ShinyHunters がオランダの通信大手 Odido を侵害：1 本の電話から流出した顧客 600 万人の個人情報

ShinyHunters Gained Access to 6 Million Customers’ Records Using a Single Call

2026/09/08 CyberSecurityNews — たった 1 本の電話が、オランダ史上最大規模のデータ侵害を引き起こした。2026年2月初旬、オランダの通信大手 Odido と、低価格サービスを提供する子会社 Ben が、ShinyHunters による新たなサイバー攻撃を受けた。ShinyHunters は、脆弱性の悪用ではなくソーシャル・エンジニアリングを介して企業の防御を突破することで知られる、ハッキングや恐喝を行うグループである。

この攻撃により、600 万人を超える顧客の個人情報が流出したため、オランダ警察は容疑者の特定を目的として、電話をかけた人物とみられる男の実際の音声を公開している。捜査当局によると、オランダ語を話す男が 2月5日から6日にかけて、Odido のカスタマーサービスのヘルプデスクへ電話をかけ、特定の英語の IT 用語を使いながら、IT 部門の同僚になりすまして話していたという。

男は従業員に対し、緊急に修正すべき問題が発生したと説明した。男の説明を疑わなかった従業員は、正規の社内システムに見える環境へのアクセスを認めたが、その環境は攻撃者が構築した認証情報収集用の仕組みだった。

この 1 回のやり取りだけで、電話をかけた男はユーザー名、パスワード、多要素認証 (MFA) トークンまで取得した。具体的には、Odido の主要なセキュリティ対策の 1 つである MFA を事実上回避し、窃取した認証情報を使用して Odido の Salesforce ベースの顧客関係管理 (CRM) 環境へ侵入した。このシステムは、顧客とのやり取りを記録・管理するために使用されている。

大規模なデータ侵害

その 2 日後には、約 1,500 万行に及ぶ約 90 GB のデータが正規の Salesforce API を介して密かに持ち出され、このデータのエクスポートは警告を発生させることなく、通常の正規トラフィックに紛れ込んで検知されなかった。その後、Odido では 2月7日から8日にかけて顧客連絡システムへの不正アクセスが発生したが、不正アクセスが検知され、攻撃は直ちに遮断された。

Odido の公式発表によると、最終的に影響を受けたのは Odido と Ben の契約中および契約終了済みの顧客を含む約 639 万人であり、この発表以前に企業担当者とメディアが示していた推定値は 610 万～620 万人だった。一方、ShinyHunters は約 2,100 万件のレコードを持ち出したと主張しているが、この数字には顧客情報だけでなく、重複したレコードや企業内部のメタデータも含まれている可能性が高い。

盗まれたデータセットには、氏名／自宅住所／電話番号／メールアドレス／生年月日／顧客番号／IBAN 銀行口座情報／パスポート／運転免許証といった本人確認書類番号が含まれていたと報じられている。

Odido は、アカウントのパスワード／通話記録／請求データは侵害されていないとの見解を維持しているが、これに異議を唱える ShinyHunters は、平文のパスワードや企業内部のファイルも窃取したデータに含まれていると主張している。その後、Have I Been Pwned では、約 600 万件の一意のメールアドレスが 4 回に分けて公開されたことが確認された。

ShinyHunters が要求したとされる身代金は、盗んだデータセットを公開しないことと引き換えに約 100 万ユーロだったが、Odido は支払いを拒否し、その後、判断の正当性を公に説明した。これを受けて ShinyHunters は 2月26日から段階的にデータを公開し、最終的に 3月1日までにすべてのデータを公開した。

その影響は直ちに現れ、Odido と競合する通信事業者 Tele2 だけが把握していた 2 つのメール・エイリアスを追跡していたサイバーセキュリティ研究者は、データ流出が公になってから 150 日間で 61 件のフィッシングメールを受信したことを確認した。この結果が示すのは、後続する詐欺やボイスフィッシング攻撃において、流出した個人情報がきわめて迅速に悪用される状況である。

オランダ警察は、影響を受けた顧客のメールアドレスを「Check je hack」ツールにも追加し、自分の情報が盗まれたデータセットに含まれているか確認できるようにした。この事件の捜査はデータ侵害の公表直後から続けられており、Landelijk Parket が主導し、オランダ警察の Unit for National Investigation and Interventions に属する High Tech Crime Team が担当している。

2026年7月、捜査当局はオランダ国籍の人物が関与していることを示す「強い兆候」が見つかったと発表した。ハッキング直前に行われた電話に焦点を当てる警察は、電話をかけた人物に自主的に名乗り出るよう公に呼びかけ、応じなければ音声を公開する可能性があると警告した。この呼びかけに誰も応じなかったため、オランダ警察は 9月7日 (月) 21時15分、NPO2 の犯罪捜査番組 Opsporing Verzocht で録音された音声の全編を公開した。

捜査当局が依頼した音声の専門家は、この録音が AI で生成されたものではなく、実際の人間の声であると結論付けた。また、電話をかけた人物については、オランダ語を話し、明確な ICT の知識を持ち、英語の技術用語を意図的に使用し、オランダ語の間投詞「hoor」を特徴的な口癖として使用するという分析結果が示された。当局は現在、politie.nl/odido、匿名通報窓口 Meld Misdaad Anoniem、Telegram チャンネル @Veiligmelden を通じて情報提供を呼びかけている。

たった 1 本の電話がこれほど大規模なデータ侵害へ発展した原因として、セキュリティ・アナリストたちは、3 つのシステム上の問題を指摘している。それらは、ヘルプデスクにおける折り返し電話による本人確認や別経路での確認の欠如と、侵害された 1 つのアカウントから顧客データベース全体を一括でエクスポートできるほど過剰なアクセス権限、そして、90 GB に及ぶデータ転送を異常として検知できない不十分な監視体制である。

ShinyHunters は、SoundCloud／Crunchbase／Betterment などの世界各地の 100 を超える組織に対して電話を悪用したソーシャル・エンジニアリングの手口を用いており、多くの場合、技術的な脆弱性を悪用することなく、シングルサインオン (SSO) の保護を完全に回避している。

通信大手 Odido におけるソーシャルエンジニアリング被害を紹介する記事を取り上げます。ヘルプデスク従業員へのなりすまし電話を契機として、認証情報や多要素認証 (MFA) トークンが奪取された問題が生じました。Salesforce CRM 環境から約 639 万人分の顧客データが不正にエクスポートされ、フィッシングなどの二次攻撃リスクが高まる深刻な影響が発生しています。対応策として、ヘルプデスクにおける厳格な折り返し確認手続の導入／アクセス権限の最小化／API 経由の大量データエクスポートの検知機能強化／異常ログの監視体制構築が求められます。