FBI、パッチ未適用で職員情報流出を招いたアクセンチュアの請負業者を排除

要点

• 米連邦捜査局（FBI）が、ハッカー集団「ShinyHunters」によるデータ侵害を受け、アクセンチュアの請負業者を排除した。

• プラットフォーム保護のために発行されたセキュリティパッチの適用を請負業者が怠ったことが侵害を招いたとされる。

• 標的となったのはFBIの求人ポータルであり、職員数千人分の個人情報が窃取された。

• 攻撃にはOracle PeopleSoftの脆弱性が悪用され、URLエンコードによりWAFの遮断ルールが回避されたと分析されている。

• FBIは本件の捜査を継続しており、すでにShinyHuntersのメンバー2名を逮捕し、さらなる逮捕の可能性を警告している。

• 米連邦捜査局（FBI）が、ハッカー集団「ShinyHunters（シャイニーハンターズ）」によるデータ侵害に関与したとして、アクセンチュアの請負業者を業務から排除したことが明らかになった。ロイター通信が2026年10月6日、事情に詳しい関係者2名の証言として報じた。このインシデントでは数千人におよぶFBI職員の個人情報が流出しており、プラットフォーム保護のためのセキュリティ修正プログラムを請負業者が適用しなかったことが原因だという。

パッチ未適用によるセキュリティ障害と請負業者の排除

ロイターの報道によると、今回のインシデントは外部組織が管理するプラットフォームのセキュリティ障害に起因している。

FBIサイバー部門のアシスタントディレクターを務めるブレット・レザーマン（Brett Leatherman）氏はロイターに対し、「これまでの調査により、本インシデントは第三者組織が管理するプラットフォームのセキュリティ障害の結果として発生したことが判明している」と説明した。同氏によると、当該プラットフォームを保護するために明示的に発行されていたセキュリティパッチ（ソフトウェアの脆弱性を修正するプログラム）の適用を請負業者が怠った後に、インシデントが発生したという。

これを受け、レザーマン氏は「FBIは当該の請負業者を排除し、さらなるリスクの軽減と職員の保護に必要なすべての措置を講じた」と述べており、直ちに安全確保に向けた対策を実行したことを明かしている。

侵害された求人ポータルとOracle PeopleSoft

FBIは問題となった第三者組織の具体的な名称を公表していない。しかし、ロイターが取材した関係者によると、該当するプラットフォームは「Oracle PeopleSoft（オラクル・ピープルソフト）」であるという。

このPeopleSoftを巡っては、ShinyHuntersグループが先月、FBIの求人ポータルに不正侵入するために悪用したと主張していた。その結果、数千人ものFBI職員に関する個人情報が外部へ盗み出される事態を招いたと報じられている。採用関連のポータルサイトが攻撃の糸口となり、多数の職員情報が流出する結果となった。

URLエンコードを用いたWAF回避の手口

今回の攻撃手法に関して、Google傘下のサイバーセキュリティ企業であるMandiant（マンディアント）が分析を報告している。

Mandiantの評価によると、ShinyHuntersは脆弱性「CVE-2026-35273」（セキュリティ上の欠陥に割り当てられる一意識別番号）のバイパス手法を悪用したとされる。攻撃者は、脆弱なエンドポイント（通信の接続終端）である「Environment Management Hub（PSEMHUB）」へのアクセスを遮断するWAF（Webアプリケーションファイアウォール：不正なWeb通信を検知・遮断する防御システム）のルールを回避するため、URLエンコード（特殊文字を特定の文字列表現へ変換する処理）の技法を使用していたという。本来であれば通信が遮断されるはずの脆弱な機能に対して、防御フィルターを迂回する形で到達されたことが攻撃の成立につながったとみられる。

各組織の対応とハッカー集団への捜査状況

本件について、The Hacker NewsはFBIおよびOracleにコメントを求めており、回答があり次第記事を更新するとしている。一方、アクセンチュアはロイターに寄せた声明で、「FBIのミッションを支援できることを誇りに思っており、今後も支援を継続する」と述べ、引き続きFBIの任務を支援していく姿勢を示した。

また、FBIによる侵害調査が進む中、ShinyHuntersのメンバー2名がすでに逮捕されたことも明らかになった。FBIはパートナー機関と連携して手がかりの確保と追跡を継続しており、今後さらに逮捕者が出る可能性が高いと警告している。