米コカ・コーラ傘下Fairlifeへのサイバー攻撃、身代金交渉拒否で1TBデータがダークウェブに流出

コカ・コーラ傘下の乳製品ブランドFairlifeがランサムウェア集団Anubisの攻撃を受け、7月16日に米国の生産施設が停止した問題で、コカ・コーラが交渉を拒否した後、盗まれた約1TBのデータがダークウェブで公開された。侵入には、社外から企業ネットワークへ安全に接続するための通信機器「Citrix NetScaler」の脆弱性が悪用されたとされる。

■米国のFairlife生産施設を攻撃

コカ・コーラは2026年7月27日、セキュリティ研究者が同月16日から疑っていた事実を認めた。ランサムウェア集団AnubisがFairlifeの米国生産システムに侵入し、約1TBの企業データを盗み出したうえ、コカ・コーラが交渉を拒否した後に公開した。コカ・コーラによると、この時点で米国にある4カ所のFairlife生産施設の大半は操業を再開していたが、盗まれたデータはダークウェブ上のサーバーに置かれ、入手可能な状態となった。

Fairlifeはシカゴを拠点とする乳製品子会社で、コカ・コーラが2020年に完全子会社化した。2024年時点の年間小売売上高は推定40億ドル（約6560億円、1ドル＝164円換算）で、同社最大級の非炭酸飲料ブランドの一つである。限外ろ過した牛乳、プロテイン飲料「Core Power」、栄養飲料「Nutrition Plan」を米国の4施設で生産している。

4施設が停止した7月16日、コカ・コーラは米証券取引委員会（SEC）にForm 8-Kを提出し、生産関連システムに「第三者による不正アクセス」があったと公表した。停止から数日以内に、ニューヨーク市を含む市場の小売店で牛乳不足がみられた。

■侵入口となったCitrixBleed 2

AnubisはFairlifeのシステムへ到達するために、パスワードを推測する必要がなかった。Arctic Wolf Labsは、2026年初め以降、Anubisのアフィリエイトが主に、盗んだVPN認証情報とCVE-2025-5777の悪用という2つの侵入経路を使っていると報告している。

CVE-2025-5777は、Citrix NetScaler ADCおよびGatewayアプライアンスに存在する、認証前に悪用可能な重大な脆弱性だ。セキュリティ研究者Kevin Beaumontは、2023年に確認された先行の脆弱性にちなみ「CitrixBleed 2」と命名した。

技術的には、境界外メモリー読み取りの脆弱性である。攻撃者は脆弱なNetScalerに不正な形式の認証リクエストを送信することで、認証Cookie、セッショントークン、SAML関連データを含むメモリー断片を、認証なしで読み取れる。盗んだトークンを再利用すれば、ログイン済みの利用者になりすませるため、パスワード入力も多要素認証の確認も発生しない。

米サイバーセキュリティ・社会基盤安全保障庁（CISA）は2025年7月10日、CVE-2025-5777を「既知の悪用された脆弱性（KEV）」カタログに追加した。深刻度を示すCVSSスコアは9.3である。

重要なのは、アプライアンスにパッチを適用しても、それ以前に盗まれたセッショントークンは無効にならない点だ。2025年6月の脆弱性公表後にパッチを適用していても、すべてのアクティブセッションを明示的に終了していなければ、適用前に盗まれたトークンは失効処理を行うまで有効なままとなる。

■Nutanixが単一障害点に

AnubisはFairlifeの環境に侵入した後、同社のNutanixハイパーコンバージドインフラストラクチャー（HCI）を暗号化した。この情報はAnubis自身がBleepingComputerに明らかにしたものだ。HCIは、コンピューティング、ストレージ、ネットワーク、仮想化を単一のソフトウェア定義システムに統合し、一つのインターフェースで管理する仕組みである。

個別のストレージ装置やサーバー、管理コンソールを減らせる効率性は、Nutanixが企業環境で採用される理由でもある。一方、管理レイヤーへの侵害に成功すれば、すべてを同時に暗号化される可能性がある。同じ基盤内に保存されたバックアップイメージも攻撃から隔離されない。

Anubisは侵入後、Fairlifeについて「われわれの暗号鍵なしに復旧できる見込みはない」とBleepingComputerに述べた。また、攻撃はコカ・コーラの公表のおよそ1週間前、7月9日か10日ごろに起きたと推定している。一方、カナダのFairlife事業は影響を受けなかった。このことは、米国とカナダの間でネットワークが有効に分離されていたか、両国の施設でインフラ構成が異なっていた可能性を示している。

■正規の遠隔管理ツールで潜伏

Arctic Wolfの調査によると、Anubisのアフィリエイトは侵入後のアクセスを維持するため、ScreenConnect、Zoho Assist、MeshAgent、Remotely、UltraVNC、Total Software Deploymentなど、正規の商用リモート監視・管理（RMM）ツールを常用している。攻撃活動を通常のIT運用に紛れ込ませるためだ。

正規のScreenConnectインストーラーは、ウイルス対策ソフトのシグネチャー検知では警告されない。こうした正規ツールの悪用に対しては、挙動に基づく検知が唯一の確実な防御策となる。

■暗号化せず破壊するワイパー機能

Anubisは一般的な二重脅迫型ランサムウェアとは異なる。この違いを理解することが、セキュリティやリスク管理の責任者にとってFairlife事件から得るべき最も重要な教訓である。

一般的な二重脅迫では、「暗号化されたファイルを復号するために支払う」か、「支払わず、盗まれたデータの公開に直面する」かという2種類の圧力が被害組織にかかる。十分なバックアップがあれば、理論上は暗号化による被害を受け入れ、データ公開を巡る交渉だけに絞ることもできる。

Anubisには、暗号化ではなくファイル内容を恒久的に消去する任意の「ワイプモード」がある。ディレクトリー一覧上のファイル構造は残しながら、ファイルの内容をゼロ値のバイトで上書きする。暗号化を行わず直接破壊するため、売り渡せる復号鍵そのものが存在しない。Trend MicroのMaristel Policarpio、Sarah Pearl Camiling、Sophia Nilette Roblesは2025年6月、この機能を新興のRaaS（Ransomware as a Service）における「まれな二重の脅威」と説明した。

Barracuda Networksのアナリストは2025年7月、ワイパーの戦略的な目的は完全には明らかでないと指摘した。ファイルを破壊すれば復号対象がなくなり、脅迫手段を一つ失うからだ。ただし、その分析では最も可能性が高い狙いとして、盗んだデータだけを収益化の手段とし、復号の提供ではなく公開をちらつかせるデータ脅迫モデルへの移行を挙げている。

ワイプされた場合、支払いを拒否した被害組織はデータ公開に直面するだけでなく、ゼロからの復旧を強いられる。通常のランサムウェアとは異なる、より強圧的な脅威となる。AnubisがFairlifeでワイパーを使ったかどうかは公に確認されていない。コカ・コーラが自社の復旧手順で生産を再開できたことから、完全に消去されたわけではないとみられる。一方、流出した約1TBのデータが公開されたことは確認されている。

■交渉拒否後にデータを公開

Anubisは2026年7月20日、ダークウェブ上のリークサイトにFairlifeの名前とカウントダウンを掲載し、「必要なのは形だけの合意だ」と主張した。身代金の金額は明らかにせず、期限を7月27日朝に設定した。

コカ・コーラの情報を引用したBleepingComputerの報道によると、同社はAnubisと交渉せず、侵害を法執行機関に報告した。期限が過ぎると、データは公開された。

コカ・コーラは同日遅く、「特定のデータが持ち出された」ことを認める声明を出した。既存在庫によってFairlife製品の小売供給への影響を抑えられたとし、米国4施設の生産は「おおむね」復旧したと説明した。一部システムの復旧は続いていた。

米連邦捜査局（FBI）とCISAは、支払いがさらなる犯罪活動の資金となり、データ削除の保証も検証できないとして、身代金を支払わないよう一貫して勧告している。コカ・コーラの判断はこの指針に沿うものだ。

公開データに従業員情報が含まれていればフィッシングに悪用される可能性があり、サプライチェーン文書が含まれていれば競争上の重要情報が漏れるおそれがある。個人情報が含まれていた場合には、規制当局の調査を受ける可能性もある。こうした二次的リスクは今後、数週間から数カ月にわたり表面化するとみられる。データの具体的な内容はコカ・コーラから公表されていない。

■Anubisの運営主体とビジネスモデル

Anubisは2024年12月、Sphinxと呼ばれていたマルウェア系統のブランド変更版として公に姿を現した。Sphinxは開発中であることが確認されていたが、Torベースのリークサイトや被害組織固有の識別子など、ランサムウェア集団の運営に必要な主要インフラを欠いていた。

2025年2月までに、ブランド変更後のAnubisは、主にロシア語が使われるサイバー犯罪フォーラム「RAMP」と「XSS」で正式に告知された。運営者は「superSonic」や「Anubis__media」などの別名を使っていた。

ビジネスモデルは標準的なRaaSで、外部のアフィリエイトが身代金収益の80％を受け取り、Anubisの運営者が20％を得る。独立したデータ脅迫プログラムもあり、アフィリエイトは盗んだデータをAnubisの運営チームに引き渡し、個別の交渉とリークサイトの管理を任せられる。

SecurityWeekが2026年7月27日に報じた時点で、Anubisは活動開始後、約100の標的組織をリークサイトに掲載していた。同集団は教育機関、政府機関、非営利団体を攻撃対象にしないと公言しており、この方針によって高収益の営利組織に照準を合わせている。

通常のファイル暗号化にはECIES（楕円曲線統合暗号方式）を使う。ワイプモードは別のコード経路で動作し、暗号化を完全に迂回してファイルを直接上書きするため、復号鍵は生成も保存もされない。

■食品製造業が狙われる理由

Fairlifeへの攻撃は単発の事例ではない。ランサムウェア集団が、運用技術（OT）ネットワークを持つ食品・飲料メーカーを狙う、文書化された傾向の一例だ。この業界では操業停止のコストが大きく、傷みやすい原材料を扱うサプライチェーンが支払いへの圧力を強める。

Gartnerは2022年、米国政策上で食品・農業を含む重要インフラ組織の約30％が、2025年までに運用上または任務上重要なサイバーフィジカルシステムを停止させるセキュリティ侵害を経験すると予測していた。それ以前の10％未満から大幅に増えるとの見通しだった。

食品・農業は2024年、サイバー攻撃の標的となった業種で世界7位だった。2023年だけで160件を超えるランサムウェア攻撃が記録され、2025年初めには同分野のランサムウェア被害が2倍以上に増えた。Food and Ag-ISACは2025年第1四半期だけで84件を追跡している。

Clarotyによる食品・飲料分野の調査では、回答者の3分の1超が、操業停止1時間当たり少なくとも100万ドル（約1億6400万円、1ドル＝164円換算）の売上損失になると答えた。特に乳製品は、生乳が傷むまでの短い時間内に処理する必要がある。完成品在庫で数日間の停止を吸収できる半導体製造とは事情が異なる。Fairlifeの生産停止は少なくとも11日間続いた。

世界最大の食肉生産企業JBS Foodsは2021年の攻撃で、米国の牛肉・豚肉処理を数日間停止し、1100万ドル（約18億400万円、1ドル＝164円換算）の身代金を支払った。この事件は米国の食肉供給に直接影響し、連邦政府の調査にもつながった。

コカ・コーラは別の道を選び、身代金を支払わず、復旧に伴う運用コストとデータ公開の二次的リスクを受け入れた。Fairlifeが失った11日間のコストが、公表されていない身代金要求額より大きかったのか小さかったのかは分からない。

■セキュリティ担当者が直ちに取るべき対策

Citrix NetScaler ADCまたはGatewayを運用する組織には、2つの緊急対応が必要だ。まず、CVE-2025-5777へのパッチ適用を確認する。CISAのKEVカタログに登録済みであり、Anubisのアフィリエイトは2026年6月だけでも、記録された少なくとも11件の攻撃でこの脆弱性を悪用した。

次に、パッチ適用後にアプライアンス上のすべてのアクティブセッションを終了する。パッチ適用前に抜き取られたセッショントークンは、明示的に失効させるまで有効であり、パッチだけではこの侵入経路を完全に閉じられない。

Nutanix HCIを利用する組織は、Nutanix AHVがAnubisに限らず、複数のランサムウェア集団の標的になっていることを認識すべきだ。CISAは2025年11月、SonicWall VPNの脆弱性を悪用して仮想化レイヤーに到達するAkiraランサムウェアについても、Nutanix AHVを標的とする同様の勧告を出した。

HCIの効率性は管理上の利点である一方、攻撃対象を一カ所に集中させるリスクでもある。本番ワークロードと同じNutanixクラスターにあるバックアップイメージは、暗号化やワイプから隔離されない。遠隔地に置いたバックアップ、ネットワークから切り離したエアギャップ型バックアップ、または書き換え不能なイミュータブルバックアップが不可欠だ。

導入済みのRMMツールも監査する必要がある。Anubisのアフィリエイトは、侵入直後にScreenConnectやZoho Assistなどの正規ツールを配置してアクセスを維持する。短時間に複数のRMMツールが予期せず導入されることは、攻撃者の存在を示す、文書化された指標である。

■注目ポイントQ&A

●Anubisとはどのようなランサムウェア集団ですか？

Anubisは、Sphinxと呼ばれたマルウェア系統のブランド変更版として2024年12月に公に活動を始めたRaaSです。主にロシア語が使われるダークウェブフォーラムで活動し、外部の攻撃者にツールを提供するアフィリエイト制度を運営しています。身代金収益の80％をアフィリエイトが受け取り、20％をAnubisの運営者が受け取ります。2026年7月下旬時点でリークサイトに約100組織を掲載しており、米国、オーストラリア、カナダ、西欧を中心に、医療、製造、テクノロジー、金融サービスなどを標的としていました。暗号化ではなくデータを恒久的に破壊する任意のワイパー機能を持つ点が特徴です。

●Anubisはパスワードなしで、どう侵入したのですか？

Anubisのアフィリエイトは、CitrixBleed 2とも呼ばれるCVE-2025-5777を悪用しました。Citrix NetScaler ADCおよびGatewayのメモリーからログイン済み利用者のセッショントークンを読み取り、再利用して利用者になりすます手法です。新たな認証処理が発生しないため、パスワード入力も多要素認証による確認も回避されます。この脆弱性は2025年7月にCISAのKEVカタログへ追加されました。

●コカ・コーラは身代金を支払いましたか？

いいえ。コカ・コーラからの情報に基づくBleepingComputerの報道では、同社はAnubisとの交渉を拒み、法執行機関に報告しました。7月27日の期限後、Anubisは盗んだ約1TBのデータを公開しました。4施設で少なくとも11日間続いた生産停止のコストが、公表されていない身代金要求額を上回ったかどうかは分かっていません。

●Fairlifeの牛乳を購入しても安全ですか？

はい。コカ・コーラは、今回の事件で製品の品質と安全性に影響はなかったと説明しています。標的となったのはITおよび生産管理システムで、物理的な生産工程や製品の完全性を管理する仕組みではありませんでした。7月27日までに米国4施設の生産はおおむね再開し、既存在庫によって大半の店舗への影響は抑えられましたが、ニューヨーク市などでは小規模な供給の乱れが報告されました。

元記事: Coca-Cola Refuses Ransom and Anubis Leaks Fairlife Data: CitrixBleed Opened the Door