ShinyHunters、Oracle PeopleSoftのゼロデイ攻撃で100超の組織に侵入　大学の学生情報が大量流出

特に問題視されているのは、攻撃キャンペーンが実施された2026年5月27日から6月9日という期間が、オラクルが6月10日に注意喚起を発表するよりも完全に前だったという点です。これは、修正パッチが存在しない「ゼロデイ」状態の脆弱性が実社会で悪用されていたことを意味します 。

ShinyHuntersによる攻撃キャンペーンの全容と標的

Googleの調査により、この攻撃が極めて広範囲かつ組織的に行われたものであることが明らかになりました。ShinyHuntersは、全世界の100を超える組織で稼働する、およそ300もの個別のPeopleSoftインスタンスへの侵入に成功したとみられています 。GTIGは、この攻撃が活発に行われている最中に、被害が確認された100以上の組織に対して積極的に注意喚起を行いました 。

この攻撃キャンペーンには、極めて明確な傾向が見られます。特定できた被害者のうち、68%が高等教育機関、すなわち大学やカレッジであり、その大半は米国の教育機関でした 。企業や組織の人事・給与といった機密性の高い情報（いわゆる「ヒューマンキャピタルマネジメント（HCM）」データ）を扱うPeopleSoftの性質上、影響は財務情報や個人情報にまで及ぶ可能性があります。

侵入後、攻撃者はシステムへの持続的なアクセスを確保し、遠隔操作を可能にするため、正規のリモート管理ツール「MeshCentral」のエージェントを仕込みました。この際、ファイル名を meshagent64-azure-ops.exe など、あたかもMicrosoft Azureの正規サービスを装った名前に偽装し、C&C（コマンド＆コントロール）サーバーとの通信にも azurenetfiles.net というAzureのファイル共有サービスを模倣したドメインを利用するなど、巧妙な隠蔽工作を施していました 。

こうして窃取されたデータは、2026年6月9日、ShinyHuntersが運営する「Data Leak Site（DLS）」と呼ばれる暴露サイト上で公然と公開されました 。

ノッティンガム大学の事例：可視化された被害の実態

英ノッティンガム大学は、今回の大規模攻撃において、世界で初めて公に名前が確認された被害組織となりました。このケースは、サイバー攻撃の深刻な影響を生々しく示すものとなりました。大学側は学生記録システムに対するサイバーインシデントを認め、「数十ギガバイト」に及ぶ膨大なデータが不正アクセスされたことを公式に発表したのです 。

複数の情報源によれば、この流出には、現在の学生だけでなく過去の卒業生を含む、45万4,600件から50万件もの個人情報および学業記録が含まれていると報告されています 。流出したデータは主に学生と卒業生の記録で、大学側は「教職員の銀行口座情報や研究データは影響を受けていない」と説明しています 。しかし、不正アクセスされた情報には、氏名・住所・電話番号・生年月日といった個人の特定に直結する情報が含まれており、ShinyHuntersのリークサイトに掲載された後、「Have I Been Pwned」のような個人情報流出検索サービスにも登録されました 。

公式パッチがない今、直ちに取るべき対策

オラクルは2026年6月10日に緊急のセキュリティ警告を発表しましたが、当初提示されたのはソフトウェアの本格的な修正パッチではなく、「緩和策（ワークアラウンド）」と呼ばれる応急処置でした。Googleの脅威インテリジェンスブログも、オラクルのアドバイザリに沿って、脆弱なPeopleSoftインスタンスを保護するために以下の即時対応を取るよう強く推奨しています ：

1. EMHubサービスの無効化または削除
   マルチサーバー構成の場合はEnvironment Management Hub Serviceを無効化し、シングルサーバーで稼働している場合はPSEMHUBアプリケーション自体を完全に削除してください 。

2. ネットワーク境界での外部アクセス遮断
   ファイアウォールやアクセス制御リストを用いて、悪用されたエンドポイントである/PSEMHUB/* および /PSIGW/HttpListeningConnector への外部からのアクセスを制限してください 。

3. アクセスログの監査
   過去に侵害を受けていないかを確認するため、PIA WebLogicのアクセスログを緊急点検し、/PSEMHUB/hub や /PSIGW/HttpListeningConnector への外部IPアドレスからのPOSTリクエストがないか調査してください 。

4. Web Shellの検索
   攻撃者が侵入後に仕込んだ可能性のあるWeb Shellを特定するため、特に /webserv/applications/peoplesoft/PSEMHUB.war/ 以下のパスを中心に、不審な .jsp ファイルが配置されていないか検査してください 。

5. 痕跡（IOC）の監視
   PSEMHUB関連のパスに logs、persistantstorage、scratchpad といった不審な名前のディレクトリが作成されていないか監視してください。また、データの不正持ち出し（Exfiltration）の兆候として、PeopleSoftサーバーから外部へのSMBトラフィックが発生していないかについても、厳重に調査する必要があります 。

これらの対策は、あくまで緊急のつなぎに過ぎません。PeopleToolsバージョン8.61もしくは8.62を運用するすべての組織は、オラクルが正式に提供する緊急セキュリティアップデートが利用可能になり次第、最優先で適用し、これ以上の被害拡大を防がなければなりません 。