パリを拠点とするトップ14のラグビークラブ、スタッド・フランセはサイバー攻撃の被害者であることを確認しました。報道によると、選手の身分証明書が身代金要求の対象となっています。

サイバー犯罪者らは選手に関する書類の公開を脅迫しており、すでに18名の選手の身元を特定できる書類を公開しています。パスポートや国民身分証などの身分証明書の漏洩は、被害者にとって個人情報盗難や詐欺の重大なリスクを伴います。フランスの厳格なデータ保護制度の下では、組織は重大な個人データ侵害を国家データ保護機関であるCNILに遅滞なく通知する義務があり、この懸念はさらに高まっています。

「影響を受けたシステムを保護し、ビジネスの継続性を確保するため、即座の封じ込め、調査、復旧措置が実施されました」と、このフランスのラグビークラブは声明で述べています。

スタッド・フランセは、今年のインベステック・チャンピオンズカップでボダコム・ブルズ、ノーサンプトン・セインツ、バス・ラグビー、カーディフ・ラグビーと対戦予定です。同クラブは元ハーレクインズ監督のポール・ガスタードが一部指揮を執っており、昨シーズンはイングランド代表センターのジョー・マーチャントが在籍していましたが、今シーズンに向じてプレミアシップに復帰しています。

一部の報道では、攻撃の背後にいるのはロシア語圏のランサムウェアグループ「Qilin」だと指摘されています。Qilinは従来から高額な身代金を要求しており、2024年にNHS医療サービスプロバイダーのSynnovisをハッキングしたと報じられています。Qilinのようなランサムウェア操作者は一般的に「二重恐喝」モデルを採用し、被害者のシステムを暗号化すると同時に盗んだデータの公開を脅して支払い圧力を高めます。これにより、機密性の高い契約情報、医療情報、個人情報を保管するスポーツ組織は特に魅力的な標的となっています。

オンラインサービスへの影響なし

オンラインチケット販売、クラブショップ全般、グッズウェブサイトはこの侵害の影響を受けていません。

この攻撃は、過去10年間にわたりスポーツ組織を標的にした一連のサイバーインシデントの最新事例です。2021年にはNBAのヒューストン・ロケッツが大量データ漏洩の脅迫を受け、今年初めにはサッカークラブのアヤックスがサイバー犯罪者によってウェブの脆弱性を暴露されました。

オリンピック競技大会も2018年と2026年の両方で標的となり、フランスラグビー連盟は以前にランサムウェアによる業務停止の被害に遭っています。

2023年の業界報告では、パリのトップ14クラブのひとつであるスタッド・フランセが誤ってサーバーのソースコードを漏洩し、クラブのウェブサイトに変更を加える可能性のある者に情報が公開状態になっていたことが示唆されていました。

スタッド・フランセは9月のトップ14の再開に先立ち、関係当局に告訴を提出し、クラブはペルピニャンをホームで迎える予定です。