インドの重要インフラ侵害、サプライチェーン段階へ：暗黒ウェブにリーライアンスとクダンクラムの書類が流出

2019年のクダンクラム侵入は請負業者を通じて行われた。7年後も侵入口は同じかもしれない。

簡単に言えば

ダークウェブのマーケットプレイスで、リライアンスとインドのクダンクラム原子力発電所に関連するファイルが見つかったと、Medianamaの調査で明らかになった。いずれの組織も公式に侵害を確認しておらず、データの規模、出所、新鮮さはまだ明らかになっていない。

文脈

クダンクラムはロシア製VVER-1000原子炉を採用したインド最大の原子力発電所であり、2019年にはDtrackマルウェアによる侵害が確認され、インドおよび第三者のアナリストによってラザルスグループによる犯行とされている。一方、リライアンスはインド最大の民間コングロマリットで、通信・小売部門が膨大な顧客データを保有している。両者とも2023年施行のDPDP法（デジタル個人データ保護法）の執行体制下で運営されている。

データについて

Medianama（2026年7月16日）によると、リライアンスとクダンクラムの名称が入ったファイルのサンプルがダークウェブのフォーラムに出現したという。同メディアは具体的な記録数ではなく、文書やメタデータについて言及しており、現時点で暗号的な新鮮さの証明は公開されていない。記事掲載時点では、インドのCERT-Inもいずれのデータセットに関連した公式勧告を発行していない。

分析

2つのパターンが重要だ。第一に、請負業者やサプライヤーのファイルが侵入経路になりやすいこと。2019年のクダンクラム侵害は原子炉制御ネットワークではなく管理用ワークステーションを経由しており、今年のリークデータも同様の経路をたどっている可能性がある。第二に、「リークされた」≠「運用上の侵害」ということ。制御システムがエアギャップで隔離されている一方で、企業の文書ストアが狙われるケースが多く、こうした話は見出しで単純化されがちだ。

シナリオ

最も可能性が高い：請負業者側からのデータ流出が確認され、発電所の運用には影響なし。DPDP委員会がリライアンス側の調査を開始。悪化：リライアンスの顧客データとクダンクラム関連の人員を照合し、標的型監視のリスクが生じる。最悪：国家関連アクターによる犯行とされれば、発電所の安全性を巡るインド・ロシア間の外交問題に発展する。

結論

インドの重要インフラに関わる事業者にとって、ターゲットは「大手ベンダーは狙われる」から「請負業者が侵入口になる」へとシフトしている。サプライチェーンのセキュリティ条項は単なる書類上のものではなくなる。そしてDPDP法の初の本格的な執行テストは、消費者向けアプリではなく、重要インフラの指紋が残る企業文書の流出から始まるかもしれない。