オラクルは、同社の主要なビジネスソフトウェア製品のゼロデイ脆弱性を修正したと発表しました。この脆弱性をハッカー集団が悪用し、企業幹部の個人情報を盗んでいるということです。
オラクルのチーフセキュリティオフィサー、ロブ・デュハート氏は、週末に更新された短い投稿で、同社がオラクルE-Business Suiteの脆弱性を修正するための新しいパッチをリリースしたと述べ、顧客に対して速やかにアップデートをインストールするよう促しました。
セキュリティアドバイザリーによれば、このバグは「ユーザー名やパスワードなしでネットワーク経由で悪用可能」であるとされています。アドバイザリーには、オラクルの顧客がハッカーの痕跡を特定するためのいくつかの妥協の指標が提供されており、現在、ハッカーがこの脆弱性を悪用して顧客の機密データを盗んでいる可能性があるとしています。
オラクルによれば、世界中の数千の組織がE-Business Suiteを使用しており、顧客データや従業員の人事ファイルを管理しています。このバグはゼロデイと呼ばれ、オラクルが悪用される前に修正する時間が与えられなかったことを意味します。
デュハート氏の更新された投稿は、今週初めの投稿からの方向転換を示しており、以前のバージョンでは、いくつかの幹部が7月に修正された既知の脆弱性に関連した恐喝メールを受け取ったことをオラクルが認識していると述べていました。新たに特定されたゼロデイバグは、ハッカーがオラクルのE-Businessソフトウェアの当時オラクルが知らなかった欠陥を引き続き悪用していることを示唆しています。
企業幹部を狙った恐喝の試みのニュースは先週初めて明らかになりました。10月2日、Googleのセキュリティ研究者は、最近数年間で多くのランサムウェア攻撃や恐喝の試みに関連するハッカー集団「Clop」が、9月29日頃からオラクルの幹部にメールを送り、個人情報を公開しないために金銭を要求していることを発見したと発表しました。
Googleのインシデント対応部門Mandiantの最高技術責任者、チャールズ・カルマカル氏は、日曜日にLinkedInで公開した投稿で、オラクルのE-Businessソフトウェアの脆弱性がデータ窃盗と恐喝の「大規模な悪用」キャンペーンに使用されていると述べました。カルマカル氏によれば、7月のパッチがリリースされた後、8月に多くの悪用が行われたということです。
「Clopは先週の月曜日から複数の被害者に恐喝メールを送っている」とカルマカル氏は述べましたが、すべての被害者に連絡が取られているわけではないとしています。