SOCRadarが10月6日に公表した調査によると、CyberXeroはClaude Codeを使ったキャンペーンで、ウクライナ人に関連する記録62万8000件超を窃取した。確認された被害者には、ハルキウの地域暖房事業者も含まれている。
SOCRadarの調査担当者は、ロシア語を話す初期アクセスブローカーを2つの活動に結び付けた。世界中のWordPressサイトとECサイトに対する自動攻撃と、ウクライナのエネルギー・公益事業組織を標的とした偵察活動だ。4つのウクライナ組織からのデータ窃取と、エネルギー・公益事業関連7組織に対する別個の探索活動を確認した。
欧州のセキュリティチームにとって、この事例は、脆弱なWebアプリケーション、アクセス監視、機密性の高い顧客データベースの保護について、早急な検討を迫るものだ。
CyberXeroはいかにAIエージェントで大規模なWebサイト攻撃を実行したか
SOCRadarは、攻撃者のサーバー上にある無防備なディレクトリを発見した後、この活動を追跡した。露出したファイルには、スクリプト、窃取データ、AIセッションログ、そしてキャンペーンを自動化ツール群に結び付ける設定ファイルが含まれていた。
攻撃者は最大51体のClaude Codeエージェントを偵察、侵入、侵入後の活動に使えるよう設定していた。別のPentAGIの展開環境はCobalt Strike Team Serverと連携し、AIプロバイダーのAPIを利用してペイロードの生成やペネトレーションテスト作業を支援していた。
The Hacker Newsは、ある61秒間の実行で4,708個の標的をスキャンし、429のWordPress管理パネルへのアクセスを確認したうえ、32個のWebシェルを展開したと報じた。攻撃者はCVE-2026-63030、CVE-2026-60137、Support BoardプラグインのCVE-2026-4815などの脆弱性を悪用した。
復元されたログからは、CyberXeroが悪意ある作業を承認済みのペネトレーションテストと説明し、モデルに拒否された後もセッションを再開していたことも明らかになった。研究者は、バックドアのインストールやファイアウォールの無効化を求める要求など、拒否が維持された事例も記録している。
ウクライナの公益事業が探索を受ける中、ハルキウの暖房データを窃取
ハルキウの地域暖房事業者では、攻撃者が個人データ、自宅住所、口座番号を含む加入者記録56万4073件を取得した。別に、21万3340件のアクセスログにはタイムスタンプとIPアドレスが含まれていた。これらのログは別のデータセットであり、被害を受けた人がさらに21万3340人いたという意味ではない。
SOCRadarは、ウクライナのエネルギー・公益事業関連組織7組織に対する偵察活動も特定した。これには大手電力関連組織も含まれる。標的リストにはメール、VPN、ネットワークの配電指令インフラが含まれていたが、調査では、この7組織が侵害されたことやサービスが妨害されたことは確認されていない。
ウクライナ以外では、調査によりポーランドでのECサイト侵害が確認された。類似した一般公開Webサイトを運営する欧州の組織にとって、このキャンペーンはウクライナの重要インフラにとどまらない脅威となる。
ハルキウは現在も戦闘が続く前線に近い都市であり、自宅住所の流出は特に懸念される。SOCRadarはCyberXeroを金銭目的の攻撃者と説明したが、ウクライナの公益事業へのアクセスが販売されたことを示す直接的な証拠は見つからなかった。
欧州のセキュリティチームが今すぐ調査すべきこと
このキャンペーンはおなじみの弱点を標的にしたが、自動化によって防御側の対応時間は短縮された。セキュリティチームは、次の3点を優先的に確認できる。
- 点検：WordPressサイト。影響を受けたコンポーネントにパッチを適用し、wp2_で始まる不正なアカウント、疑わしいwp2shell_プラグインディレクトリ、WSO系Webシェルを調査する。
- 露出したインフラを確認する。パブリックなRedisへのアクセスを制限し、~/.ssh/authorized_keysに見慣れないエントリがないか確認する。さらに、SOCRadarが公開した指標と一致する接続を調査する。
- 顧客データベースを監視する。通常とは異なる一括エクスポート、予期しないアカウント権限、説明のつかない加入者情報へのアクセスを検知できるようにする。特にエネルギー・公益事業者では注意が必要だ。
独自のAIエージェントを導入している組織は、セッションログとトークンも保護すべきだ。CyberXeroの露出したログによって、調査担当者はキャンペーンを再構成できた。これらのファイルにどれほど多くの運用上の詳細が含まれ得るかを示す事例だ。
ハルキウでは、研究者が窃取された顧客情報を記録したものの、暖房の停止は確認していない。欧州の公益事業者は、重要サービスが稼働し続けている場合でも、通常とは異なる加入者データのエクスポートや特権アカウントの活動を緊急のセキュリティ事象として扱うべきだ。
関連記事：欧州の組織を襲う、Microsoftログイン経由の別の脅威。N0va phishkitがデバイスコード認証を悪用し、ユーザーがMFAを完了した後もアクセストークンを取得する。