03 危機管理, 情報セキュリティ, 個人情報保護法, IT, エンターテイメント

はじめに

今年6月、企業がサイバー攻撃にあったとする報道が相次ぎました。
出版大手「株式会社KADOKAWA」のグループ会社が攻撃を受けて動画配信サイト「ニコニコ動画」が利用できなくなったほか、岡山県にある精神医療センターでも攻撃があったということです。

ロシア系ハッカー集団からサイバー攻撃

株式会社ドワンゴが先月6月14日に発表したプレスリリースによると、6月8日早朝から同社が運営する「ニコニコ」のサービス全般を利用できない状態が続いているということです。障害発生はランサムウェアを含む大規模なサイバー攻撃によるものであると発表されています。

サイバー攻撃の影響を受けたのは、動画配信サービス「ニコニコ動画」のほか、楽曲収益化サービス、ドワンゴチケット、「N予備校」などです。

会社は「ニコニコ動画（Re:仮）」という臨時サービスの提供を開始するなどして、対処に努めていますが、本日時点で、ニコニコのサービス全般およびニコニコアカウントによる外部サービスへのログインは引き続き停止中となっています。

ドワンゴではサイバー攻撃を確認直後、関連サーバーをシャットダウンするなど緊急措置を実施したほか、対策本部を立ち上げ、被害の全容解明・原因究明およびシステムの復旧対応を行なっています。

ランサムウェア攻撃による情報漏洩に関するお知らせとお詫び（株式会社ドワンゴ）

また、一部報道では、「ブラックスーツ」と名乗るロシア系ハッカー犯罪集団が6月27日、ダークウェブ上の闇サイトに犯行声明を出したことが報じられました。
ダークウェブとはGoogleなどの検索エンジンでは見つけられず、特別な技術やプログラムがなければアクセスできない領域のことです。

声明文には、「約1カ月前にKADOKAWAのネットワークに侵入し、同社側の防衛策を突破して、1.5テラバイトのデータをダウンロードし、ネットワークを暗号化した」旨記されていたといいます。盗み出したデータには、契約情報に加え、利用者・従業員の個人情報などが含まれてるとされています。

ブラックスーツは、KADOKAWA側に金銭（身代金）の支払いを要求し、支払わなければ7月1日に盗んだデータを公開するとしていました。
その後に、身代金の金額についてKADOKAWAの経営陣と取引したものの、提示金額に不満があったため、金額の上乗せをするよう脅迫したとも報じられています。会社は、7月3日時点で以下の情報漏洩を確認したと発表しています。

■情報漏洩を確認した情報
【社外情報】
・N中等部･N高等学校･S高等学校の在校生･卒業生･保護者のうち、一部の方々の個人情報
・当社が取引する一部のクリエイター、個人事業主および法人との契約書
・楽曲収益化サービス（NRC）を利用している一部のクリエイターの個人情報
・一部の元従業員が運営する会社の情報

【社内情報】
・全従業員の個人情報（契約社員､派遣社員､アルバイト､一部の退職者含む）
・関係会社の一部従業員の個人情報
・法務関連をはじめとした社内文書

岡山市の病院もサイバー攻撃に

世間を騒がせているKADOKAWAへのサイバー攻撃ですが、2024年5月には、岡山市の地方独立行政法人「岡山県精神科医療センター」もサイバー攻撃の標的となりました。

病院では5月19日にシステム障害が発生し、電子カルテが閲覧できなくなったということです。
病院側が確認したところ、ランサムウェアとみられるサイバー攻撃を受けたことが判明し、最大で約4万人分の患者の個人情報が流出した恐れがあると公表しました。個人情報には患者の氏名、住所、生年月日、病名などの個人情報や、病棟会議の議事録などが含まれるということです。

6月7日には警察が個人情報の流出を確認していますが、具体的な被害人数やその内容は把握できていないということです。
病院側は、患者の病名などの情報が流出した可能性があることから、電話による相談窓口を設け対応にあたっています。

患者情報等の流出について（地方独立行政法人　岡山県精神科医療センター）

関連会社の従業員らの個人情報や社内文書まで流出した今回の事件。KADOKAWA側は、「ニコニコ動画」で活躍するクリエイターや有料会員などへの補償も発表するなど対応に追われています。

昨今、ランサムウェアによるサイバー攻撃被害が全国規模で広がりを見せるなど、サイバー攻撃は、もはやどの企業にとっても他人事ではありません。

法務の観点でも、秘密情報や個人情報の漏洩リスク、システム停止による事業継続リスク、それに伴う行政処分や関係者への損害賠償リスク、レピュテーションリスクなど、ヘッジすべきリスクが数多くあります。

サイバー攻撃に関しては、特に、夏季休暇などの大型連休中が狙われやすいといわれています。サイバー攻撃発生時に法務として、どのように被害拡大を防止し、緊急対応を行うか。一連のオペレーションについて、一定のルールを整理しておくことが重要です。

メルマガ会員登録