KADOKAWAの公式発表から学べるのは、ランサムウェアの被害が「数か月の事業の影響」と「個人情報の流出対応」の2つに同時に広がることです。2024年6月8日の障害から全面復旧の見通しまで3か月近く、確認された個人情報の漏えいは25万4,241人分でした。
今日やることは、自社のファイルサーバーに何があるかを確かめることです。この件で漏えいしたものの多くは、契約書や人事情報でした。中小企業のファイルサーバーにも同じ種類の情報があります。
この記事は、KADOKAWAの発表だけをもとにしています。報道で伝えられた内容や、攻撃者の主張には踏み込みません。被害を受けた会社を評価する目的でもありません。詳しく公表してくれたので、ほかの会社が自社の備えを考える材料にできる、という立場で読みます。
公式発表で確かめられる経緯は？
| 発表日 |
内容 |
| 2024年6月28日 |
攻撃したとする組織の主張を受け、公開された情報を確認。一部の漏えいを確認したと報告 |
| 2024年7月3日 |
漏えいの可能性が高い情報の種類を追加。攻撃の対象はドワンゴ専用のファイルサーバーと説明 |
| 2024年8月5日 |
外部の専門企業の調査結果を報告。個人情報25万4,241人分の漏えいを確認。個人情報保護委員会に報告 |
| 2024年8月14日 |
業績への影響の見通しと復旧の見通しを公表 |
| 2025年5月8日 |
通期決算でサイバー攻撃の影響額を公表 |
発端は、8月5日の発表によれば、6月8日に複数のサーバーへアクセスできなくなった障害です。社内で調べたところ、ニコニコを中心としたサービス群を標的に、データセンター内のドワンゴ専用ファイルサーバーなどがランサムウェアを含む攻撃を受けたと確認されました。
身代金については、ここで読んだ情報漏えいの3つの発表には書かれていません。したがって、この記事でも触れません。
業務はどれくらいの期間、どこで止まったのか？
止まり方は事業ごとに違いました。8月14日の発表は、影響を次のように説明しています。
- 出版：国内の紙の書籍の生産と出荷部数が減少。既刊の1日あたりの出荷部数は、8月中旬以降に概ね平常へ回復する見込み
- Webサービス：ニコニコファミリーのサービス全般が停止。9月以降に全面的なサービス復旧の見通し
障害の発生から数えると、出荷の回復の見込みまで2か月強、全面復旧の見通しまで3か月弱です。いずれも8月14日時点の見通しで、実績の日付ではありません。
業績への影響は、見通しと実績を分けて見ます。
| 時点 |
売上高への影響 |
営業利益への影響 |
特別損失 |
| 第1四半期の実績（2024年8月14日公表） |
26億円減 |
19億円減 |
20億円 |
| 通期の見通し（同上） |
84億円減 |
64億円減 |
36億円 |
| 通期の実績（2025年5月8日公表） |
83億円減 |
47億円減 |
24億円 |
通期の実績の内訳は、国内の紙の書籍で売上高36.5億円減、Webサービスで39.5億円減です。特別損失の中身について、8月14日の発表はクリエイターへの補償費用や調査・復旧費用などと説明しています。
規模は中小企業と大きく違いますが、見るべき点は共通です。損失は復旧の費用だけでなく、止まっている間の売上の減少と、取引相手への補償にも広がります。警察庁の令和8年上半期の資料でも、復旧に総額1,000万円以上かかった組織は全体の6割、1か月未満で復旧した組織は5割弱です。
何が漏えいし、何が漏えいしなかったのか？
8月5日の発表で確認された個人情報は、ドワンゴの全従業員、関係会社の一部の従業員、一部の元従業員や取引先、面接を受けた一部の方、学校法人の在校生や卒業生、保護者などの一部です。項目には住所、電話番号、学歴、口座情報などが含まれます。企業情報では、一部の契約書と法務関連の社内文書が挙げられています。
一方で、顧客のクレジットカード情報は社内で保有していないため、同社グループから漏えいは起こらない仕組みだと説明しています。ニコニコのユーザーのログイン情報とクレジットカード情報についても、ドワンゴからの漏えいは確認されていないとしています。
ここから得られる学びは単純です。持っていない情報は漏れません。製造業でいえば、たとえば共有フォルダーに、取引先との契約書、図面、従業員の給与明細、退職者の履歴書が何年ぶんも残っている場合です。必要な期間を過ぎたものを消すだけで、万一のときに連絡する相手と説明する範囲を狭められます。ファイルサーバーの権限と保存の設定は、NASとファイルサーバーのランサムウェア対策で扱います。
原因について、何が公表されたのか？
8月5日の発表は、社外の専門企業の調査として「現時点ではその経路および方法は不明」としたうえで、フィッシングなどの攻撃により従業員のアカウント情報が窃取されたことが根本原因と推測されるとしています。盗まれたアカウントで社内ネットワークに侵入され、ランサムウェアの実行と個人情報の漏えいにつながったという説明です。
原因が「推測」である点は、読み手が注意すべきところです。断定されていない以上、この件だけから特定の製品で防げたとは言えません。自社の対策としては、正規のIDが盗まれた場合を前提に点検します。多要素認証を付けられているか、1つのIDで触れる範囲が広すぎないか、の2点です。ログインを固める手段は多要素認証の製品比較で、ログインのあとの不審な動きを見る手段はEDRの製品比較で比べられます。攻撃が進む順序全体は、ランサムウェアの5段階を整理した記事をご覧ください。
流出のあとの対応から、何を準備できるか？
発表を時系列で読むと、中小企業でも先に決めておける項目が見えてきます。
調査を頼む先
同社は社外のセキュリティ専門企業の支援を受けて調査を進めました。流出の範囲は、社内だけでは確定しにくいものです。インシデント対応・フォレンジックの比較で候補を見て、相談の窓口を事前に控えておくと、起きた日に探さずに済みます。
段階的に発表する
6月28日、7月3日、8月5日と、分かったことを更新しています。全部が分かるまで黙るのではなく、分かった範囲と次の報告の時期を伝える形です。個人情報保護委員会の漏えい等報告も、速報は発覚から3〜5日以内、確報は30日以内で、不正の目的によるおそれがある場合は60日以内とされています。報告の要否は、委員会の最新の案内で確かめてください。
個別の連絡と窓口
対象者への個別の連絡、連絡がつかない人向けの公表、立場ごとの問い合わせ窓口を用意しています。誰の情報をどこに持っているかが分からないと、この作業は始められません。従業員、取引先、顧客の連絡先の一覧は、社内のシステムが止まっても見られる場所に控えます。
広がったあとの対応
同社は、拡散と認識した書き込みを8月2日時点でドワンゴ関連896件、学校法人関連67件と公表し、削除要請や発信者情報開示請求を進めていると説明しています。弁護士と協議のうえでの対応です。顧問の弁護士がいない会社は、相談先を決めておくと動きやすくなります。
お金の備え
調査、補償、売上の減少のどれが自社の保険の対象になるのかは、契約で変わります。サイバー保険の比較を見る前に、まず今の契約書で対象の範囲を確かめます。
自社に置きかえるときの3つの問い
大きな会社の事例を読んで終わらないよう、社内で次の3つを聞いてみてください。
- 主要なサーバーが1か月止まったら、どの業務を紙や別の手段で続けるか
- ファイルサーバーから全部漏れたとして、連絡する相手は誰で、何人いるか
- 調査の依頼先、弁護士、保険の連絡先を、システムが止まっても見られるか
答えられない項目があれば、そこが次の準備になります。全体の対策の順序はランサムウェア対策のカテゴリにまとめています。相談先としては、IPAの企業向けの窓口が初動の助言や対応業者の一覧の紹介を行っています。
