KADOKAWA、サイバー攻撃による個人情報漏洩は25万4241件に

　KADOKAWAは8月5日、同社グループへのランサムウェア攻撃に起因した情報漏洩について、同日時点の調査結果を公表。25万4241人の個人情報が外部漏洩したことを確認したという。

　6月8日に同社グループの複数のサーバーにアクセスできない障害が発生した事実を受け、早急に社内で分析調査を実施したところ、ニコニコを中心としたサービス群を標的として、同社グループデータセンター内のドワンゴ専用ファイルサーバーなどがランサムウェアを含む大規模なサイバー攻撃を受けたものと確認。本事案発生時以降、社外の大手セキュリティ専門企業の支援を受けながら、情報漏洩の可能性および漏洩した情報の範囲を把握するための調査を進めてきたという。また、個人情報保護委員会に対してもこの内容を報告しているとしている。

　漏洩した社外情報については、ドワンゴ関連において、同社や同社の一部関係会社の一部取引先（クリエイター、個人事業主含む）の個人情報（氏名、生年月日、住所、電話番号、メールアドレス、活動名、口座情報など）、同社や同社の一部関係会社および同社の一部兄弟会社の一部元従業員の個人情報（氏名、生年月日、住所、電話番号、メールアドレス、学歴・口座情報などの属性情報、社員番号・勤怠などの人事情報など）、同社および同社の一部関係会社の面接を受けた一部の方の個人情報（氏名、生年月日、住所、電話番号、メールアドレス、選考履歴など）。

　また、N中等部・N高等学校・S高等学校の在校生・卒業生・保護者・出願者・資料請求者のうち、一部の方々の個人情報（氏名、生年月日、住所、電話番号、メールアドレス、学歴などの属性情報、入学年・担任・進学先などの学生情報など）や、学校法人角川ドワンゴ学園の一部元従業員の個人情報（氏名、メールアドレス、口座情報などの属性情報、社員番号・所属組織などの人事情報など）。

　社内情報については、ドワンゴ関連において、同社の全従業員（契約社員、派遣社員、アルバイト含む）の個人情報（氏名、生年月日、住所、電話番号、メールアドレス、学歴・口座情報などの属性情報、社員番号・勤怠などの人事情報など）、同社の一部関係会社および同社の一部兄弟会社の一部従業員の個人情報（氏名、生年月日、住所、電話番号、メールアドレス、学歴・口座情報などの属性情報、社員番号・勤怠などの人事情報など）、学校法人角川ドワンゴ学園の一部従業員の個人情報（氏名、メールアドレス、口座情報などの属性情報、社員番号・所属組織などの人事情報など）。

　企業情報については、社外情報において、ドワンゴ関連の一部取引先との一部の契約書、過去および現在の一部関係会社における一部の契約書、一部の元従業員が運営する会社の情報。社内情報においては、ドワンゴの法務関連をはじめとした社内文書。

　なお「ニコニコ」サービスを含む同社グループの顧客のクレジットカード情報について、社内でデータを保有していないため、同社グループからの情報漏洩は起こらない仕組みになっているという。なお、ニコニコユーザーのアカウント情報（ログインメールアドレス、ログインパスワード）、ならびにクレジットカード情報については、ドワンゴからの情報漏洩は確認されていないとしている。

　外部漏洩が発生したことを確認した対象者に対して、個別にお詫びとお知らせを送付。また本件について専用の問い合わせ窓口も設置する。

　なお、社外の大手セキュリティ専門企業の調査によれば、現時点ではその経路および方法は不明という。その上で、フィッシングなどの攻撃により従業員のアカウント情報が窃取されてしまったことが、本件の根本原因であると推測されている。窃取されたアカウント情報によって、社内ネットワークに侵入されランサムウェアの実行および個人情報の漏洩につながることとなったとしている。今後、再発を防止すべく社外の大手セキュリティ専門企業による助言およびチェックを受けながらさらなる対策を講じていくという。

　また、匿名掲示板やSNSなどで、サイバー攻撃を行ったとされる組織が公開したものとして、情報を拡散する行為を確認しているという。こうした情報の拡散行為に対して、KADOKAWA、ドワンゴ、学校法人角川ドワンゴ学園の横断対策チームによる措置を強化。現在、弁護士と協議の上、悪質な情報拡散行為などに該当するものと認識した書き込みを特定し、運営者への申請を通じて、これらに対する削除要請および情報開示請求を進めているという。

　悪質と認識した情報拡散行為などの件数については、8月2日時点でドワンゴが896件、学校法人角川ドワンゴ学園が67件という。悪質性の高い情報拡散者に対しては、証拠保全の上、削除済みの書き込みも含めて刑事告訴・刑事告発などの法的措置に向けた作業を進行中としている。KADOKAWA側では、漏洩情報の拡散行為やフェイク情報の発信、誹謗中傷行為についてはやめるように呼びかけている。

ニュースリリース（PDF）