KADOKAWA 2024年 ランサムウェアによるサービスの停止と情報の流出

盗まれた従業員のアカウントで社内網に入られ、グループのデータセンターのプライベートクラウドで相当数の仮想マシンが暗号化され、ドワンゴ専用のファイルサーバーなどから25万4,241人分の個人情報が外へ出た。止めた後も遠隔でサーバーを起こされ、ケーブルを抜くまで止まらなかった。

2024年6月14日のドワンゴの報告、6月27日、6月28日、8月5日、8月14日の KADOKAWA の発表、ニコニコインフォの告知に沿って書いています。ニコニコは2024年8月5日に新しい環境へ作り直した版で再開し、ニコニコミュニティはデータとシステムの消失で再開しなかった。侵入の経路と方法は、8月5日の発表の時点で不明とされた。攻撃者の名前、使われた製品、身代金の扱いは発表に無い。

要点

  • 根本の原因は、フィッシングなどで従業員のアカウント情報を盗まれたことと推測された。盗んだ経路と方法は不明のままである。
  • 暗号化されたのは、グループ企業のデータセンターに作ったプライベートクラウドの仮想マシン。パブリッククラウドで動いていたニコニコ動画の系と動画のデータは無事だった。
  • 止めた後も、攻撃者が遠隔でサーバーを起動し直した。管理の道を握られたまま、電源と通信のケーブルを抜いて封じた。
  • 漏れたのは主に社員、取引先、クリエイター、学園の生徒と保護者の情報で、ニコニコの利用者のログイン情報とクレジットカード情報の漏えいは確認されていない。
  • 根本の守りは、フィッシングに耐える認証、社内網から基盤の管理面への道を断つこと、基盤と別の場所に置く復旧の手段の3つ。

何が起きたか

6月8日の未明の障害から、同日の暗号化の確認と遮断、6月28日の漏えいの確認、8月5日の調査結果とニコニコの再開までの経緯 6月8日 3時半 ニコニコなどが 正常に使えない 6月8日 8時 暗号化を確認 通信を切りサーバー を止める その後 遠隔で起動し直す 動きが続き ケーブルを抜く 6月28日 攻撃者が公開した 情報から漏えいを 確認して公表 8月5日 調査結果を公表 25万4,241人 ニコニコ再開 ニコニコ全般の停止 6月8日から8月5日まで、約2か月。臨時の版を6月14日から順に出す 漏えいの確認 一部を6月28日、全体を8月5日
図1 発表された経緯と、サービスが止まっていた期間
日付発表の内容
2024年6月8日午前3時30分頃、ニコニコ、N予備校を含むドワンゴのウェブサービス全般が正常に使えなくなる。午前8時頃、ランサムウェアを含むサイバー攻撃と確認。同日に対策本部を置き、データセンター内のサーバー間の通信を切り、サーバーを止め、サービスを止めた。攻撃が社内網に及んでいたため、社内業務システムの一部を止め、社内網へのアクセスを禁じた[1]
2024年6月9日警察へ連絡し、外部の専門機関へ打診。歌舞伎座のオフィスを閉鎖[1]
2024年6月10日個人情報保護委員会へ初報[1]
2024年6月12日関東財務局へ障害の発生を報告[1]
2024年6月14日ドワンゴが被害の原因と範囲を報告。臨時の版のニコニコ動画を同日15時に出す[1]
2024年6月27日KADOKAWA が事業の状況を報告。経理の機能は7月初旬に復旧の目途、自社システムへの依存が高い既刊の出荷は平常時の3分の1程度[2]
2024年6月28日攻撃を行ったとする組織が情報を流出させたと主張し、公開した情報から一部の漏えいを確認したと KADOKAWA が公表[3]
2024年7月10日、12日ドワンゴが、漏れた情報を広める行為への削除要請、発信者情報開示請求、刑事告訴の準備を公表[6][7]
2024年8月1日ニコニコアカウントのパスワードをリセットし、最低の文字数を6文字から12文字にしたと告知[9]
2024年8月5日KADOKAWA が調査結果を公表。外部へ漏れたと確認した個人情報は25万4,241人[4]。同日、ニコニコ動画が新しい版で再開[8]
2024年8月14日KADOKAWA が業績への影響を公表。通期の見通しで売上高84億円、営業利益64億円の減少の影響と、特別損失36億円[5]

漏れたもの

区分8月5日の発表の内容
社外の個人情報ドワンゴと一部の関係会社の取引先、クリエイター、個人事業主の氏名、住所、口座情報など。元従業員と面接を受けた人の一部。N中等部、N高等学校、S高等学校の在校生、卒業生、保護者、出願者、資料請求者の一部[4]
社内の個人情報ドワンゴの全従業員の属性と人事の情報。契約社員、派遣社員、アルバイトを含む。関係会社と学園の従業員の一部[4]
企業の情報取引先との一部の契約書、関係会社の契約書、法務関連をはじめとした社内文書[4]
漏れていないものクレジットカード情報は社内に持たない作りで、漏れない。ニコニコの利用者のログインのメールアドレスとパスワードは、ドワンゴからの漏えいが確認されていない[4]

個人情報の合計は25万4,241人。攻撃者が公開したとされる情報を匿名掲示板やSNSで広める行為があり、8月2日時点で、ドワンゴは896件、学園は67件を悪質と認識して削除要請などを進めていた[4]。

発表に無いこと

攻撃者の集団の名前、身代金の要求や支払い、流出した量を伝える報道があるが、KADOKAWA とドワンゴの発表には無い。発表は相手を、攻撃を行ったとする組織、と書くにとどめている[3]。

通った道筋

盗まれた従業員のアカウントで社内網に入り、グループのデータセンターのプライベートクラウドの仮想マシンを暗号化し、ファイルサーバーから情報を持ち出した。パブリッククラウドの系は被害を受けなかった 攻撃者 フィッシングなどで アカウントを盗む 推測 社内網 従業員の アカウント 経路と方法は不明 グループ企業のデータセンター プライベートクラウド 相当数の仮想マシンを暗号化 止めても遠隔で起動し直された ドワンゴ専用の ファイルサーバーなど 人事、取引先、学園の情報 25万4,241人分が外へ 持ち出し 6月末に公開される パブリッククラウド ニコニコ動画の系、投稿された動画、配信の系。被害なし 影響を受けたもの 生放送の映像配信、経理、 出版の製造と物流のシステム
図2 発表から分かる道筋。破線は、持ち出した経路の詳細が発表に無いもの
段発表されたこと
入口フィッシングなどで従業員のアカウント情報を盗まれたことが根本の原因と推測された。経路と方法は不明[4]
社内網盗まれたアカウント情報で社内網に入られ、ランサムウェアの実行と個人情報の漏えいにつながった[4]
基盤ニコニコは、パブリッククラウドと、グループ企業のデータセンターに作ったプライベートクラウドを使っていた。後者が攻撃を受け、相当数の仮想マシンが暗号化された[1]
持ち出しデータセンター内のドワンゴ専用ファイルサーバーなどが攻撃を受け、個人情報と社内文書が外へ漏れた[4]
止めた後遠隔でサーバーを止めた後も、さらに遠隔から起動して感染を広げようとする動きが観測され、電源と通信のケーブルを物理的に抜いた。データセンターのサーバーはすべて使えなくなった[1]

止めたサーバーを相手が起動し直せたことから、サーバーの電源を操る管理の道を相手が使えていたと読める。それが仮想化の管理画面か、物理サーバーの遠隔管理か、別の道かは発表に無い。どの道でも、社内網に入った相手が、基盤そのものを操れる所まで届いていた。

被害の境目は、建物でも会社でもなく、どの基盤の上で動いていたかだった。同じニコニコ生放送でも、系そのものはパブリッククラウドにあって無事で、映像配信の系はプライベートクラウドにあって過去のタイムシフトの映像が使えなくなるおそれが出た[1]。ニコニコミュニティは、データとシステムの消失で再開を断念した[8]。

どこで止められたか

アカウントを盗む、社内網に入る、基盤を握る、持ち出す、戻せない、の5段それぞれの下に、止める仕組みを置く 1 盗む アカウント情報 2 入る 社内網 3 握る 基盤の管理面 4 持ち出す ファイルサーバー 5 戻せない 約2か月の停止 認証 フィッシングに 耐える方式 分ける 業務と管理の アカウントと網 管理面 専用の網と端末 からだけ届く 検知 大量の読み出し と外への送信 復旧 基盤と別の場所の 控えと作り直す手順 1と3が根本。2、4、5は、破れたときに広がりと停止を小さくする網
図3 被害が進む5段と、それぞれで止める仕組み
段この件で発表されたこと止める仕組み
1 盗むフィッシングなどで従業員のアカウント情報を盗まれたと推測された[4]WebAuthn のように宛先に結び付いた認証にする。手で打つ確認の番号はフィッシングに耐えない[11]
2 入る盗まれた情報で社内網に入られた[4]管理者のアカウントを利用者のアカウントと分け、網を区切って広がりを止める[10]
3 握る相当数の仮想マシンが暗号化され、止めた後も遠隔で起動し直された[1]仮想化の基盤と遠隔管理には、管理専用の網と端末からだけ届くようにする。基盤は更新して固める[10]
4 持ち出すファイルサーバーなどから個人情報と社内文書が外へ出た[4]1つのアカウントによる大量の読み出しと、外への大量の送信に警告を出す
5 戻せないサーバーの中身を1つずつ確かめて無事なデータを救い出し、安全な環境で作り直す手順になった[1]。ニコニコミュニティはデータとシステムを失った[8]暗号化した控えをオフラインに置く[10]。控えから新しい環境に作り直す手順を、止まる前に試しておく

1 盗む。フィッシングに耐える認証

経路は不明でも、アカウント情報が盗まれて使えたことは発表にある[4]。パスワードと、手で打つ確認の番号の組は、偽のログイン画面がそのまま本物へ中継できる。NIST SP 800-63B-4 は、手で打つ認証の出力をフィッシングに耐えるものとみなさないと定め、耐える方式を、通信路への結び付けか、確認する側の名前への結び付けを持つ暗号の認証に限る[11]。社内網、VPN、クラウドの管理画面の入口は、この方式にそろえる。ログインの守り全体は A07 認証の不備 にある。

2 入る。業務と管理を分ける

業務のアカウントで社内網に入った相手が、そのまま基盤を操れたなら、業務と管理の境目が無かったことになる。CISA は、管理者のアカウントを利用者のアカウントと分けること、網を区切って侵入の影響を閉じ込めることを挙げる[10]。メールを読み、ウェブを見る端末とアカウントでは、基盤の管理をしない。

3 握る。管理面への道を断つ

ランサムウェアが仮想化の基盤を狙えば、1回の操作で多数の仮想マシンが同時に止まる。CISA は、ランサムウェアが VMware ESXi を狙い始めたことを挙げ、ハイパーバイザと周りの基盤の更新と固めを求める[10]。この件では、止めた後に起動し直されたため、遠隔の操作を断つ手段が物理的に抜くことしか残らなかった[1]。管理面は、普段から業務の網と別にし、届く元を決めた端末に限る。

架空の基盤の、管理面へ届く元を限る規則

# 管理用の網 198.51.100.0/24 の踏み台 198.51.100.10 だけが
# 仮想化の管理画面 203.0.113.20 と遠隔管理の口 203.0.113.0/26 に届く
table inet mgmt {
  chain forward {
    type filter hook forward priority 0; policy drop;
    ip saddr 198.51.100.10 ip daddr 203.0.113.20 tcp dport 443 accept
    ip saddr 198.51.100.10 ip daddr 203.0.113.0/26 tcp dport 443 accept
    # ip saddr 192.0.2.0/24 ip daddr 203.0.113.0/24 accept   業務の網からの許可は置かない
  }
}
  • 踏み台には、管理専用のアカウントで、フィッシングに耐える認証を使って入る。業務の端末から踏み台へ届く道も、同じ規則で絞る。
  • 規則は網の機器の側に置く。基盤の上の仮想マシンの中に置くと、基盤を握った相手に外される。

4 持ち出す。読み出しと送信を見る

漏えいの範囲は、攻撃者が公開した情報を集めて社内の記録と照らす作業で確かめられ、全体が分かるまで約2か月かかった[7][4]。どのアカウントが、どのファイルを、いつ、どれだけ読んだかの記録が基盤と別の場所に残っていれば、漏れた範囲を自社の記録から先に出せる。記録の置き方と警告の決め方は A09 セキュリティログとアラートの不備 にある。人事の情報、学園の生徒の情報、取引先の口座を同じ1台の共有の場所に置かないことも、漏れる量を減らす。

5 戻せない。基盤と別の場所に戻す手段

ドワンゴは、ニコニコが数百以上の系の連携で動き、封じたサーバーの中身を1つずつ確かめて無事なデータを救い出し、安全な環境で作り直す必要がある、と書いた[1]。再開は新しい安全な環境に作り直した新しい版になり[8]、利用者のパスワードもリセットされた[9]。侵入された基盤は、中を消して戻すより作り直す前提で考える。そのために、暗号化した控えを基盤から届かないオフラインに置き[10]、系の構成をコードで持ち、別の環境に作り直す手順を年に一度は通しで試す。JPCERT/CC は、被害を免れた有効な控えが上書きされて消えるおそれを挙げる[12]。

パブリッククラウドだから無事だったのではない

発表は、パブリッククラウドの系が無事だった理由を書いていない。基盤の種類が守ったと読まない。クラウドの管理画面の資格情報が同じ道で盗まれれば、同じ被害になりうる。

漏れた後の届け出と知らせ

ドワンゴは発覚の2日後に個人情報保護委員会へ初報を出した[1]。個人情報保護法26条は、個人の権利利益を害するおそれが大きい漏えいなどを委員会へ報告し、本人へ知らせることを事業者に求める[13]。委員会の案内では、速報は発覚から3日から5日以内、確報は30日以内、不正な目的のおそれがあれば60日以内である[14]。KADOKAWA は、外部へ漏れたと確認した人へ個別に知らせ、連絡が付かない人には発表をもって知らせとした[4]。

守り方

根本の直し
  • 社内網、VPN、クラウドと基盤の管理画面の入口を、フィッシングに耐える認証にする[11][10]。A07 認証の不備
  • 仮想化の基盤と物理サーバーの遠隔管理は、管理専用の網と踏み台からだけ届くようにし、業務の網とアカウントからの道を置かない[10]。
  • 管理者のアカウントを利用者のアカウントと分け、メールとウェブに使う端末で管理をしない[10]。
緩和の策
  • 暗号化した控えをオフラインに置き、控えから別の環境へ作り直す手順を通しで試す[10][12]。
  • 網を区切り、1つの基盤が止まっても他の系が動く配置にする。どの系がどの基盤に載っているかを一覧にしておく[10]。
  • ファイルサーバーの読み出しと外への送信を、アカウントと量の単位で記録し、基盤と別の場所へ送って警告を掛ける。A09 セキュリティログとアラートの不備
  • 種類の違う個人情報を同じ共有の場所に置かず、要らなくなった元従業員や応募者の情報は消す。
  • 侵入を見つけたら、遮断と同時に、管理面の資格情報と各種のアカウントを替える。ドワンゴも各種のアカウントのリセットを実施した対策に挙げた[1]。身代金は払うべきでないと JPCERT/CC は書く[12]。

参照

  1. 当社サービスへのサイバー攻撃に関するご報告とお詫び ドワンゴ、2024年6月14日
  2. KADOKAWA グループにおけるシステム障害及び事業活動の現状について KADOKAWA、2024年6月27日
  3. ランサムウェア攻撃による情報漏洩に関するお知らせとお詫び KADOKAWA、2024年6月28日
  4. ランサムウェア攻撃による情報漏洩に関するお知らせ KADOKAWA、2024年8月5日
  5. 2025年3月期 通期連結業績見通し および 第1四半期決算に関するお知らせ KADOKAWA、2024年8月14日
  6. 漏洩情報の拡散行為に対する措置ならびに刑事告訴等について ドワンゴ、2024年7月10日
  7. 悪質な情報拡散行為等に対する措置の進捗状況について ドワンゴ、2024年7月12日
  8. ニコニコ動画が8/5に再開、新バージョンに。ニコニコの復旧状況およびサービス停止に伴う補償について ニコニコインフォ、2024年7月25日
  9. ニコニコアカウントをご利用の皆様に、8/5以降の利用について大事なお知らせ ニコニコインフォ、2024年8月1日
  10. #StopRansomware Guide CISA
  11. SP 800-63B-4 Digital Identity Guidelines, Authentication and Authenticator Management NIST
  12. 侵入型ランサムウェア攻撃を受けたら読むFAQ JPCERT/CC、2026年6月18日更新
  13. 個人情報の保護に関する法律 第26条 漏えい等の報告等 e-Gov法令検索
  14. 漏えい等の対応とお役立ち資料 個人情報保護委員会