ニップンへのサイバー攻撃、グループ会社を含む基幹システムやデータサーバも暗号化被害に

　製粉業や食品業を営む東証1部上場企業の株式会社ニップンは8月16日、7月9日に公表したシステム障害について、サイバー攻撃による同社サーバへの不正アクセスで同社が保管する企業情報及び個人情報の一部流出の可能性が調査から判明したと発表した。企業情報及び個人情報が流出した可能性がある同社グループ会社でも同様の発表を行っている。

　同社グループの複数のシステムでの障害について、7月7日未明から同社グループ子会社のニップンビジネスシステム株式会社で管理運用する同社グループの情報ネットワークにて、大部分のサーバ及び一部の端末に対し、同時多発的に全部または一部を暗号化するサイバー攻撃によるシステム障害が発生した。

　被害対象は同社単体の財務管理、販売管理といった主要な基幹システムサーバやデータを保存しているファイルサーバを含め広範囲に及び、グループネットワーク内で運用している国内グループ会社11社利用の販売管理システムと26社利用の財務会計システムも対象で、その中には上場子会社であるオーケー食品工業株式会社も含まれる。

　同社では被害を封じ込めるために、全サーバの停止と社内外のネットワークの遮断を行ったが、それにより基幹システムをはじめとする全ての社内システム、データを保管している共有ファイルサーバへのアクセスも不可となった。なお、生産管理システムの一部など、ネットワーク上独立した配置にあるサーバについては影響はない。

　同社が外部専門家に依頼した調査によると、障害の対象となる情報システムのいずれにおいても、サーバのボリュームもしくはサーバの内部に格納されたファイルの大部分が暗号化されており、システムの起動そのものが不可能であること、サーバの早期復旧に有効な技術的手段が現状確認されていないこと、システムのデータバックアップを管理するサーバにおいても同様の状況でデータの復旧に有効な技術的手段も現状確認されていないことが報告された。

　さらに、本件のような広範囲に影響を及ぼす事例はなく、復旧、安全性の構築までには相応の時間と労力を要するとの報告も別途受けているという。

　なお同社によると、システム障害に対してのBCPについては、ハード面では災害対応でデータセンターを分散設置し不測の事態に備え、拠点単位でのシステム障害の発生も想定していたが、本件では一度の攻撃でサーバの大半が同時攻撃を受けたため本社を含め全ての事業拠点が同様の事態となり、同社のBCPで想定した事態を大きく上回る状況となったとのこと。

　また同社では、外部専門家の協力の下、侵入経路や被害内容について情報漏えいの可能性を含めて調査を行ったところ、サーバで管理していた企業情報及び個人情報の一部流出した可能性を確認した。

　本件を受け同社では、8月5日に延期を公表した2022年3月期第1四半期連結決算発表についても2021年11月 15日に延長し承認されたとのこと。