BAE Systems のサイバーインシデントで米国の破産通知が停止

BAE Systems で発生したサイバーインシデントにより、米国の破産通知が停止しました。連邦裁判所は送達手続きの変更や一部の期限の調整を迫られています。

BAE Systems Inc. が運用するシステムに影響を及ぼすサイバーセキュリティインシデントにより、米国の破産事件に関する公式通知の作成と配信が止まりました。全米規模の障害は2026年10月9日に始まり、債権者、債務者などの関係者に送られる紙と電子の通知に支障が出ています。

米国裁判所事務局（Administrative Office of the US Courts）は10月15日、このインシデントを確認しました。英国の防衛企業 BAE Systems plc の米国子会社である BAE Systems Inc. は、連邦司法部門に代わって破産通知センター（BNC）のシステムとウェブサイトを運用しています。

破産通知関連のウェブサイトがオフラインに

この障害により、bnc.uscourts.gov、bankruptcynotices.uscourts.gov、notices.uscourts.gov など複数のウェブサイトがオフラインになりました。全米債権者登録サービス（National Creditor Registration Service）も利用できません。

米国裁判所は次のように説明しています。「このインシデントの結果、BAE が司法部門に代わって運用する BNC のシステムとウェブサイトへのアクセス、および関連する破産通知の手続きは、現時点ですべて利用できなくなっています」

連邦破産裁判所は申立ての受理と事件の処理を続けています。ただし、BNC を通じて通常配信される紙の通知と電子通知は止まっています。テネシー州東部地区の更新情報によると、登録済みの CM/ECF ユーザーに直接送られる電子通知は、少なくとも一部の地区で引き続き利用できます。

この障害のため、CM/ECF ユーザーの一部は、メーリングマトリックスと呼ばれることもある債権者リストを作成・印刷できません。BNC による配信に頼る関係者には、審問、裁判所命令、事件の申立てに関する情報が遅れて届く可能性があります。

裁判所が通知手続きと期限を変更

破産裁判所は各地区が独自の手続きを運用しているため、対応は地区ごとに異なります。

各裁判所は混乱に対処するため、さまざまな措置を導入しました。フロリダ州南部地区では10月16日に命令が出され、通常は BNC 経由で送られる一部の通知を、管財人、債務者、その代理人弁護士が処理するよう求めています。ルイジアナ州東部地区も、10月7日以降に申し立てられた一部の事件について、特定の通知の郵送を債務者と管財人に割り当てました。

通知が届かないことで影響を受ける手続きに対応した裁判所もあります。インディアナ州南部地区とペンシルベニア州中部地区は、障害のために適切な通知を送達できない場合、債権者集会を終結させず延期するよう指示しました。

テキサス州南部地区は、当事者による期限延長の申請を認め、救済の可否は個別に判断します。ほとんどの裁判所は期限の自動延長を導入していません。一方、フロリダ州中部地区は一部の送達期限を延長し、テキサス州東部地区は該当する事件で自動停止（automatic stay）を30日間延長しました。

BAE Systems がインシデントを調査中

BAE Systems Inc. は、この セキュリティインシデントは BNC システムに限定されており、同社の他のシステムに影響はないと説明しています。同社は米国裁判所事務局と協力し、影響を受けたサービスの復旧を進めています。

両組織とも、原因や攻撃者については明らかにしていません。破産に関する データにアクセスや窃取があったかどうかも不明です。執筆時点で、復旧の見通しは発表されていません。

専門家が第三者システム依存のリスクを警告

Black Hills Information  Security のオーナーである John Strand 氏は Hackread.com に見解を寄せ、今回のインシデントは企業や政府のプロセスがいかに密接につながっているかを示していると述べました。

StudySecurity

「いまだに多くの人が、コンピューターセキュリティを DMZ の発想で捉えています。守るべき内部ネットワークがあり、それを守るべき外の世界がある、という考え方です。しかし、現代の大規模組織を見てください。複数の SaaS プラットフォームやサードパーティ連携があり、自社が所有も管理もしていないシステムの間で顧客データが出入りしています。その境界線は、多くの人が思いたがるよりずっと入り組んでいます」

「クラウドコンピューティングと SaaS によって私たちが持ち込んだリスクに、業界が追いついたとは思えません。そこへ今度は AI が加わり、攻撃者はこれらのサービスや、サービス間の接続を狙う新たな手段を手に入れました。以前から追いついていませんでした。今はなおさら備えができていません」と Strand 氏は付け加えました。

Suzu Labs のセキュアAIソリューション兼サイバーセキュリティ担当シニアディレクター、Jacob Krell 氏も Hackread.com に見解を寄せました。同氏は破産通知を「適正手続きの仕組み」と表現し、司法部門が1社の請負業者に依存している点を指摘しています。

「裁判官はすでに、地区ごとに期限の延長や審問の続行で対応しています。裁判所向けの調達に関わる人が懸念すべきなのは、この点です。障害は法廷には及んでいないのに、全米のあらゆる破産事件の日程が書き換わりました。通常の IT として調達されたベンダーが、司法制度を支える重要インフラになっていたからです」

「サービスの復旧が急務です。それでも根本的な問いは、なぜ通知の仕組みに代替経路がないのかということです。米国裁判所事務局には、次の BAE との契約に、裁判所自身に課すものと同じくらい厳格な事業継続要件を盛り込んでほしいと考えます」と Krell 氏は述べました。