カプコンの不正アクセス被害は、ランサムウェア攻撃によるものか。攻撃者を名乗るグループが、機密データを人質に約11億円の身代金を要求

Ragnar_Locker Teamと名乗るグループは11月9日、カプコンの経営陣に宛てた“最後通告”であるとする声明を発表した。これに先立つ11月4日には、カプコンは不正アクセスによるシステム障害の発生を報告しており、今回の声明との関連が指摘されている。

カプコンは11月4日、同社のグループシステムの一部で、メールシステムやファイルサーバーなどにアクセスしづらい障害が、11月2日未明より発生していると報告。第三者からの不正アクセスがおこなわれたことを確認しており、同日より社内ネットワークの稼働を部分的に見合わせていることを明らかにした。同社のゲームをプレイするためのインターネット接続や、ホームページなどへのアクセスには影響はないとのこと。同社は、警察をはじめ関係各所に相談すると共に、復旧に向けた調査および対応を進めているとした。

同社は不正アクセスの詳細について明らかにしていないが、セキュリティ関連メディアBleepingComputerは11月6日、カプコンはRagnar_Lockerと呼ばれるランサムウェアによる攻撃を受けたと報じた。ランサムウェア攻撃とは、攻撃者が対象のサーバーなどシステム内のデータを暗号化して利用不可能にし、データを復旧させる代わりに金銭を要求すること。BleepingComputerは、セキュリティ研究家のPancak3氏が入手した、今回カプコンに対して使われたRagnar_Lockerのサンプルを確認したところ、攻撃者とされるRagnar_Locker Teamがカプコンに対して、1100万ドル（約11億5500万円）分のビットコインを“身代金”として要求していることが判明したという。

Ragnar_Locker Teamはカプコンの経営陣に宛てた公式サイト上の声明にて、侵入した同社のサーバーのデータを暗号化させる前に、約1TB分のデータをダウンロードしたと主張。その中には、顧客や従業員の個人情報・ビジネス上の情報・多数の機密情報および秘密保持契約情報が含まれるとしている。そして、顧客との守秘義務やセキュリティを大切に思っているなら、取引に応じるべきだとした。同グループは、取引期限を日本時間11月11日午前8時に設定。それまでに連絡がなかった場合、盗んだデータを流出させることを強く示唆した。

前出のBleepingComputerによると、今回のランサムウェア攻撃によってカプコン側に残されたメッセージには、不正アクセスのさらなる詳細が記されているという。それによると、Ragnar_Locker Teamは日本・アメリカ・カナダにあるカプコンの各オフィスのサーバーに不正侵入し、1TB以上のデータを取得。上述したもの以外に、銀行の口座情報や取引明細・税務書類・予算や収益に関する機密ファイルのほか、売上レポート・知的財産情報・マーケティング資料・従業員のパスポートやビザに関する情報、また社内メールのやり取りなども含むと主張している。

メッセージでは、証拠として盗んだ情報の一部がスクリーンショットのかたちで共有されており、Ragnar_LockerのサンプルからBleepingComputerが確認したところ、確かに主張しているとおりの情報が含まれていたという。売上レポートでは、たとえばSteamで配信中のコンテンツひとつひとつについての詳細が存在していたとのこと。

今年には任天堂の過去のコンソールのファームウェアや、ゲームのソースコードが大量にリークする騒ぎがあり、こちらはランサムウェアによるものかどうかは不明だが大きな話題となった。一方今回のカプコンの件では、これまでのところゲームそのものに関するデータは流出していないようだ。ただ、企業として重要な情報が悪意あるグループの手に渡ってしまった可能性が高い。そのRagnar_Locker Teamは、カプコンが持つ2000ものデバイスを暗号化したと主張しており、こちらの復旧も大きな課題だろう。同グループは、1100万ドル（約11億5500万円）分のビットコインを支払えば、復号ツールを提供すると持ちかけているという。逆に支払わなければ、データを流出させるか第三者に販売すると脅している。

ランサムウェア攻撃は、企業だけでなく自治体や医療機関などが被害を受けることもある。暗号化によりシステムがストップして業務に深刻な影響を受けたという事例は数多く報告されており、中にはやむを得ず身代金を支払って復号ツールを受け取る選択をした自治体もあるようだ（ZDNet）。今回の件についてカプコンは、「詳細は調査中のため言えない。影響を最小限にすべく対応している」とコメント（朝日新聞）。Ragnar_Locker Teamが設定した取引期限11月11日午前8時は刻一刻と迫っており、事態の行方およびカプコンの対応に注目が集まる。

【UPDATE 2020/11/11 18:00】

Ragnar_Locker Teamは日本時間11月11日、カプコンから不正に入手したデータの一部を、いわゆるダークウェブを通じて流出させた。同グループは、11月11日午前8時を期限に交渉を持ちかけていたが、カプコンは応じなかったようだ。

同グループは、カプコンに対しては復号ツールの提供や、将来こうした問題を避けられるようなセキュリティ対策のアドバイスを提案したものの、同社は情報流出を防ぐための正しい決断をしなかったと主張。情報保護に関して無頓着であり、21世紀におけるIT企業としてはクレイジーな判断だと述べている。

Ragnar_Locker Teamは1TB以上のデータをカプコンから入手したと主張しているが、今回流出したのは67GBほど。同グループは、今後さらに流出させ続けていくと予告した上で、これ以上の流出や会社の評判低下、巨額の裁判費用を避けたいなら、取引に応じれば良いとカプコンに呼びかけている。

本件についてカプコンは、大阪府警に相談した上で情報収集を進めているとのことだ（毎日新聞）。