2025年10月の緊急パッチが適用済みであることを確認するとともに、2025年半ば頃までさかのぼってBI Publisherの不審な操作履歴がないかログを見直し、EBS連携で使用している認証情報をローテーションすることが推奨されます。
今回のインシデントは、インターネットに公開された基幹企業プラットフォームのゼロデイ脆弱性が、いかに急速に重大なデータ窃取の攻撃経路となり得るかを示す事例といえます。
不審なアクティビティをより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストをセキュリティチームに。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/bimbo-bakeries-usa-data-breach/