アクセンチュア、2026年7月にセキュリティインシデントを確認—脅迫犯「888」が35GBのソースコードを販売主張も、実態は不透明

アクセンチュアが確認したことと否定したこと

アクセンチュアはこのインシデントを公式に認めました。BleepingComputerへの声明で、同社は次のように述べています：「我々はこの限定的な事案を認識しており、その原因は remediated（修正済み）です。アクセンチュアの業務やサービス提供への影響はありません」 。複数の情報源も、アクセンチュアがセキュリティインシデントを認めたと報じています。

アクセンチュアが確認しなかった点：

• 同社は公的な声明において、「888」が主張する35 GBというデータ量や、具体的なデータ種別（ソースコード、鍵、トークン）を確認していません。
• このインシデントを「限定的（isolated）」かつ封じ込め済みと表現し、被害範囲は狭いことを示唆しました。
• アクセンチュアは顧客システムやサービス提供には影響がないと明言しました。
• 身代金要求や脅迫については言及されておらず、また脅迫犯の名前を公にすることもありませんでした。

脅迫犯「888」とその信憑性の問題

脅迫犯「888」はPwnForumsで著名かつよく知られた存在であり、同フォーラムのモデレーターでもあると報告されています。この犯人は過去に、Shell、Heineken、Shopify、Microsoft ANZ、Harley-Davidsonなどでの侵害を主張した経歴があります。

重大な信憑性の問題： セキュリティ研究者や過去の被害企業は、「888」の実績に疑問を呈しています。2024年6月、同じ犯人がアクセンチュアを侵害し、32,826名分の従業員データを窃取したと主張しました。しかしアクセンチュアが調査したところ、実際に影響を受けたのはわずか3名の従業員データ（氏名とメールアドレス）のみであり、より広範な主張は虚偽であると結論付けました。Microsoft ANZも2024年7月、「888」の主張に疑義を呈しています。Cyber Dailyは、「888の真正なデータ漏洩に関する評判は疑問視されている」と報じています。

侵害の検証状況（2026年7月8日時点）

• アクセンチュアはセキュリティインシデントの発生と修正を確認した。
• 独立系セキュリティ企業 ZeroFox は、フォーラムへの出品を確認するフラッシュレポートを発行したが、さらなる検証が行われるまではこの侵害は「疑惑の段階」であると注意を促した。
• 第三者機関が、データサンプルがアクセンチュアの内部システムと一致することや、35 GBという容量が本物であることを確認した事例はない。
• 総評：インシデントの発生は部分的に確認されたが、「888」が主張する規模とデータ種別は未確認のままであり、同犯人の誇張主張の前歴を考慮すると、慎重に扱うべきである。

比較：2026年のインシデント vs 2021年のLockBitランサムウェア攻撃

主な違い： 2021年の攻撃は、大手犯罪グループによる確認済みの重大なランサムウェアインシデントであり、SECへの開示に至った。2026年のインシデントは規模が小さく見え、誇張された主張で知られる犯人を巻き込んでいるが、アクセンチュアは何らかの侵害が発生したことを確認している。

サプライチェーンセキュリティへの広範な影響

アクセンチュアは世界中の数百もの企業や政府にサービスを提供するティア1のITサービス＆コンサルティングプロバイダーであるため、いかなる侵害もシステムリスクを伴います：

• 認証情報の再利用リスク： 出品リストにはAzure PAT、SSHキー、ストレージアクセスキーが含まれていた。これらが本物であれば、アクセンチュアが管理する顧客のクラウド環境へのラテラルムーブメント（横向き移動）を許す可能性がある。
• ソースコードの流出： 顧客エンゲージメントで使用されるアクセンチュア独自のソースコードの盗難は、攻撃者がアクセンチュアの顧客に対して悪用できる脆弱性を露呈させる可能性がある。
• 繰り返し狙われる標的： 今回でアクセンチュアに関わる公に知られたインシデントは3件目となる（2021年LockBit、2024年6月の「888」の主張、2026年7月の「888」の主張）。これは、同社が高価値のサプライチェーンピボットポイントとして攻撃者から継続的に注目されていることを示している。
• 顧客の信頼リスク： 仮に「888」の主張が誇張されていたとしても、このインシデントはアクセンチュアの企業および政府顧客に対し、アクセンチュアとの関係を通じた自社の露出を監査するよう強いることになる。2021年には、LockBitがアクセンチュアの認証情報を使って空港顧客を侵害したと主張している。
• 規制当局の監視： アクセンチュアの2021年の攻撃はSECへの開示を必要とした。2026年のインシデントに顧客側のリスクが伴う場合、同様の報告義務が生じる可能性がある。
• 「オオカミ少年」問題： 「888」が侵害を誇張する傾向は、実際のインシデントの深刻度に対する認識を低下させ、セキュリティチームが適切な対応を判断することを困難にする可能性がある。