Bimbo Bakeries USA(BBU)は、サードパーティベンダーが使用するOracle E-Business Suite(EBS)のゼロデイ脆弱性を悪用され、氏名と社会保障番号(SSN)を含むファイルに攻撃者からアクセスされたことを明らかにしました。
セキュリティ製品とサービス
同社は2025年12月に不正アクセスを確認していましたが、社会保障番号が含まれていたことが判明したのは2026年8月になってからでした。
Bimbo Bakeries USAのデータ侵害
8月31日付の通知の中で、BBUは、ゼロデイ脆弱性を把握した後にOracleが提供するパッチを適用し、調査を開始したと説明しています。
2025年12月6日に完了した調査により、影響を受けたOracle EBSアプリケーション内に保存されていたファイルに、権限を持たない第三者がアクセスしていたことが確認されました。これを受けてBBUは、該当ファイルの内容を精査しました。
2026年8月19日に行われたこの精査により、影響を受けた各個人の氏名と社会保障番号が含まれるファイルの存在が判明しました。
ただし、BBUは影響を受けた人数、流出したデータの量、初期侵入経路、また侵入者がEBS環境以外のシステムにアクセスしたかどうかについては明らかにしていません。
さらに同社は、今回の侵入を特定の攻撃グループに帰属させる発表や、金銭要求を受けたかどうかについての言及も行っていません。
BBUはベンダーとの取引関係を見直しており、影響を受けた人々に対してはCyberscoutを通じて、単一機関によるクレジットモニタリング、クレジットレポート、信用スコアサービス、および詐欺対応支援を12か月間提供するとしています。
同社の通知では、対象者に対しアカウントの利用状況やクレジットレポートを確認するよう勧めており、不正利用アラートやセキュリティフリーズの設定方法についても説明しています。
BBUの通知にはCVE(共通脆弱性識別子)番号は明記されていませんでした。しかし、時系列と影響を受けたアプリケーションから見て、今回の件はCVE-2025-61882に関連するOracle EBSキャンペーンと一致しています。
Oracleが2025年10月にリリースした緊急パッチは、EBSバージョン12.2.3から12.2.14までに影響を及ぼし、認証を経ない状態でのリモートコード実行を許してしまうこの重大な欠陥に対処するものでした。
Google Threat Intelligence Group(GTIG)によると、悪用はパッチが公開される前の2025年8月から始まっていた可能性が高いとされています。その後研究者らは、CL0Pブランドに関連する大規模な恐喝キャンペーンの動きを追跡しました。
ただし研究者らは、ブランド名だけでは確定的な攻撃主体の特定には不十分であると注意を促しています。BBUはCL0Pとの関連を確認しておらず、両者のつながりはあくまで状況証拠にとどまり、確定的に立証されたものではありません。
GTIGは、/OA_HTML/SyncServletへのPOSTリクエストを起点とする侵害を確認しており、その後悪意あるEBSデータベーステンプレートが作成され、Template Previewで実行される流れを確認しています。
調査すべき痕跡としては、TMPまたはDEFで始まるTemplateCodeの値、特にXSL-TEXTまたはXMLテンプレート形式のものが挙げられます。また研究者らは、GOLDVEIN.JAVAや、SAGEGIFT、SAGELEAF、SAGEWAVEの各チェーンを含む、Javaベースのメモリ常駐型ペイロードも検出しています。
Oracle EBSの運用者は、パッチ適用だけで対策が完了したとみなすべきではありません。緊急修正プログラムと、その前提となるCritical Patch Updateが適切に導入されていることを確認することが重要です。
運用者は、SyncServlet、UiServlet、TemplatePreviewPGへのリクエストについて過去のログを調査し、XDO_TEMPLATES_BおよびXDO_LOBSに新規または異常なテンプレートがないか確認する必要があります。EBSサーバーからの不要なインターネットアクセスを制限することで、ペイロードの取得やデータの持ち出しを妨げることができます。
今回のBBUの事例は、機密性の高い従業員データを保持するプラットフォームに伴うサードパーティリスクを浮き彫りにしています。組織は、ベンダーがホストするEBS導入環境の棚卸しを行い、ログの保存期間とフォレンジックアクセス要件を定め、インシデント発生後の長期にわたるデータ精査期間を想定した通知プロセスをテストし、サードパーティによるインシデント対応演習でそれらの手順を検証すべきです。
SOCを常に最新の状態に保ち、出現から24時間以内にアクティブなマルウェアやフィッシングの脅威を把握しましょう。ANYRUNを試して早期検知でインシデントを防ぎましょう。
翻訳元: https://gbhackers.com/bimbo-bakeries-usa-data-breach-exposes-ssns/
