有名ハッカー グループをかたるフィッシングメール、漏洩済みデータを悪用し2,000ドル相当のビットコインを要求

2026年7月25日、過去の情報漏洩で公開されたメールアドレスと被害企業名を悪用し、ハッカー集団ShinyHuntersをかたって2,000ドル相当のビットコインを要求するセクストーションメールが確認されました。メールは受信者の端末やカメラを侵害したと主張していますが、実際に端末へ侵入したことや、性的な映像を取得したことを示す証拠は確認されていません。ShinyHuntersを名乗る当事者もBleepingComputerの取材に関与を否定していますが、これは当事者側の一方的な説明であり、運営主体は特定されていません。

• 過去の情報漏洩で公開されたメールアドレスと企業名を使い、標的型に見せかけたセクストーションメールが送信されています
• 送信者はShinyHuntersを名乗り、端末、カメラ、マイクなどを侵害したと一方的に主張しています
• 性的な映像を家族や同僚へ送ると脅し、48時間以内に2,000ドル相当のビットコインを要求します
• 端末侵害、マルウェア感染、カメラ映像の取得を裏付ける証拠は確認されていません
• BBB Scam Trackerでは2026年4月6日に同様のメールが報告されており、活動は少なくとも4月までさかのぼります
• FBIは5月、ShinyHunters名義の恐喝では、実在しない写真や映像を保有していると偽る場合があると警告していました
• BleepingComputerによると、ShinyHuntersを名乗る当事者は今回のメールへの関与を否定していますが、詐欺の実行者は不明です
• 受信者は返信や支払いをせず、メールヘッダーなどの証拠を保全して組織の窓口や警察へ相談する必要があります

項目	内容
報道日	2026年7月25日
活動開始時期	少なくとも2026年4月
詐称された組織名	ShinyHunters
詐欺の種類	偽セクストーションメール、恐喝詐欺
悪用された情報	漏洩済みのメールアドレスと、情報の流出元とされる企業名
送信者の主張	端末、カメラ、マイク、キーボードなどを侵害し、性的な映像を取得したと主張
主張の裏付け	端末侵害や映像取得を示す証拠は確認されていない
要求額	2,000ドル相当のビットコイン
支払期限	メールを開いてから48時間以内と主張
確認された流用元	BleepingComputerはAmtrak、Hallmark、Substack、Betterment、CarGurus、ADT、Panera Bread、McGraw Hillの漏洩データ利用を確認したと報告
ShinyHuntersの関与	同グループを名乗る当事者は関与を否定。否定の真偽や実行者は未確認
推奨対応	返信、支払い、リンクへのアクセス、添付ファイルの開封を行わず、証拠を保全して報告

漏洩したメールアドレスと企業名を信用材料に利用

今回のメールは、受信者のメールアドレスが過去に登録されていた企業名を本文へ記載し、無差別な詐欺ではなく、実際の侵害に基づく脅迫であるかのように見せています。

BleepingComputerは、Amtrak、Hallmark、Substack、Betterment、CarGurus、ADT、Panera Bread、McGraw Hillから流出したとされるデータが、このキャンペーンで利用されていることを確認したと報じました。一部の受信者については、恐喝メールの送信先アドレスが、ShinyHuntersによって過去に公開されたデータ内に実際に含まれていたことも照合したとしています。

ただし、漏洩データにメールアドレスが存在することと、受信者のパソコンやスマートフォンが侵害されたことは別の問題です。メールアドレスと利用企業名を把握しているだけでは、カメラやマイクへのアクセス権限は得られません。

Bettermentも、同社の利用者からShinyHuntersを名乗る恐喝メールについて相談を受けた際、メールアドレスを知っていることだけで、端末へマルウェアを導入したり、端末へアクセスしたりすることはできないと説明しています。

端末とカメラを侵害したと一方的に主張

BBB Scam Trackerには2026年4月6日、CarGurusのデータベースからメールアドレスを得たとするShinyHunters名義のメールが報告されています。

報告されたメールでは、送信者が受信者のパソコンやスマートフォンへ不正なプログラムを導入し、マイク、カメラ、キーボード、写真、閲覧履歴、会話、連絡先へアクセスしたと主張していました。

そのうえで、受信者がアダルトサイトを閲覧する様子を撮影したと述べ、家族、同僚、友人へ映像を送信されたくなければ、指定した暗号資産ウォレットへ2,000ドル相当のビットコインを送るよう要求しています。期限はメールを開いてから48時間とされ、警察への相談、メールへの返信、端末の初期化を行わないよう圧力をかけています。

これらは送信者側の一方的な主張です。BleepingComputerが確認した範囲では、送信者が受信者の端末へアクセスしたこと、マルウェアを導入したこと、カメラ映像を取得したことを示す証拠はありません。

IPAも、ウェブカメラで性的な姿を撮影したとしてビットコインを要求する同種メールについて、映像へのリンクや映像ファイルが添付されていない場合は、単なる迷惑メールである可能性が高いと説明しています。

FBIはShinyHunters名義の誇張された恐喝を警告

FBIのインターネット犯罪苦情センターは2026年5月15日、ShinyHuntersに関する注意喚起を公開しました。

FBIによると、ShinyHuntersは大規模なデータ侵害と恐喝を行うサイバー犯罪グループであり、実際に取得した情報だけでなく、誇張したアクセス権限や機微情報の保有を主張して、支払いを迫る場合があります。

同注意喚起では、攻撃者が被害者の性的または羞恥心を刺激する写真や映像を保有していると偽る場合があり、そのようなデータが実際には存在しないケースも多いとされています。

FBIは、窃取されたデータが別の犯罪者へ販売されたり、学校職員、ITサポート、財務担当者などを装うスピアフィッシングへ再利用されたりする可能性にも言及しています。

今回のキャンペーンは、漏洩データが元の侵害企業への恐喝だけでなく、その企業の顧客や利用者を狙う二次的な詐欺へ転用されるリスクを示しています。

ShinyHunters本人による攻撃とは確認されていない

メールの送信者はShinyHuntersを名乗っていますが、実際に同グループが運営するキャンペーンであることは確認されていません。

BleepingComputerはShinyHuntersを名乗る当事者へ連絡し、当事者側は今回のセクストーションメールへの関与を否定したと報じています。

ただし、サイバー犯罪グループによる否定は一方的な説明であり、それ自体を事実として確定することはできません。一方、メールの送信元が無関係なアドレスであることや、過去に公開されたデータを入手すれば同様のメールを作成できることから、第三者がShinyHuntersの名称と漏洩データを悪用した可能性があります。

現時点で確認できるのは、ShinyHunters名義のメールが送られていること、過去の漏洩データと一致する情報が本文の説得力を高めるために利用されていること、端末侵害を裏付ける証拠が示されていないことです。

Googleが警告したShinyHuntersのSaaS侵害キャンペーンでは、電話を使ったソーシャルエンジニアリングから企業のSSO環境へ侵入する手口が確認されています。今回のメールは、同グループによる実際の侵入手法とは異なり、すでに公開されたデータと知名度を利用して恐怖を与える構成です。

メールアドレスの漏洩が長期的な二次被害につながる

メールアドレスは単独では機密性が低い情報として扱われることがあります。しかし、登録していた企業名、氏名、電話番号、住所、利用サービスなどと組み合わされると、詐欺メールを個別化する材料になります。

今回の手口では、受信者が実際に利用していた企業名が記載されることで、メールの他の主張も事実であるように感じさせます。パスワード、電話番号、過去の購入情報などが漏洩データに含まれている場合は、さらに説得力のあるフィッシングやなりすましへ発展する可能性があります。

Bettermentは2026年1月の不正アクセスについて、一部の顧客の氏名とメールアドレスに加え、一部では住所、電話番号、生年月日もアクセス対象に含まれていたと公表しました。一方、顧客アカウント、パスワード、ログイン情報は侵害されていないとしています。

このように、元のインシデントで認証情報が漏洩していなくても、連絡先情報が後の恐喝や詐欺へ転用されることがあります。Udemy Businessの情報漏洩後に不審メールが発生した事例でも、法人メールアドレスの流出が、組織や業務関係者を装う連絡に悪用されるリスクを取り上げています。

受信した場合に取るべき対応

メールを受信しても、送信者への返信やビットコインの送金は行わないでください。要求に応じても、送信者が情報を削除する保証はなく、支払い可能な相手として追加の要求を受けるおそれがあります。

本文中のURLや添付ファイルも開かないでください。今回確認された文面が単なる脅迫であっても、別の亜種ではフィッシングサイトやマルウェア配布へ誘導される可能性があります。

端末侵害を不安に感じた場合は、メールに書かれた指示ではなく、組織の情報システム部門や信頼できるセキュリティ事業者へ相談してください。業務端末では、EDRやウイルス対策ソフトの検査結果、ログイン履歴、カメラやマイクの権限、未知のアプリケーションの有無を確認します。

メールに過去または現在のパスワードが記載されていた場合は、漏洩済みの認証情報が利用されている可能性があります。同じパスワードを使用しているすべてのサービスで異なるパスワードへ変更し、多要素認証を有効にしてください。

証拠として、メール本文、完全なメールヘッダー、送信日時、送信元、要求された暗号資産ウォレットの情報を保全します。日本では最寄りの警察や都道府県警察のサイバー犯罪相談窓口、IPAの情報セキュリティ安心相談窓口へ相談できます。

埼玉県警は、端末をハッキングしたように装い、性的な映像を公開すると脅して金銭を要求するメールについて、慌てず無視し、暗号資産を送金しないよう呼びかけています。

情報システム部門への示唆

情報システム部門は、従業員が利用するメールアドレスが過去の外部サービス侵害で流出している可能性を前提に、セクストーションメールへの社内対応手順を整備してください。

従業員は、性的な内容を含む脅迫を受けた場合、羞恥心から組織へ報告しにくくなることがあります。相談者を責めないこと、個人の閲覧履歴を前提に調査しないこと、報告内容を必要最小限の担当者だけで取り扱うことを明示した窓口が必要です。

メールゲートウェイでは、ShinyHuntersやハッキングを示す表示名だけでなく、ビットコインの支払い要求、48時間などの期限、カメラや性的映像への言及、警察へ連絡しないよう求める文面を組み合わせて検知します。攻撃者は件名や送信元を変更できるため、単一のキーワードだけに依存しないことが重要です。

自社ドメインのメールアドレスが漏洩データへ含まれていると判明した場合は、対象者へ詐欺メールの可能性を事前に周知してください。元の情報漏洩でパスワードが対象外だった場合も、恐喝、フィッシング、なりすましなどの二次被害は別途発生し得ます。

受信者がリンクを開いた、添付ファイルを実行した、認証情報を入力した、暗号資産を送金した場合は、通常の迷惑メール処理ではなくインシデントとして扱います。端末隔離、認証情報の変更、セッション失効、メールログの調査、送金先情報の警察への共有を速やかに進めてください。

今回の事例は、情報漏洩後の対応を本人通知とパスワード変更だけで終わらせるべきではないことを示しています。漏洩情報が数か月後に別の犯罪者へ再利用されることを想定し、対象者への継続的な注意喚起と不審メールの監視を行う必要があります。

出典

• ShinyHunters: Cyber Criminal Group Attacks Learning Management System – FBI Internet Crime Complaint Center
• BBB Scam Tracker Scam ID 1246430 – Better Business Bureau
• Updates on Betterment January 9 Security Incident – Betterment
• ShinyHunters Sextortion emailへの公式回答 – Betterment
• 性的な映像をばらまくと恐喝し、仮想通貨で金銭を要求する迷惑メールに注意 – IPA
• メールの見かけ上の送信元情報を安易に信じないで – IPA
• セクストーション（性的脅迫）に注意 – 埼玉県警察
• ShinyHunters data leaks fuel $2,000 sextortion email scam – BleepingComputer
• Googleが警告、ShinyHuntersがボイスフィッシングを起点としてSaaSへ不正アクセス – セキュリティ対策Lab
• イレブンラボ、Udemy Businessの個人情報漏洩で不審メール発生 – セキュリティ対策Lab