ロシア系とされる攻撃集団「Cl0p（クロップ）」が、企業向け業務システム「オラクルEビジネス・スイート」の欠陥を突き、大手企業を狙った大規模な情報窃取・脅迫キャンペーンを展開しています。石油大手シェルやオランダのフィリップス、米ゼネラル・エレクトリック（GE）、決済大手ファイサーブなど、標的は50社近くに及ぶとされます。
危険度9.8の深刻な欠陥を悪用
今回悪用されたのは、オラクルEビジネス・スイートの部品に存在する深刻な脆弱性「CVE-2025-61882」です。危険度を示すCVSSスコアは10点満点中9.8と最高水準で、認証を経ていない攻撃者が遠隔から不正なプログラムを実行できてしまう欠陥でした。オラクルはすでに修正パッチを公開しています。
「二重脅迫」で89ギガバイトを窃取
Cl0pの手口は、データを暗号化して身代金を要求する従来型ではなく、「盗んだ情報を公開されたくなければ支払え」と迫る「二重脅迫」型です。シェルからは技術図面や施設写真、事業計画など約89ギガバイト、フィリップスからは設計図を中心に約13.5ギガバイトを盗んだと主張しています。
被害企業は50社近くに上るとされますが、この数字はCl0p側の主張であり、独立した検証は済んでいません。シェルは「情報流出の可能性を調査中」とし、侵入を認めるには至っていません。米当局はこの脆弱性を「悪用が確認された脆弱性」の一覧に加え、各組織に速やかな対応を呼びかけています。
日本への影響
オラクルEビジネス・スイートは、会計や人事、調達といった基幹業務を支えるシステムとして、日本の大企業でも幅広く使われています。今回のキャンペーンは決して対岸の火事ではなく、同システムを利用する企業は、修正パッチが適用済みかを最優先で確認することが求められます。パッチ公開後も放置していれば、次の標的になりかねません。
日本の顧客情報や取引データが流出した場合、企業は個人情報保護法に基づき、個人情報保護委員会への報告と本人への通知が義務づけられます。対応の遅れは、取引先からの信用失墜や行政指導という形で経営を直撃します。日本の読者にとっては、取引先を装った不審なメールや脅迫めいた連絡への警戒を強め、勤務先のシステム管理部門にパッチ適用状況を確認しておくことが、身を守る現実的な一歩となります。
まとめ：基幹システムの欠陥は、企業活動そのものを人質に取ります。パッチ適用という基本を、後回しにせず徹底していきましょう。
出典：
Computer Weekly – Oracle patches E-Business suite targeted by Cl0p ransomware
Cyber Security News – Shell Investigating Data Breach Following Cl0p Ransomware Group Claim
BlackFog – Clop’s New Extortion Wave Hits Oracle E-Business Suite
