15年分の注文データが流出？Dodo Pizzaのサイバー攻撃でハッカーが逮捕された経緯と、パスワード流出という脆弱性

Dodo Pizzaはロシア発のピザチェーンで、約28か国に約1,500店を展開しています。攻撃は2026年9月28日に起きました。会社は、攻撃者が顧客の氏名、住所、電話番号、メールアドレス、生年月日、注文内容に触れた可能性があると認めています。

盗まれたデータは、ハッカー側の情報として15年分の注文、約6,800万件の顧客記録、約1億7,100万件の配送先住所、約43万人の従業員情報、合計3.7TBに及ぶと報じられました。ただしこれらは会社が確認した数字ではありません。^[1]

10月14日、モスクワのトヴェルスコイ地区裁判所は、19歳のデニス・フリドマン容疑者を12月8日まで自宅軟禁としました。容疑はロシア刑法272.1条に基づく、個人データを含む情報の違法な取り扱いです。最高刑は懲役6年です。

フリドマン容疑者はハッカー集団「DataSuckers」の4人組の1人で、ほかに2人が拘束され、1人は逃走中と報じられました。特定のきっかけは、盗んだデータにアクセスした際に自宅のIPアドレスが露出し、シベリアのバルナウルの自宅にたどり着かれたことでした。集団はロシアの旅行会社Tez Tourやウクライナの食品小売ATBへの攻撃も主張しています。^[2]

報道は当初、容疑者にロシア、カザフスタン、ベラルーシの国民が含まれるとしました。しかしカザフスタン内務省は10月21日、同国民の拘束を確認していないと述べました。^[3]

Telegramチャンネル「Baza」によると、攻撃の入口は、公開のGitHubで見つかったDodo Pizzaの有効な認証情報でした。下請け業者が自分のパスワードを公開リポジトリに置いたままにした、という説明もあります。^[4]

ハッカーはこの認証情報を足がかりに、クラウドのキー、分析基盤のトークン、管理者の認証情報へと順に進み、SupersetやDatabricks、Azureといった社内の基盤に入ったと伝えられています。1つの脆弱性が別の脆弱性につながる「連鎖」だったという見方です。

盗まれたデータはダークウェブで10万ドルで売られ、代金は4人が共有する暗号資産ウォレットに送られました。報道によれば、逮捕後に他の3人がウォレットのパスワードを変え、拘束された1人が資金にアクセスできなくなりました。^[5]

ユーザーは、利用しているサービスで同じパスワードを使い回していないか確認し、二段階認証を有効にしておくと安全です。注文内容や住所を知っているかのように装ったフィッシングメッセージも出回りやすくなるため、不審なリンクは開かないことが基本です。

企業側は、パスワードやAPIキーを公開リポジトリに置かない、キーの定期的な更新、シークレットスキャンの導入、委託先を含めたアクセス権の見直しが有効です。今回の事件は、ピザという身近なサービスが、サイバー攻撃の対象になることを示しています。