ソフトウェア大手アドビがまさかのハッキング被害！個人情報1,300万件、従業員記録1.5万件が漏えい。インドの外部委託業者が突破口に
ソフトウェア大手のAdobe、ハッカー「Mr. Raccoon」に侵入された疑い。攻撃者はインドの外部委託業者を通じてサプライチェーン攻撃を仕掛け、1,300万件の顧客サポートチケット、従業員の記録、そしてHackerOneの機密データを盗み出した。
（前情提要：Elliptic 報告：Drift Protocol「2.8 億ドル窃盗事件」真犯人は北朝鮮ハッカーの疑い！クロスチェーンのマネーロンダリング手法があまりにプロ）
（背景補足：TrueBit プロトコルがハッカー攻撃を受けた疑い！8,535枚のイーサリアムが異常転出、$TRU が瞬時に半減）
この記事の目次
Toggle
- インドの外部委託業者が突破口に、トロイの木馬とフィッシングを二段構え
- システムの脆弱性が悪用され、数千万件のデータが瞬時に吸い出される
- 公式は未確認、専門家はユーザーに早急なパスワード変更を促す
世界のソフトウェア大手Adobeに重大なサイバーセキュリティ危機が発生。4月2日から、セキュリティコミュニティの間で、自称「Mr. Raccoon」のハッカーによる壊滅的な攻撃が広く拡散している。公開されたスクリーンショットと情報によれば、ハッカーはAdobeのシステムに正常に侵入し、極めて機微な内部データを窃取したという。この事件には、個人情報を含む顧客サポートチケット（Support Tickets）最大1,300万件、Adobe従業員の記録1.5万件、さらにはHackerOneのバグバウンティ・プログラムにおける詳細な報告内容までもが、すべて漏えいしたとされる。
🚨‼️ BREAKING: Adobe has been breached by threat actor Mr. Raccoon, leaking 13 million support tickets with personal data, 15,000 employee records, all HackerOne submissions, internal documents and more.
Mr. Raccoon gained access through an Indian BPO, first deploying a remote… pic.twitter.com/cCH74Fjluk
— International Cyber Digest (@IntCyberDigest) April 2, 2026
インドの外部委託業者が突破口に、トロイの木馬とフィッシングを二段構え
今回の攻撃は、Adobeの防御が厳重な中核システムを正面から直接突破したものではなく、「サプライチェーン攻撃」（Supply Chain Attack）が用いられた。攻撃者は、Adobeの顧客サポート業務を担当するインドの業務フロー外部委託（BPO）会社を標的にした。攻撃者はまず、BPO従業員に偽装したフィッシングメールを送付し、遠隔アクセスツール（RAT）を見事に埋め込んだ。その後、当該従業員のワークステーションやネットワーク・カメラを完全に掌握しただけでなく、個人のWhatsAppの会話履歴まで丸ごと閲覧できたという。
足場を固めた後、ハッカーは当該従業員の身分を利用して、その上司に対して標的型の社内フィッシング攻撃を仕掛け、これによりより高いシステムへのアクセス権限を順調に取得した。この事件は改めて、企業が中核業務を第三者に外部委託する際、サプライヤーのセキュリティ防御が脆弱であれば、それが企業全体のセキュリティ網における最大の弱点になり得ることを浮き彫りにした。
システムの脆弱性が悪用され、数千万件のデータが瞬時に吸い出される
高権限を手に入れた後、ハッカーは直ちに、Adobeの顧客サポートシステムにおける設計上の致命的欠陥を見つけた。ハッカーは、システムが代理人によるチケット一括エクスポートを許可していると嘲笑した。つまり、バックエンドには有効なレート制限、または大量エクスポートを監査する仕組みが欠けていたため、ハッカーは何の障害もなく、ユーザー名、連絡先、問題の説明を含む1,300万件のデータを徹底的に吸い出すことができた。
さらに、HackerOneの脆弱性報告内容の漏えいは、破壊力の面でも非常に深刻だ。これは、ハッカーがAdobeの未修正のシステム脆弱性と内部運用の機密情報をすでに把握している可能性が高く、将来的に、より深刻な二次攻撃や恐喝の脅威につながり得ることを意味する。
公式は未確認、専門家はユーザーに早急なパスワード変更を促す
現時点では、Adobe公式は公式サイトやコミュニティ・プラットフォーム上で、この重大なサイバーセキュリティ事件について何らかの公開声明を出していない。しかし、このハッカー侵入はコミュニティ内で大きな波紋を呼び、多くのネットユーザーが、Adobeが中核のカスタマーサポートをセキュリティ運用が不十分な第三者に委ねていることを強く非難している。もしデータ漏えいが確認されれば、AdobeはGDPR、CCPAなどの国際的なプライバシー規制に基づく巨額の罰金と、厳しいユーザーの信頼危機に直面する恐れがある。
サイバーセキュリティの専門家は強く、すべてのAdobeユーザーに対して、できるだけ早くアカウントのパスワードを変更し、多要素認証（MFA）を有効化し、個人のクレジットカードやアカウントに異常なアクティビティがないかを注意深く監視するよう勧めている。特に、過去に公式へサポートチケットを提出したことがあるユーザーは、漏えいデータを使った精密なフィッシング詐欺に備えて警戒レベルをさらに高める必要がある。
