通信大手Coltはサイバー攻撃の影響を過小評価している一方で、攻撃者は盗んだとされるデータの一部を公開しました。
A9 STUDIO – shutterstock.com
Colt Technology Servicesは、ヨーロッパ、アジア、北米の900のデータセンターを接続するイギリスの通信企業で、2025年8月12日にサイバー攻撃の被害に遭いました。
当初、この件は「技術的な問題」とされていましたが、現在では同社が攻撃を認め、オンラインポータルやVoice-APIプラットフォームを含む内部サポートシステムを停止したことが明らかになっています。これは顧客のインフラを保護するための措置です。
「Colt OnlineやVoice-APIプラットフォームを含む一部のサポートシステムが引き続き利用できないことを深くお詫び申し上げます」と通信大手は声明で述べています。「今週初めに発生したサイバーインシデントにより、予防措置としてこれらのサービスを一時的にオフラインにしました。」Coltによれば、顧客や従業員のデータにはアクセスされていないとしています。
盗まれたデータが販売中
一方、WarLockというランサムウェア集団と関係があると主張し、「cnkjasdfgd」という偽名を使う攻撃者が公に今回の攻撃の責任を認めました。このグループは、財務書類、内部メール、従業員や経営陣の情報、システムアーキテクチャに関する情報など、機密データを含むとされる100万件の文書を販売しています。
給与データ、顧客連絡先、内部コミュニケーション、ソフトウェア開発計画も含まれているとされています。20万ドルの身代金要求とともに、ハッカーたちは証拠としてサンプル文書を用意し、Coltが支払わなければ公開すると脅迫しています。
Colt：コアネットワークは影響なし
このインシデントに関する公開アップデートで、Coltはネットワークのコアインフラには影響がなく、サポートシステムのみが予防的にオフラインにされたと強調しました。同社は「自動監視システムの停止により手動対応となるものの、引き続き顧客ネットワークの監視やインシデント対応が可能である」と述べています。
セキュリティ専門家は、今回の攻撃がMicrosoft SharePointの最近修正された脆弱性CVE-2025-53770を経由して行われた可能性が高いと見ています。Kevin Beaumont氏らの研究者は、攻撃者が既存のSharePointセキュリティパッチを回避し、ToolShellとして知られるエクスプロイトチェーンを使ってリモートコード実行やWebシェルの設置による深いアクセスを得た可能性を指摘しています。
発見後数週間で、SharePoint-ToolShellエクスプロイトは急速に拡大する攻撃の中で武器化されました。著名な被害者には、米国原子力安全保障局（National Nuclear Security Administration）、国立衛生研究所（NIH）、国土安全保障省（Department of Homeland Security）などが含まれます。これらはすべて中国と関連するハッカーグループStorm-2603による攻撃を受けました。
「Coltは1週間以上にわたりWarLockランサムウェアグループから脅迫を受けており、それを隠そうとしてきた」とBeaumont氏は最近Mastodonで投稿しています。「アクセスはおそらくsharehelp.colt.net経由でCVE-2025-53770を利用して行われ、攻撃者がそれとやり取りしていた。」さらに、同グループが数百ギガバイトの顧客データやドキュメントを盗み、ロシアのTorサイトにファイルのリストを公開したと付け加えています。
「今年に入り、通信事業者が特に攻撃に脆弱であることが明らかになっています。このWarLock攻撃[JD2]は、こうした企業や大規模ネットワークプロバイダーが直面する繰り返しの課題を浮き彫りにしています」とExabeamのセキュリティオペレーション戦略担当Gabrielle Hempel氏はコメントしています。「サービスプロバイダーとして活動し、サポートレイヤーサービスが停止すると、運用面でドミノ効果が生じます。Coltが『コアネットワークインフラ』は無傷だと主張していても、ホスティング、ポーティング、APIサービスの停止は顧客の信頼や後続の業務に影響を与えます。」
このセキュリティ専門家によれば、今回の事件はパッチ適用のタイムラインに再び注目を集めています。「SharePointのRCEや同等の重大な問題は、外部公開システムでは数週間ではなく数時間で対処されるべきです。重要インフラ事業者はRCEパッチパイプラインを優先し、可能な限りインターネット対応サービスには自動化を導入すべきです。」注目すべきは、MicrosoftがCVE-2025-53770に対して不完全なパッチを提供していたため、7月に脆弱性が完全に修正されるまで大量の悪用が可能となっていたことです。（jm）
ニュースレターを購読する
編集部から直接あなたの受信箱へ
下にメールアドレスを入力して開始してください。