ShadowByt3s、スターバックスのクラウド資産侵害 10GBデータ窃取
クラウド資産侵害とデータ窃取
ハッカーグループShadowByt3sがスターバックスのクラウド資産へ不正アクセスし、約10GBのデータを窃取したとみられている。攻撃者は「sbux-assets」S3バケットを通じて、ソースコードや飲料機器のファームウェア、管理ツールなどを取得したと主張している。
さらに、2026年4月5日を期限として身代金を要求し、応じない場合はデータを公開すると示唆している。
流出データの内容
流出データには、ハードウェア制御や内部システムに関する複数の重要情報が含まれていた。
ハードウェアおよび制御技術
飲料ディスペンサーのファームウェアや「Mastrena II」エスプレッソマシンの制御ロジック、FreshBlendsの自動飲料ステーションに関する独自コードが含まれている。これらの情報は、機器改ざんやサプライチェーン攻撃に悪用される可能性がある。
グローバル管理および内部システム
世界中の機器を管理する中央ダッシュボードのソースコードに加え、在庫管理ポータルや運用監視ツールなど、内部業務システムに関するコードが含まれている。
開発環境およびソースコード
JavaScriptバンドルにはAPIエンドポイントや認証ロジックが含まれており、SCSSファイルは管理UIの設計に使用されている。また、バックアップやステージング領域には一時的な認証情報や開発者メモが含まれている可能性がある。
攻撃グループの動向とリスク
ShadowByt3sはMega.nzを通じて一部データのサンプルを公開し、1GB超のファイルについてはTelegramチャンネルで配布する動きを見せている。また、内部関係者の勧誘を行い、収益分配を提示するなど、活動範囲の拡大が確認されている。
同グループは2025年12月にフォーラムアカウントを作成し、複数の投稿およびスレッドを通じて活動を継続している。本件は、機器制御技術や内部システム情報の流出が競合分析やサプライチェーンリスクにつながる可能性を示す事例となった。
クラウド資産の管理においては、アクセス制御や監視体制の見直しなど、継続的なセキュリティ対策の強化が求められる。
