恐喝グループのShinyHuntersは、Clop（Cl0pとしても知られる）ランサムウェア活動に関連するリークサイトをハッキングし、その内容を脅迫メッセージと自グループのサイトへのリンクに置き換えた。BleepingComputerは、同グループがアップロードしたファイルとページの改ざんを確認したが、サーバーログ、ソースコード、または同サイトのTorサービスキーが盗まれたことについては独立して検証していない。
攻撃は金曜日の夜に始まった。ShinyHuntersが、認証なしでファイルをアップロードできるGrav CMSの脆弱性だと説明したものを悪用した。小さなテキストファイルにはClop宛てのメッセージが含まれ、グループへの脅迫と、ShinyHuntersのデータリークサイトへのリンクが記されていた。
サイトの改ざんとされる完全掌握
数時間後、ShinyHuntersはClopのサイトを完全に掌握し、改ざんしたと述べた。その後、サイトにはShinyHuntersのロゴとして使われているキャラクター、Umbreonのアスキーアートと、同グループのサイトへのリンクが表示され、2019年からシステム内部に侵入していると伝えるメッセージも掲載された。BleepingComputerは、改ざんされたページがClopに属するインフラから配信されていたことを確認した。
ShinyHuntersは、ソースコード、Grav CMSのプラグイン、システムログ、その他のファイルを盗んだと主張している。これには、システム活動、認証処理、接続元のIPアドレスに関するデータが含まれている可能性のある/var/log内のファイルも含まれる。また、Tor onion serviceの運用に使われる秘密鍵も入手したと主張している。この点が事実であれば、同じonionアドレスを使い、同グループが管理するサーバー上でサイトのコピーをホスティングできる可能性がある。
ハッキングから恐喝へ
ShinyHuntersはこの事件を公然とした恐喝の試みに発展させ、自サイトに毎日更新情報を追加し、Clopが要求に応じなければ盗んだとするデータを公開すると脅迫した。要求額は当初、8桁の金額で、24時間ごとに増額すると脅迫し、その後、公開謝罪の要求も加えられた。
同グループは、Oracle E-Business Suiteのサーバーに関連する恐喝キャンペーン中にClopへ支払ったとされる企業に関する情報も公開すると脅迫した。そこには支払額と、関連するBitcoinアドレスが含まれるという。9月21日、Clopはハッキング被害を受けていた自サイトに短いメッセージを掲載し、ShinyHuntersに旧式のプラットフォームを通じて連絡するよう求めたが、同グループはこれを拒否し、支払いの要求を続けた。
サイバー犯罪グループ間の以前からの対立
ShinyHuntersは、2025年のOracle E-Business Suiteからのデータ窃取キャンペーン後に始まった対立の中で、Clopの代表者によるものとされる脅迫への報復として攻撃を行ったと述べている。このキャンペーン中、Clopはいくつかの脆弱性を悪用し、その中にはゼロデイ脆弱性CVE-2025-61882も含まれていた。一方、ShinyHuntersを含むScattered Lapsus$ Huntersを名乗る集団は実証用のエクスプロイトを流出させ、Oracleは後に、それがClopの攻撃で使われたエクスプロイトと一致すると述べた。
ShinyHuntersは、そのエクスプロイトはもともと自グループのものであり、Clopが無断で入手したと述べている。また同グループは、メンバーに対して暴力的な脅迫が行われたとの主張を伝えているが、これらの主張はBleepingComputerによって独立して検証されていない。
なぜこのニュースが重要なのか？
この事件は、ランサムウェアグループのリークサイトが単なる宣伝ページではなく、ログ、アクセスキー、訪問者との通信を明らかにするデータ、またはサイトのなりすましを可能にするデータを含み得る運用基盤であることを示している。同時に、ここでは確認された事実と未証明の主張を区別することが重要である。確認されているのはファイルのアップロードとサイトの改ざんであり、アクセス範囲やキーおよびデータの窃取については、依然としてShinyHuntersの説明に基づいている。そのため、情報源だけでは、同グループが実際にTorアドレスを保持したり、主張されているデータを公開したりできるかどうかは証明されない。