2025年3月下旬、Oracle Cloudのログインサーバーから大規模なデータが盗み出されたとの情報が浮上しました。当初Oracle社はこれを否定していましたが、4月に入り情報漏えいの事実を認める事態となっています。
本記事では、この事件の背景や漏えいした情報の内容、企業やユーザーへの影響、そして今後の対策について解説します。
Oracleが情報漏えいを認めた経緯
ハッカー“rose87168”は、2025年3月21日に「Oracle CloudのSSO（シングルサインオン）ログインサーバーから膨大な顧客データを入手した」と発表し、そのデータをダークウェブで売りに出しました。流出したデータは約600万件に上るとされています。
当初Oracle社はこの報告を否定していましたが、その後、独自調査や証拠の提示を受けて否定しきれなくなり、4月に一部顧客に不正アクセス発生を通知するに至りました。
漏えいした情報は何か？
では、実際にどのような情報が漏えいした可能性があるのでしょうか。
Oracle社の通知によれば、顧客のログイン認証情報が不正アクセスにより流出したとのことです。具体的にはユーザー名、パスワード（暗号化されたもの）、認証に用いる鍵やトークンなどが含まれていたとされています。
Oracle社は、ハッカーが侵入したのは「8年間使用されていないレガシー環境」だと説明し、同時に「盗まれた認証情報は深刻なリスクをもたらさない」との見解も示しています。しかし一方で、流出したデータの中には2024年時点の比較的最近の顧客ログイン情報も含まれていたとの報道もあり、Oracle社の説明に対して疑問の声が上がっています。
現在でも有効なアカウント情報が漏れている可能性も否定できず、必ずしも安全とは言い切れない状況です。
情報漏えいの影響と広がり
企業やユーザーへの影響も看過できません。認証情報が漏えいした場合、攻撃者はその情報を使って不正ログインを試みる可能性があります。
実際にセキュリティ専門家は、今回漏れたデータは「フィッシングメールを送りつけユーザーのアカウントを乗っ取るために利用できる豊富なデータセットだ」と警告しています。つまり、漏えいした認証情報を悪用したフィッシング詐欺や他サービスへの不正ログインなど、更なる被害につながる恐れがあります。
▼フィッシング詐欺についてはこちらから🔗
Oracle社が当初この問題を否定していたことから、対応の遅れにも批判が集まっています。例えば米国では、本件に関しOracle社が被害者への通知を怠ったとして集団訴訟が起こされています。訴状では侵害判明後60日以内に通知しなかった点が問題視されており、迅速な情報開示の重要性が改めて浮き彫りになりました。
Oracle社の公式見解と今後の対応
現在、Oracle社はFBI（米連邦捜査局）や専門のセキュリティ企業と協力して原因究明を進めています。また、侵入されたシステムを「8年間未使用のレガシー環境」と説明し、漏えい情報による深刻なリスクは生じないとの見解を示しています。
今後はセキュリティ対策の強化や迅速な情報公開など、信頼回復に向けた取り組みが求められるでしょう。
まとめ
今回の情報漏えいは、クラウドサービスを活用するすべての企業にとって、セキュリティの見直しを迫る重要な警鐘となりました。クラウドの利便性と引き換えに、予期せぬリスクも存在します。
ベンダー任せにするのではなく、自社でも対策を講じることが、被害を最小限に抑える鍵となります。今後も同様のインシデントが起きる可能性を考慮し、平時からの備えを徹底していきましょう。
コメント