Oracle、自社SaaSサービスで発生した深刻なセキュリティ事故の隠蔽を試みた疑い

 (doublepulsar.com)
4 ポイント 投稿者 GN⁺ 2025-04-01 | 2件のコメント | WhatsAppで共有
  • Oracleが管理するSaaSサービスで深刻なサイバーセキュリティ事故が発生したにもかかわらず、Oracleがこれを顧客に知らせず隠蔽しようとした形跡が明らかになった
  • クラウドサービス提供者にはサイバーセキュリティ事故について透明性のある開示が不可欠だが、Oracleはむしろ被害の事実を否定

事件の概要とハッカーの主張

  • 2025年3月21日、ハッカーrose87168が*.oraclecloud.com内の一部Oracleサービスへの侵害を主張
  • Oracleは直ちに**「Oracle Cloudへの侵害はなかった」**と公式に否定し、関連する認証情報はOracle Cloudとは無関係だと説明
  • しかしハッカーは、login.us2.oraclecloud.comサーバーに書き込み権限を持っていたことを示すリンクと資料を提示
    • 当該サーバーはOracle Access Managerベースで、Oracleが直接管理するシステム

流出の証拠と内部会議の録音

  • ハッカーは**Oracle内部会議の録音ファイル（2時間分）**を公開
  • ハッカーはさらに、OracleのWebサーバー設定ファイルや内部システム設定を含む追加資料も公開
    • 流出データには顧客企業の従業員メールアドレスなどの実データが含まれている

Oracleの対応と言葉のすり替え

  • Oracleは「Oracle Cloud」サービスには問題がないと主張しつつ、**旧サービス（Oracle Classic）**へ名称を切り替えることで対象範囲を回避しようとした
  • これは**実際の被害範囲を隠そうとする言葉のすり替え（wordsmithing）**と解釈されている
  • Archive.orgに証拠資料の削除を要請したが、2つ目のURLは削除されず、依然としてアクセス可能

セキュリティコミュニティの反応と要約

  • セキュリティ専門家やメディアはOracleの対応を批判
    • Oracleは顧客データを扱うサービスを運営しながら、信頼と透明性に対する責任を回避している
  • 被害が確認されたサービスは、Oracleが直接運営するクラウドインフラ
  • これは単なる技術問題ではなく、企業の説明責任と倫理の問題

要点まとめ

  • ハッカーはOracleクラウドサービス内部に侵入し、実データとシステム情報を流出させた
  • Oracleはこれを認めず、用語のすり替えで事故の範囲を小さく見せようとした
  • セキュリティ専門家はOracleに明確で公的な説明と顧客保護措置を求めている

関連記事

2件のコメント

 
jjpark78 2025-04-01

オラクルがまたオラクルした
 
GN⁺ 2025-04-01
Hacker Newsの意見
  • Oracleの顧客であれば、この件はそれほど重要ではないだろう。Oracleを選んだ理由は、製品や会社が優れているからではなく、経営陣の非公式な取引によるものだろう
  • セキュリティ事故はここ数年でありふれたものになった。Oracleがこれを認めていれば、数日で忘れ去られていただろう。しかし事態はますます深刻化している
  • セキュリティ事故の際に最低限の情報すら提供されないのなら、なぜその会社と仕事をする必要があるのか疑問だ。Oracleの最終的な目的が何なのか気になる
  • Oracleは本当にこの事件が発生していないと確信しているのか、それともログが存在しないのか疑問だ。これは単なる嘘ではないのかと考えてしまう
  • 最近、これほど強く否定する会社を見たことがない。Ars Technicaによると、Oracleの広報担当者は匿名で声明を出そうとしたが拒否された
  • 州法ではセキュリティ侵害時に顧客へ通知することが求められているが、強制力が弱く無視されている。連邦法が必要だ
  • 主にAWSを使っているが、OracleのBDRからLinkedIn経由で連絡があった。事件報告書を求めたが、Oracle Cloudには侵害がなかったという短い返答しか得られなかった
  • Larry EllisonのOracleデータセキュリティスキャンダルに、また1件加わった。Larryの他の政治的・社会的スキャンダルとも一致している
  • NetSuiteは、顧客に損失が発生した場合、12か月分のライセンス費用の5倍まで補償する
  • ポスト・トゥルース時代は混乱している。しかし、これはOracleの標準的な振る舞いのように見える
  • Oracleは長年の顧客に許しを請うべき時だ
  • OracleがArchive.orgから項目を削除できることが恐ろしい