アポロの2026年7月データ侵害、何が流出し電話詐欺はどう侵入したのか

アポロで何が起きたのか

米投資運用会社のアポロ・グローバル・マネジメントは、ソーシャルエンジニアリングを利用した攻撃によるデータ侵害を公表しました。調査によると、攻撃者は2026年7月6日から10日までの4日間に、同社の一部クラウドプラットフォームへ不正にアクセスしました。アポロは、一部の個人情報が盗まれたと説明しています。 13

今回の侵入について、現時点で公表されている情報では、特定のソフトウェアの脆弱性を悪用した攻撃だったとは確認されていません。アポロは当局への届け出と法執行機関への通報を行い、調査を続けています。 167

影響を受けた人数や、記載されたすべての情報項目が各対象者に当てはまるのかどうかは、同社の公開情報では明らかになっていません。

流出した可能性がある個人情報

アポロの通知では、次の情報が影響を受けた可能性があるとされています。

• 氏名
• 生年月日
• 連絡先
• 自宅住所
• 社会保障番号（Social Security number） 45

米国の社会保障番号は、本人確認や金融手続きなどに使われる重要な識別情報です。そのため、現時点でなりすまし被害や詐欺が確認されていなくても、情報の性質から見て注意が必要です。

「不正利用の証拠は見つかっていない」という説明は、開示時点での調査結果を示すものです。将来にわたって悪用されないことを保証するものではありません。

アポロの対応と対象者への支援

アポロは、インシデントを調査し、法執行機関に連絡するとともに、セキュリティ対応を強化しました。また、情報が関係した可能性のある個人への直接通知を開始しています。 167

通知書によると、対象者には第三者による本人確認情報の保護サービスと信用情報モニタリングが無償で提供されました。 一方、公開されている情報だけでは、サービスの正確な提供期間やすべての利用条件までは確認できません。

情報はネット上に流出し、詐欺に使われたのか

アポロは、情報が公開されたり、なりすまし犯罪や詐欺に使われたりした証拠は、開示時点では見つかっていないと説明しています。 37

ここでは、次の3点を区別することが重要です。

• システムへの不正アクセスは確認されている
• 一部の個人情報が盗まれた、または危険にさらされた可能性がある
• 開示時点では、公開流出や被害者の詐欺被害は確認されていない

調査は継続中です。今後、情報がオンライン上に出現したり、悪用の試みと結びついたりすれば、被害の評価が変わる可能性があります。

背景にある「電話を使った」攻撃キャンペーン

アポロのインシデントは、金融機関や大企業を狙った、より広範な攻撃のさなかに起きました。報道では、ブラックストーン、KKR、ブリッジウォーターなども、身代金を狙う攻撃者の標的になった企業として挙げられています。 11719

攻撃者は電話で社内のIT担当者やヘルプデスク職員を装い、従業員に接触したとされています。たとえば「セキュリティ移行が必要」「アカウントを更新しなければならない」といった、緊急性がありそうで不自然ではない説明をし、パスワードや多要素認証（MFA）のコードを入力させる手口です。入力先には、企業の正規サイトに似せた偽のログインページが使われました。 1718

ウーバーやリーバイ・ストラウスも、攻撃者の標的リストに含まれていた企業として報じられています。ただし、標的として名前が挙がったことだけで、各社が実際に侵害を受けたと確認されたことを意味するわけではありません。 18

なぜ高度な企業でも電話詐欺にだまされるのか

この手口は、暗号化を破ったり、端末の防御を直接突破したりするのではなく、従業員の判断を誘導します。声や話し方が信頼できそうな相手から「今すぐ対応が必要」と言われれば、普段なら慎重に確認する依頼でも、正規の業務に見えてしまいます。

電話攻撃には、企業のセキュリティ管理をすり抜けやすい面もあります。報道によれば、攻撃者は従業員の個人携帯電話に連絡していました。個人端末への通話は、管理対象の社内システム上の操作ほど監視されない場合があります。発信者番号の偽装、企業ごとに作り込んだ偽サイト、社内事情に合わせた説明が組み合わさることで、詐欺の信ぴょう性が高められました。 1820

こうした音声を使うフィッシングは、英語で「ボイスフィッシング」、通称**ビッシング（vishing）**と呼ばれます。AIを使えば、攻撃者は相手に合わせた台本を作ったり、声をまねたりして、攻撃をより大規模かつ巧妙に展開できます。しかし、根本にあるのは新しい技術だけではありません。信頼、緊急性、そして「IT担当者を助けなければ」という人の善意が悪用されています。

この侵害から分かること

アポロの事例は、企業のサイバーセキュリティが高度な技術的防御だけでは完結しないことを示しています。マルウェアや未知の脆弱性を使わなくても、説得力のある電話で有効な認証情報や認証コードを入手できれば、攻撃者はクラウド環境に近づけます。

企業側には、予期しないヘルプデスクからの電話を高リスクのアクセス要求として扱うことが求められます。具体的には、別の連絡経路で相手の身元を確認する、通話中に案内されたリンクへ認証情報を入力しない、盗まれたパスワードやコードだけでは侵入しにくい認証方式を導入する、といった対策が考えられます。

アポロの調査や今後の追加開示によって、影響範囲や情報の扱いに関する詳細が変わる可能性があります。