カプコン、昨年11月に発表した不正アクセスの原因と事実経過、再発防止策、流出件数を公表…766人減り1万5649人に、攻撃者との交渉は行なわず

カプコン<9697>は、この日(4月13日)、昨年11月に発生した不正アクセスの調査結果(第4報)を公開し、流出を確認した個人情報は前回(1月12日)発表の情報から766人減り1万5649人だったことを確認したと発表した（流出した可能性のある最大人数を公表している）。ネット販売の決済は外部委託していたため、クレジットカード情報の流出はなく、ダウンロード販売や、ゲームのオンラインサービスも外部サーバーを利用しており、ユーザーに被害が及ぶことはない、とした。

またランサムウェアに感染した機器上には攻撃者からのメッセージファイルが残置されており、攻撃者との交渉に向けたコンタクトを要求されたことは認めたものの、同ファイルには身代金額の記載はなかったという。警察とも相談の上、攻撃者との交渉しないことにしたため、その金額なども確知しない、としている。

不正アクセスの原因だが、2020年10月、北米現地法人（Capcom U.S.A.）が保有していた予備の旧型VPN装置がサイバー攻撃を受け、社内ネットワークへ不正侵入されたそうだ。当時、現地法人を含めグループでは別型の新たなVPN装置を導入済だったが、カリフォルニア州における新型コロナに起因するネットワーク負荷の増大に伴い、緊急避難用として旧型VPN装置1台を利用していた。現時点で当該装置は既に廃棄済み。

その後、北米現地法人の旧型VPN装置を経由して米国および国内拠点における一部の機器に対する乗っ取り行為が実施され、情報が窃取された。従来より境界型のセキュリティ対策は敷いており、また、SOCサービスやEDRといった防御策の導入にも着手していたものの、新型コロナウイルス感染拡大に伴いインフラ整備を優先せざるを得なかった結果、本件発生時は検証の途上（未済）だった。

これら一連の攻撃の後に、2020 年 11 月 1 日 23 時頃から米国および国内拠点における一部の機器がランサムウェアに感染させられ、各機器内のファイルを暗号化された。同月 2 日未明より、当社グループシステムの一部でメールシステムやファイルサーバなどにアクセスしづらい障害が発生し、一部稼働を見合わせたものの、早期に復旧を果たした。



同社では、以下の技術的な対策を行った。

① 大手ソフトウェア企業により、侵入の疑いのある機器全台をクリーニング済
② VPN 装置全台について改めて安全性等を確認し、対策が完了していることを確認済（北米現地法人の前記旧型 VPN 装置は廃棄済）
③ 外部との接続を常時監視するための SOC（Security Operation Center）サービスを導入済
④ 機器の不正な挙動およびコンピュータウイルス感染の早期検知を目的とした最新 EDR（Endpoint Detection and Response）を導入済
⑤ 業務用アカウントの見直しを実施済
⑥ VPN 装置および機器における、インシデント発生時の迅速な対処に向けたログの長期保存などの管理方法の更なる改善を実施済

また、組織的対策は以下のとおり。

① サイバーセキュリティ（個人情報保護等のデータ保護を含む）の強化に関する外部チェックとノウハウの早期蓄積に向け、外部専門家から最新動向に基づく提言を継続的に得るため「セキュリティ監督委員会」を 2021 年 1 月下旬に発足。サイバーセキュリティの専門家である大学教授 2 名、サイバーセキュリティおよび個人情報保護法制の専門家である弁護士 1 名、システム監査専門家である公認会計士 1 名からなる外部専門家計 4 名 に加え、社内からは、取締役 1 名、セキュリティおよびネットワーク担当の技術職 3 名で構成。今後も保護水準の強化を目指して定期的に開催する予定。
② 「セキュリティ監督委員会」の直下に、サイバーセキュリティに関する情報収集および防御についてのノウハウ集積、提案等を行う「セキュリティ対策室」を 2020 年 12 月に新設
③ 業務用アカウントの管理における、ツール導入を含む定期的な確認の仕組みを強化済
④ 当社グループ全体のセキュリティ・個人情報管理の更なる啓発体制を構築済

【対策予定】
PDCA サイクルに基づく更なるセキュリティ強化体制の構築および統制