Red Hatのデータ侵害が拡大、ShinyHuntersが恐喝に加担

エンタープライズ向けソフトウェア大手のRed Hatが、ShinyHuntersグループによる恐喝の標的となっており、盗まれたカスタマーエンゲージメントレポート（CER）のサンプルが彼らのデータリークサイトで公開されています。

Red Hatのデータ侵害のニュースは先週明らかになりました。ハッカーグループ「Crimson Collective」が、28,000件の社内開発リポジトリから圧縮データ約570GBを盗んだと主張したのです。

このデータには、顧客のネットワーク、インフラ、プラットフォームに関する機密情報が含まれる可能性のある約800件のカスタマーエンゲージメントレポート（CER）が含まれているとされています。

脅威アクターは、Red Hatに対してデータの公開を防ぐための身代金支払いを要求しましたが、返答はなかったと主張しています。

その後Red HatはBleepingComputerに対し、この侵害はRed Hat Consultingのコンサルティング業務専用に使用されていたGitLabインスタンスに影響したことを認めました。

侵害が公表された直後、「Scattered Lapsus$ Hunters」として知られる脅威アクターがCrimson Collectiveと連絡を取ろうとしました。

昨日、Crimson Collectiveは、Scattered Lapsus$ Huntersと提携し、新たに立ち上げられたShinyHuntersのデータリークサイトを利用してRed Hatへの恐喝を続けると発表しました。

「1949年4月4日にNATOが設立されたが、もし今日の新たな同盟がそれよりも大きかったら？しかし、より偉大な目的、企業の精神を破壊するために」と、ハッカーグループのTelegramチャンネルへの投稿には書かれています。

「もし、Crimsonの輝きがさらに遠くまで広がったら？」

「今回の発表に関して、今後の攻撃やリークにおいてShinyHuntersと協力する予定です」とCrimson Collectiveの脅威アクターはBleepingComputerに語りました。

この発表と同時に、Red Hatに関するエントリが新たなShinyHuntersのデータリーク恐喝サイトに掲載され、ShinyHuntersと身代金交渉が行われなければ10月10日にデータを公開するとRed Hatに警告しています。

さらに、脅威アクターは盗まれたCERのサンプルを公開しました。その中にはWalmart、HSBC、カナダ銀行、Atos Group、American Express、国防総省、Société Française du Radiotéléphoneのものが含まれています。

BleepingComputerはこの件についてRed Hatに問い合わせましたが、回答は得られませんでした。

ShinyHuntersの恐喝アズ・ア・サービス

数か月にわたり、BleepingComputerは、ShinyHuntersが恐喝アズ・ア・サービス（EaaS）として活動していると推測してきました。これは、ランサムウェアアズ・ア・サービスのギャングと同様に、他の脅威アクターと協力し、恐喝の要求額の一部と引き換えに企業を恐喝するというものです。

この仮説は、さまざまな脅威アクターによる多数の攻撃に基づいており、すべてShinyHuntersの名のもとに恐喝が行われていました。Oracle CloudやPowerSchoolを標的としたものも含まれます。

ShinyHuntersとの会話もこの仮説を裏付けており、同グループは特定の侵害の首謀者ではなく、盗まれたデータの仲介者として行動していると以前から主張していました。

さらに、「ShinyHunters」という名で知られる人物の逮捕者も過去数年にわたり多数出ており、Snowflakeのデータ窃盗攻撃やPowerSchoolの侵害、Breached v2ハッカーフォーラムの運営に関連する者も含まれています。

しかし、これらの逮捕後も新たな攻撃が発生しており、企業には「We are ShinyHunters」と記された恐喝メールが届いています。

本日、ShinyHuntersはBleepingComputerに対し、他の脅威アクターの攻撃によって発生した恐喝支払いから収益の一部を受け取る形で、非公開でEaaSとして運営していたと語りました。

「これまで一緒に仕事をした人たちは、70%または75%を受け取り、私は25～30%を受け取っています」と脅威アクターは述べています。

ShinyHuntersのデータリークサイトの立ち上げにより、脅威アクターは恐喝サービスを公然と運営し始めたようです。

Red Hatに加え、ShinyHuntersは2025年2月に侵害されたと主張する別の脅威アクターに代わり、SP Globalに対しても恐喝を行っています。

BleepingComputerは当時、SP Globalにこの疑惑について問い合わせましたが、主張は虚偽であり、同社は侵害されていないと回答しました。

しかし、脅威アクターは現在、攻撃時に盗まれたと主張するデータのサンプルをデータリークサイトで公開し、同様に10月10日を期限としています。

本日再びSP Globalにデータリークサイトへの掲載について問い合わせたところ、同社はコメントしないと決定しました。

「そのような主張についてはコメントしません。米国上場企業として、重大なサイバーセキュリティインシデントは公に開示する義務があることを付記します」とSP GlobalはBleepingComputerに語りました。