2025年10月11日、サイバーセキュリティ業界に静かな波紋が広がりました。
サイバーインテリジェンス企業ハックマナックがX（Twitter）上で、ハッキンググループ クリムゾン・コレクティブ（Crimson Collective）が任天堂への侵入を主張しているとの警告を発信したためです。

任天堂への侵入主張（2025年10月11日）

投稿には1枚のスクリーンショットが添付されていました。
画像には「任天END堂 OPI」で始まる複数のフォルダーが映し出されており、開発関連ファイル、テスト環境のデータ、プロダクション資産など、内部システムの構造を示唆する名称が並んでいました。
これが本物であれば、任天堂の内部データへの不正アクセスが行われた可能性があります。

任天堂は本件に関して声明を出しておらず、静寂が京都の本社を包んでいます。
しかし、この沈黙の背後では、セキュリティチームが不眠不休で侵入経路の特定や被害範囲の確認、そして世界中のファンが待ち望む新作ゲームの情報が無事かどうかの確認を追っているだろうと推測されています。

クリムゾン・コレクティブ（CC）の台頭と過去の主要攻撃

クリムゾン・コレクティブは2025年9月24日にTelegramチャンネルを開設したばかりの進行グループですが、わずか数週間で複数、大規模な攻撃を実行し、その名を轟かせていました。

レッドハット（Red Hat）への攻撃

最も注目を集めたのは、10月1日に公表されたレッドハットへの攻撃です。
彼らは同社のコンサルティング部門が使用するGitLabインスタンスに侵入し、570GBもの圧縮データを窃取したと主張しました。
このデータには、28,000個の内部リポジトリと約800件の顧客エンゲージメントレポートが含まれ、設定ファイル、ネットワーク構成図、認証トークンなどの機密情報が含まれていたとされています。
レッドハットは10月2日に侵害を認め、調査を開始したと発表しましたが、政府機関、金融機関、通信事業者の顧客データが漏洩した可能性があり、二次被害への懸念が高まっています。

クラロ・コロンビア（Claro Colombia）への攻撃

CCは9月25日にはコロンビアの通信事業者クラロ・コロンビアへの攻撃も主張しており、5,000万件以上の顧客請求書と金融ファイルを窃取したとしています。

クリムゾン・コレクティブの巧妙かつ強硬な手口

CCの手口は巧妙かつ執拗です。
彼らはまず標的企業の公式チャネルを通じて接触し、身代金要求を試みます。
企業側が実質的な対応をしなかった場合、データの一部をTelegramで公開して圧力をかけます。
レッドハットのケースでは、侵入の証拠として内部フォルダーの完全なディレクトリストや顧客レポートのサンプル、内部システムへのアクセスを示すスクリーンショットを公開しました。さらに、窃取した認証トークンを使用してレッドハットの顧客インフラにも侵入したと主張しています。
10月7日には事態がエスカレートし、CCはシャイニー・ハンターズと関連があるとされるスキャラプサス・ハンターズ・グループと協力し、新たな強喝サイトを立ち上げました。彼らはレッドハットに対し、10月10日までに連絡がなければ機密性の高い知的財産を公開すると脅迫しました。

任天堂が標的となった理由とラプサス$との潜在的関連性

サイバーセキュリティ専門家たちは、CCが短期間で知名度を上げるため、世界的に有名で高プロファイルな企業を狙っていると見ています。任天堂は世界中から愛されるゲーム企業であり、攻撃が成功すれば大きな注目を集めることができます。
CCは、進行グループとしての実力を誇示し、他の犯罪グループとの協力関係を築くために、レッドハット、クラロ・コロンビア、そして今回の任天堂と次々に有名企業を標的にしていると見られます。
また、任天堂を狙うもう一つの理由は、同社が保有する膨大な知的財産（IP）の存在です。マリオ、ゼルダ、ポケモンなどのIPの開発資料や未発表タイトルの情報が流出すれば、闇市場で高値で取引される可能性があります。

ラプサス$（Lapsus$）との関連性

興味深い点として、CCの投稿には「ミク」という署名が使われています。
これは、ラプサス・ハンターズおよびスケタード・スパイダー・グループのメンバーとされ、現在裁判待ちで拘留中の19歳の英国人ハッカー、タルハ・ジュベアが使用していたニックネームと同じです。
ラプサスは2022年にUBIソフトやMicrosoftを攻撃し、グランドセフトオート6のゲーム内映像を流出させた前歴がある集団です。
セキュリティ専門家たちは、クリムゾン・コレクティブがラプサスの残党あるいは模倣者である可能性を指摘しています。もしそうであれば、ゲーム業界への攻撃は今後も続く可能性が高いとされます。

任天堂の繰り返されるセキュリティ侵害の歴史

任天堂のセキュリティはこれまで何度も破られてきた歴史があります。

大規模データ流出事件

• 2020年1月には、米国のハッカーが任天堂の内部データベースへの不正侵入で有罪を認め、今後の発表予定やハードウェア計画を盗み出していました。
• 2018年3月から2020年に大規化した一連のデータ流出事件は「任天堂ギガリーク」と呼ばれています。この事件では、1980年代にまで遡るゲームのソースコード、プロトタイプ、エミュレーター、未発表製品などの貴重な内部資料が流出しました。
• 2020年4月には、NNID（任天堂ネットワークID）システムの脆弱性により、30万件のアカウントが侵害されました。この攻撃では、クレジットカード情報、メールアドレス、地理的情報などの個人情報が流出しました。問題点として、NNIDが2要素認証に非対応であったことや、最小パスワード長が業界標準を下回る6文字だったことが挙げられています。
• 2024年10月には、ポケモン開発会社のゲームフリークがハッキングされ、2,600人の従業員データと次世代機に関する内部情報が流出しました。この攻撃で、Switch 2の開発コードネーム「O S」や計画されていたポケモン映画の続編情報なども漏洩しました。

技術的・ハードウェア的脆弱性

技術的な脆弱性も継続的に発見されています。

• ENLBufferPwn（ソフトウェア脆弱性）： 2022年12月に公表されたこの脆弱性は、『マリオカート7』『マリオカート8』『スプラトゥーン』シリーズなど複数の任天堂ゲームに存在しました。CVSSスコアで9.8という危険度の高いスコアを記録し、リモートコード実行（RCE）を可能にするものでした。攻撃者はオンライン対戦中に被害者のコンソールで任意のコードを実行でき、最悪の場合、アカウント情報の窃取やコンソールの完全な乗っ取りも可能でした。
• Sjeler（ハードウェア脆弱性）： 初代Nintendo SwitchのNVDA X 1には、リカバリーモード実装にバッファーオーバーフロー脆弱性がありました。この問題は、ブートロム（読み取り専用メモリ）に焼きつけられているため、修正不可能な恒久的な問題となっています。

デジタル時代の戦い

任天堂への攻撃は、単なる企業への攻撃ではなく、世界中の子供たちが胸に抱く純粋な喜びへの攻撃であり、創造性への冒涜であるとも評されています。
デジタル時代においては、想像と破壊は表裏一体であり、同じ技術がマリオを動かすコードを書くことも、そのコードを盗み出すことも可能にします。
このデジタル時代の戦いに終わりはありませんが、任天堂はこれまで幾度となく困難を乗り越えてきたように、今回もまた立ち上がるだろうと結ばれています。

▲上へ　　　　　 ★阿修羅♪ > 経世済民136掲示板　次へ 　前へ

フォローアップ:

★事前登録無しでコメント可能。今すぐ反映　通常 ｜動画・ツイッター等 ｜htmltag可（熟練者向）
（タグCheck ｜タグに'だけを使っている場合のcheck ｜checkしない）（各説明）

（←ペンネーム新規登録ならチェック）
↓ペンネーム（2023/11/26から必須）

↓パスワード（必須）

（ペンネームとパスワードは初回使用で記録、次回以降にチェック。パスワードはメモすべし。）
↓画像認証
（ 上画像文字を入力）
ルール確認＆失敗対策
画像の URL (任意):

▲上へ　　　　　 ★阿修羅♪ > 経世済民136掲示板　次へ 　前へ

★阿修羅♪　http://www.asyura2.com/ since 1995
スパムメールの中から見つけ出すためにメールのタイトルには必ず「阿修羅さんへ」と記述してください。
すべてのページの引用、転載、リンクを許可します。確認メールは不要です。引用元リンクを表示してください。