大手消費財メーカーのCloroxは2025年7月22日（現地時間、以下同）に、同社のITヘルプデスクを管理していたIT企業のCognizant Technology Solutions（以下、Cognizant）を提訴した。Cloroxは2023年に受けたサイバー攻撃で生産能力が大きく損なわれて3億8000万ドルの損失を招いた責任がCognizantにあると主張している。同社の2024年の売上高は約71億ドルだ。

　攻撃者は2023年8月にソーシャルエンジニアリングを利用してCloroxのシステムに侵入した。攻撃によってIT基盤が混乱した結果、Cloroxは家庭用洗剤などの主力製品の出荷を数カ月間停止せざるを得なかった（注1）。

　カリフォルニア州高等裁判所に提出された訴状の中で、CloroxはCognizantが認証手順に従わずに攻撃者へ認証情報を渡したため、CloroxのITシステムを保護できなかったと主張した。CloroxはCognizantによる攻撃対応が不適切だったため復旧期間が長引いたとも主張している。

　Cloroxの外部弁護士であり、法律事務所Latham＆Watkinsのパートナーでもあるメアリー・ローズ・アレクサンダー氏は次のように述べた。

　「Cloroxは自社の企業システムを守るという極めて重要な責任をCognizantに託したが、Cognizantは完全に失敗した。Cognizantは単にミスを犯しただけではない。Cloroxの方針や長年培われたサイバーセキュリティ基準を無視し、Cloroxの企業ネットワークへのアクセスを可能にする『鍵』を悪名高いサイバー犯罪グループに渡してしまった。その際のやり取りは通話記録に残っており、言い逃れはできない」

犯人はまたもやScattered Spider

　研究者はCloroxへの攻撃を悪名高い攻撃グループ「Scattered Spider」による犯行だとした。攻撃グループは直近数カ月間にわたって、小売業界や保険業界、航空業界などを繰り返し標的にしてきた。攻撃グループは音声によるフィッシングなどの手口を使ってITヘルプデスクの担当者をだまして認証情報を入手し、ユーザーの多要素認証を回避させるといったソーシャルエンジニアリング攻撃を得意としている。

　Cognizantはこの訴訟を批判して、「Cloroxが自社の内部サイバーセキュリティ規定をどのように管理していたのかについては、依然として疑問が残る」と述べた。

　Cognizantは『Cybersecurity Dive』に提供した声明の中で次のように述べた。

　「Cloroxのような大企業において、攻撃を防ぐための社内サイバーセキュリティ体制にこれほどの不備があったとは驚きだ。Cloroxは失敗の責任を当社に押し付けようとしているが、実際のところCloroxが当社に依頼したのは限られた範囲におけるヘルプデスク業務であり、私たちはそれを適切に遂行した。当社はCloroxのサイバーセキュリティを管理していたわけではない」