カプコンへのランサムウェア攻撃で最大35万件の情報流出、「Ragnar Locker」から身代金要求

株式会社カプコンは11月16日、第三者からのオーダーメイド型ランサムウェアによる不正アクセス攻撃による同社グループ保有の個人情報流出について発表した。同社では11月4日に、不正アクセスによる障害発生について公表していた。

これは11月2日未明に社内システムの接続障害を確認し、システムを遮断し被害状況の把握に着手したところ、本攻撃は同社を標的としたランサムウェアを用いてサーバを破壊し暗号化するものであったことを確認、「Ragnar Locker」を名乗る集団からのメッセージを確認し、身代金要求が判明したため大阪府警に通報したというもの。同社によると、本攻撃はサーバ保存情報の暗号化やアクセスログの抹消を伴い、調査・解析等に時間を要したという。

11月16日現在、同社で流出を確認した情報は以下の通り。

1.個人情報：9件
元従業員の個人情報：5件（氏名・サイン：2件、氏名・住所：1件、パスポート情報：2件）
従業員の個人情報：4件（氏名・人事情報：3件、氏名・サイン：1件）
2.その他
販売レポート
財務情報

11月16日現在判明している流出の可能性がある情報は以下の通り。

1.個人情報（顧客・取引先等）：最大約35万件
国内 お客様相談室 家庭用ゲームサポート対応情報（氏名、住所、電話番号、メールアドレス）：約13万4千件
北米 Capcom Store会員情報（氏名、生年月日、メールアドレス）：約1万4千件
北米 eスポーツ運営サイト会員情報（氏名、メールアドレス、性別）：約4,000件
株主名簿情報（氏名、住所、株主番号、所有株式数）：約4万件
退職者および家族情報（氏名、生年月日、住所、電話番号、メールアドレス、顔写真等）：約2万8千件
採用応募者情報（氏名、生年月日、住所、電話番号、メールアドレス、顔写真等）：約12万5千件

2.個人情報（社員およびご関係者の人事情報）：約1万4千人

3.企業情報（売上情報、取引先情報、営業資料、開発資料等）

なお、同社ではネット販売等における決済は外部委託しているため、クレジットカード情報は保有していない。また、流出した可能性のある情報の総数は一部ログの喪失等から特定できないため現時点で判明している最大数としている。

同社では、流出を確認、流出の可能性がある対象者に対し、個別に連絡を行い経緯と状況の説明を始めている。

同社では対策ソフトを投入し疑わしい通信を遮断しつつ、サーバの再構築を実施、復旧したサーバを基に各部署が保存していた情報の確認作業を実施中で、本件障害のシステム面における検証は、外部のセキュリティ会社へ委託済み、大手ソフトウェア企業、大手セキュリティ専門ベンダ、サイバーセキュリティに造詣の深い外部弁護士に状況を報告し、指導・アドバイスを得る体制としている。

同社では本件について、欧州GDPR監督官庁（ICO）、個人情報保護委員会に報告済み。

同社では引き続き、日本・米国の警察当局と連携し、関係各国の個人情報保護機関への適時報告を行いアドバイスを受ける体制を続けるとともに、障害の全容解明に向け取り組むとともに、今後は外部専門家によるシステムセキュリティに関するアドバイザリー組織を新設し、再発防止に努めるとのこと。