Oracle、Oracle Cloudへのサイバー攻撃による情報漏洩を再度否定、「無関係な旧式サーバー2台への不正アクセスのみ」

2025年4月9日、 Bleeping Computerの報道によるとOracle(オラクル)が、Oracle Cloud Infrastructureにおける大規模な情報漏洩について「無関係の旧式サーバー2台への不正アクセスが発生した」と認めつつも、「大規模漏洩は発生していない事とデータ侵害は発生していない」と引き続き情報漏洩に関する報道は否定している事が分かりました。

なお同社がOracle Cloudへの情報漏洩を否定するのは２度目です。

不正アクセスと情報漏洩に関する時系列

Oracleは、同時期にOracle Cloudの情報漏洩とOracle Healthの情報漏洩の2つの情報漏洩疑惑が発生しています。Oracle Cloudへの情報漏洩は初回で否定していますが複数の企業が侵害についての調査を行っています。

日付/期間	イベント
2025年1月22日以降	Oracle Healthへ不正アクセス確認
2025年2月20日頃	Oracle Healthが侵害を認識
2025年2月下旬以降	Oracle Healthが一部顧客への通知を開始
2025年3月21日	ハッカーがOracle Cloudのデータ窃取を主張※Oracleは否定
2025年3月中旬	FBIが捜査を開始と報道
2025年3月31日	Oracleを被告とする集団訴訟が提起
2025年4月7日	OracleがOracle Cloudへの情報漏洩を再度否定

Oracleが顧客へ送付したメール

Bleeping Computerの報道によると、以下のように古いサーバへの不正アクセスは認めつつ、情報漏洩は再度否定しています。

日本語訳（翻訳）

2025年4月7日オラクルのお客様へ

Oracleは明確に以下をお伝えいたします。Oracle Cloud（Oracle Cloud InfrastructureまたはOCI）に対して、セキュリティ侵害は発生していません。
OCIの顧客環境が侵害されたことはなく、OCIの顧客データが閲覧または盗難された事実もありません。また、OCIのサービスが中断されたり、侵害されたりしたことも一切ありません。

ハッカーがアクセスし、ユーザー名を公開したのはOCIとは無関係な旧式サーバー2台からです。これらのサーバー上のパスワードは暗号化またはハッシュ化されていたため、ハッカーは有効なパスワードを取得できませんでした。したがって、顧客環境やデータへのアクセスは一切ありませんでした。

この通知についてご不明な点がある場合は、Oracleサポートまたは担当アカウントマネージャーまでご連絡ください。

---

英語原文（メール本文）

April 7, 2025

Dear Oracle Customer:

Oracle would like to state unequivocally that the Oracle Cloud—also known as Oracle Cloud Infrastructure or OCI—has NOT experienced a security breach. No OCI customer environment has been penetrated. No OCI customer data has been viewed or stolen. No OCI service has been interrupted or compromised in any way.

A hacker did access and publish user names from two obsolete servers that were never a part of OCI. The hacker did not expose usable passwords because the passwords on those two servers were either encrypted and/or hashed. Therefore the hacker was not able to access any customer environments or customer data.

If you have questions about this notice, please contact Oracle Support or your Oracle Account Manager.

画像：Bleeping Computer

日本政府のガバメント・クラウドのサービス提供事業者に選定

日本オラクルが提供する「Oracle Cloud Infrastructure（OCI）」2022年にガバメントクラウドとして認定されており、デジタル庁が提供する本人確認や調査研究の基盤への活用が検討されています。

さらに、政府情報システムのためのセキュリティ評価制度（Information system Security Management and Assessment Program：ISMAP）にも登録されており札幌市でも採用されています。セキュリティ対策Labが札幌市に質問したところ「デジタル庁がガバメントクラウドの提供及びセキュリティに関する責任を担っているものと認識しております。」と回答を頂いています。

一部参照

https://www.bleepingcomputer.com/news/security/oracle-says-obsolete-servers-hacked-denies-cloud-breach/