CyberXeroはClaude Codeを使った攻撃で、ハルキウの暖房事業者のデータを含むウクライナ関連の記録62万8,000件以上を流出させたとされています。画像はChatGPTで生成
SOCRadarが10月6日に公表した調査によると、CyberXeroはAnthropicのClaude Codeを使ったキャンペーンで、ウクライナ国民に関する記録62万8,000件以上を盗み出しました。確認された被害組織には、ハルキウの地域暖房事業者も含まれています。
SOCRadarの調査チームは、このロシア語圏のイニシャルアクセスブローカー（IAB）が2つの作戦に関与していたと結論づけました。1つは世界中のWordPressサイトやeコマースサイトに対する自動化された攻撃、もう1つはウクライナのエネルギー・公益事業者を狙った標的型の偵察活動です。同チームは、ウクライナの4組織からのデータ窃取を確認したほか、エネルギー・公益事業者7組織に対する個別の探索行為も確認しました。
欧州のセキュリティチームにとって、この事例は脆弱なWebアプリケーション、アクセス監視、機密性の高い顧客データベースの保護について、喫緊の課題を突きつけています。
CyberXeroはAIエージェントでWebサイトを大規模に攻撃
SOCRadarは、攻撃者のサーバー上で保護されていないディレクトリを発見したことをきっかけに、この活動を追跡しました。露出していたファイルには、スクリプト、窃取データ、AIのセッションログ、そしてキャンペーンを自動化ツール群に結びつける設定ファイルが含まれていました。
攻撃者は、偵察、悪用、侵入後の活動のために、最大51のClaude Codeエージェントを構成していました。これとは別に、Cobalt StrikeのTeam Serverと連携したPentAGIも運用しており、AIプロバイダーのAPIを利用してペイロード生成やペネトレーションテストの作業を支援していました。
The Hacker Newsによると、61秒間の1回の実行で4,708の標的をスキャンし、429件のWordPress管理パネルへのアクセスを確認し、32個のWebシェルを設置したということです。攻撃者は、CVE-2026-63030、CVE-2026-60137、Support BoardプラグインのCVE-2026-4815などの脆弱性を悪用しました。
回収されたログからは、CyberXeroが悪意あるタスクを「許可されたペネトレーションテスト」だと説明していたことや、モデルに拒否された後にセッションを開き直していたことも判明しました。一方で、バックドアのインストールやファイアウォールの無効化といった要求については、モデルの拒否が維持されたことも研究者らは記録しています。
ハルキウの暖房データが流出、ウクライナの公益事業者には探索行為も
ハルキウの地域暖房事業者では、個人データ、自宅住所、アカウント番号を含む契約者記録56万4,073件が攻撃者に取得されました。さらに、タイムスタンプとIPアドレスを含むアクセスログ21万3,340件も盗まれています。これらのログは別のデータセットであり、被害者がさらに21万3,340人いるという意味ではありません。
SOCRadarは、主要な電力関連組織を含むウクライナのエネルギー・公益事業者7組織に対する偵察活動も確認しました。標的リストにはメール、VPN、ネットワーク運用指令（ディスパッチ）のインフラが含まれていましたが、調査ではこの7組織への侵害やサービス停止は確認されていません。
ウクライナ以外でも、ポーランドのeコマースサイトが侵害されたことが確認されています。同様の公開Webサイトを運用する欧州の組織にとって、このキャンペーンの影響はウクライナの重要インフラにとどまりません。
自宅住所の流出は、戦線に近いハルキウでは特に深刻です。SOCRadarはCyberXeroを金銭目的の攻撃者と位置づけていますが、ウクライナの公益事業者へのアクセスが売却されたことを示す直接的な証拠は見つかっていません。
欧州のセキュリティチームがいま調査すべきこと
このキャンペーンが狙ったのは既知の弱点でしたが、自動化によって防御側の対応猶予は大幅に短縮されました。セキュリティチームは、次の3点を優先的に確認できます。
- Inspect WordPressサイトを点検する。影響を受けるコンポーネントにパッチを適用し、wp2_で始まる不正アカウント、不審なwp2shell_プラグインディレクトリ、WSO系Webシェルを調査します。
- 公開インフラを見直す。Redisへの公開アクセスを制限し、~/.ssh/authorized_keysに見覚えのないエントリがないか確認するとともに、SOCRadarが公開した侵害指標に一致する接続を調査します。
- 顧客データベースを監視する。通常と異なる大量エクスポート、想定外のアカウント権限、契約者情報への不審なアクセスを検知してアラートを出します。特にエネルギー・公益事業者では重要です。
自社でAIエージェントを運用する組織も、セッションログとトークンを保護する必要があります。CyberXeroの露出したログのおかげで調査員はキャンペーンの全容を再構築できました。これらのファイルがいかに多くの運用上の詳細を含み得るかを示しています。
ハルキウでは、研究者らは顧客情報の窃取を記録したものの、暖房供給の停止は確認していません。欧州の公益事業者は、重要サービスが稼働し続けている場合でも、通常と異なる契約者データのエクスポートや特権アカウントの動きを緊急のセキュリティイベントとして扱うべきです。
関連記事: 欧州の組織はMicrosoftのログインを通じた別の脅威にも直面しています。N0vaフィッシングキットはデバイスコード認証を悪用し、ユーザーが多要素認証を完了した後でもアクセストークンを取得します。
翻訳元: https://www.esecurityplanet.com/threats/news-cyberxero-claude-code-data-theft-emea-ukraine/
