シャットダウンの通知は、顧客に届いた電子メールを引用する形でドイツのメディアHeiseが最初に報じた。世界中を対象としており、英国時間9月26日土曜日の3時から9時までの6時間に適用されたが、Kiteworksはそれ以前にサーバを停止することを推奨していた。

　KiteworksのCISO（最高情報セキュリティ責任者）を務めるフランク・バロニス氏はメールで、「今週末にKiteworksのシステムに対する攻撃が差し迫っている可能性があることを示す、法執行機関からの信頼できる脅威インテリジェンスを受け取った」と述べた。

　追加の声明で、バロニス氏はKiteworksのサービスが侵害された事実は把握していないとし、今回の措置は「念には念を入れたもの」だと説明している。

　脆弱性管理プラットフォームを提供するWatchtowrで脅威インテリジェンスの責任者を務めるジェイク・ノット氏は、Kiteworks製品に対する新たな脅威を追跡中だと認めた。同氏は、顧客にサーバを停止するよう要請することは極めて異例であり、非常に不吉な兆候だと指摘している。

　「CVEもパッチも技術的な詳細も明らかになっていないが、勘だけで全顧客に本番システムの電源を切るよう要請する企業など存在しない」（ノット氏）

　ノット氏は電子メールでComputer Weeklyに、「マネージドファイル転送アプライアンスは、あらゆる動機を持つ攻撃者にとって極めて実入りが良く、侵入しやすい標的であり続けている。初期アクセスと、脅迫や水平展開に利用可能な機密情報への直接アクセスを同時に得られるからだ」と語った。

　「MFTアプライアンスに影響を与える脆弱性が長期間秘密のまま保たれることはほとんどない。通常、標的型の悪用から無差別な実環境での悪用へと急速に拡大する。研究者と攻撃者の双方が、すでに手元の大規模言語モデル（LLM）にコードベースを読み込ませている可能性が高い」（ノット氏）

　ノット氏は、Kiteworksのややあいまいな主張は多くの疑問を呼ぶと指摘した。特に、インターネットに面していないシステムの電源を切るようユーザーに求めている点を挙げている。「その脆弱性とは何か、具体的に何に影響するのか、どのように悪用されるのか、そして『電源を切って放置する』ことが正式なセキュリティ対策になったのか」（ノット氏）

　ノット氏はKiteworksの顧客はその助言に従うべきだと述べつつも、未公開のゼロデイ脆弱性が公になったことで、攻撃者が一時的に活動を潜伏させる可能性も十分にあるとみている。

ランサムウェアの標的となるMFT

　Cleo、Fortra、Progress Software、そしてKiteworksの前身であるAccellionなど、攻撃者の標的となったMFTサービス提供企業の名前は枚挙にいとまがない。その被害は、顧客にとって壊滅的とまではいかなくとも、極めて深刻な問題になり得る。

　では、なぜMFTシステムはこれほど魅力的な標的になるのか。その理由は、法規制の対象となることも多い機密データの膨大な流れを単一の場所で制御しているためだ。たった1つの脆弱性によって、攻撃者は膨大な数の企業へのアクセス権限を手に入れることができる。金銭目的のランサムウェア集団にとってこれは強力な武器になる。

　例えばレンタカー大手のHertzは、2025年4月にCleo製品の脆弱性を突かれて侵害を受けたとされ、ランサムウェア集団「Cl0p」の標的となった。クラウドデータ管理とセキュリティサービスを提供するRubrikも同様に、Fortraの製品「GoAnywhere」の侵害を受けて被害に遭った。

　MFTのサプライチェーン侵害で最も悪名高い事例は、2023年5月末に発生したProgress Softwareのツール「MOVEit」の脆弱性を突いた攻撃だろう。英国のBBC、Boots、British Airwaysなどが容赦なく標的にされた。

　Progress Softwareのツールに対する侵害もCl0pが主導したものであり、同集団はMOVEitを通じて最終的に1000以上の企業に打撃を与えた。Cl0pは多数の被害組織を同時に標的にすることを特徴としており、そのためにMFTの脆弱性を特に好んで利用する。

　2026年9月25日時点で、Kiteworksの件にCl0pが関与していることを示す公開情報は存在していない。しかしCl0pは現在活動している中で最も活発なランサムウェア集団の1つで、十代の若者らによる攻撃者集団「ShinyHunters」から「自分たちが先に見つけた脆弱性を盗んだ」と非難され標的にされるなど、サイバー犯罪組織間の縄張り争いにも巻き込まれている。