D1RランサムウェアグループがSynopsys、Bosch、Armへの攻撃を主張——Synopsysは「証拠なし」と否定

• Synopsys（米国）
• Bosch（ドイツ）
• Arm（英国）

同グループの主張の核心は以下の通りです。

• SynopsysのWebサイトの脆弱性を悪用し、約4万件のエントリを含む企業顧客データベースにアクセスした。
• そのデータベース（特にTARGETLIST.txtというファイル）を解析し、BoschとArmを次の標的として特定し、実際に侵入に成功した。
• Boschに関しては、特に「Bosch CANモジュール実装」と呼ばれる機密性の高いエンジニアリング知的財産（IP）を窃取したと主張し、データの公開前に交渉するよう11日間の期限を設けた。
• Armについては、内部ツール「Athena Download Manager」などを含むデータを窃取したと主張している。

D1Rは、自らのリークサイトにBoschのCANモジュール実装コードと思われるものを投稿し、「すべてのエンジニアと車愛好家のために無料で公開する」と宣言しました。

Synopsysの対応：「不正アクセスの証拠なし」

Synopsysは、この一連の主張に対して速やかに公式声明を発表しました。同社の調査の結果、自社システムへの不正アクセスや顧客の技術データの漏洩を示す証拠は一切見つからなかったと断言しています。

• Synopsysは、D1Rから身代金要求を含むいかなる連絡も受けていないと述べています。
• セキュリティ専門メディアSecurityWeekの報道によれば、Synopsysの内部レビューは、D1Rが主張するような侵入が実際に発生したという証拠はないと結論付けています。
• 複数のセキュリティアナリストは、D1Rが「証拠」として公開したスクリーンショットは、過去のリークから流用または合成されたものである可能性が高いと指摘しており、この主張の信頼性にさらに疑問を投げかけています。

ただし、状況を複雑にしているのは、Synopsysが2026年初頭に別のデータ漏洩事件を経験している点です。これは2026年4月にマサチューセッツ州の規制当局に報告されたもので、社会保障番号や医療情報が露出した事件ですが、今回のD1Rの主張とは無関係です。

Boschの対応：調査中で確認はなし

Boschは詳細な公式否定声明を発していません。ダークウェブ監視情報源によれば、同社は交渉のために11日間の猶予を与えられていますが、セキュリティレポートはBoschがこれらの主張を調査中であり、自社システムへの直接的な侵入を確認していないと伝えています。7月14〜15日時点の最新の報道では、Boschの知的財産が大規模に漏洩したという独立した確認は取れていません。

Armの状況

Armも被害企業としてリストアップされましたが、D1RのArmに対する具体的な主張は、Boschのケースに比べて独立した検証が進んでいません。

現状まとめ

重要なポイント

Synopsysはこの侵害を強く否定し、D1Rの主張を裏付ける証拠は見つかっていません。Boschはなお評価を継続中です。独立したアナリストらはD1Rの信頼性に重大な疑問を呈していますが、2026年7月15日時点では、この問題は未解決のままです。