カドカワ情報漏洩「身代金を払うのは解決手段の一つ。批判されるべきではない」

　KADOKAWAにサイバー攻撃を行っていたとみられるロシアのハッカー集団は7月3日、ダークウェブ上に公開していた同社への犯行声明を削除した。ハッカー集団は、同社と行っていた身代金に関する交渉で合意に至らなければ、ダウンロードした同社の情報を公開するとしていたが、7月1日に情報漏洩が確認された。なぜハッカー集団は情報公開から2日後に突如、犯行声明を削除したのか。また、一連の事態を受け、攻撃を受けた企業は身代金の要求に応じるべきか否かをめぐり議論を呼んでいるが、企業はどのような基準で判断しているのか。専門家の見解を交えて追ってみたい。

　KADOKAWAに対してランサムウェアを含むサイバー攻撃を行ったとする犯行声明を出していた「BlackSuit」は、同社のシステム基盤を暗号化し、従業員やユーザの情報などを入手しており、同社が身代金の支払いに応じなければ7月1日にも盗んだデータを公開すると主張していた。同日には従業員の個人情報や取引先情報などの漏洩が確認され、2日には同社はハッカー集団が追加で情報を流出させたと主張していると発表した。同社が7月3日時点で外部流出している可能性が高いとしている情報は以下のとおり。

・社外情報
　　学校法人の角川ドワンゴ学園が運営するN中等部・N高等学校・S高等学校の在校生・卒業生・保護者のうち、一部の方々の個人情報
　　ドワンゴが取引する一部のクリエイター、個人事業主および法人との契約書
　　ドワンゴの楽曲収益化サービス（NRC）を利用している一部のクリエイターの個人情報
　　ドワンゴの一部の元従業員が運営する会社の情報

・社内情報
　　ドワンゴ全従業員の個人情報（契約社員、派遣社員、アルバイト、一部の退職者含む）
　　ドワンゴの関係会社の一部従業員の個人情報
　　ドワンゴの法務関連を始めとした社内文書

　このほか、取引先との契約書・見積書、社内向け文書なども流出したとみられる。これにより、一部の「ニコニコ動画」（ドワンゴ運営）配信者の本名など個人情報の流出も起きている。

　前述のとおり、BlackSuitは公開していた同社への犯行声明を削除したが、一般社団法人日本ハッカー協会代表理事の杉浦隆幸氏はいう。

「詳細はわかりませんが、KADOKAWAとの交渉の結果なのか、ハッカー集団が他の第三者から何らかの抗議や要請を受けたのか、もしくはKADOKAWAがロシアやベラルーシなどのルートを利用したのか、さまざまな経緯が考えられます」

身代金を支払うかどうかの基準は経営判断

　現段階で漏洩している情報の内容をみる限り、KADOKAWAおよびユーザなどが被る損失はどのような内容・レベルが想定されるか。

「流出規模がどれくらいなのかが分からないので、なんともいえませんが、KADOKAWAの損失はサービス停止による逸失利益、システム再構築のコスト、ブランド棄損、ユーザから損害賠償を求められた場合のその支払いなどが考えられます。一方のクリエーターやユーザの被害は今後みえてくると思われますが、配信収益の減少・消失などもあるでしょう」（杉浦氏）

　では、企業・組織はハッカー集団から身代金を要求された場合、応じるか否かをどのような基準で判断するのか。

「KADOKAWAについては、情報を流出させられましたが、身代金を払ったのか払わなかったのかは、当然ながら分かりません。企業が身代金を支払うかどうかの基準は、一言でいえば経営判断ということに尽きます。ハッカー集団との交渉において身代金の支払いは解決手段としての選択肢の一つであり、支払うことは法的に問題ありません。経営陣の判断として支払うことは、外部の第三者から批判されるべきことではありませんし、また企業が支払ったのかどうかを公表する義務もありません。実態としては、日本企業だと概ね十数％くらい、米国企業だと半数ほどが支払いに応じているのではないでしょうか」（杉浦氏）

　日本企業へのサイバー攻撃は増えているのか。

「この1カ月間で急増しています。いくつか要因は考えられますが、世界最大規模のサイバー犯罪集団ロックビットのメンバー2人が逮捕され、サイトも閉鎖されるなど摘発されており、多くの犯罪集団がタガが外れたように活動を活発化させている可能性も考えられます」（杉浦氏）

NewsPicks報道の影響

　KADOKAWAが対応に追われるなか、6月22日にはニュースサイト「NewsPicks」が『【極秘文書】ハッカーが要求する「身代金」の全容』と題する記事を配信し、同社とハッカー集団の交渉内容を報道。これを受け、KADOKAWAは強く抗議する声明を発表。夏野剛社長は以下のようにコメントした。

「このような記事をこのタイミングで出すことは、犯罪者を利するような、かつ今後の社会全体へのサイバー攻撃を助長させかねない行為です。Newspicksに強く抗議をするとともに、損害賠償を含めた法的措置の検討を進めてまいります。なお、本記事についてコメントすることはございません」

　KADOKAWAの対応をより難しくするとして、NewsPicksには批判も寄せられた。

「報道の自由があるので、メディアが情報を入手したので報道したというのは当然でしょう。一方、公の記者会見という形態ではなく、内部から特定のメディアへの情報提供を生じさせたKADOKAWAのメディア対応は、問題がなかったのか検証が必要かもしれません」（杉浦氏）

一部サービスは再開

　同社では6月8日以降、動画共有サービス「ニコニコ動画」、KADOKAWAのオフィシャルサイト全体、ECサイト「エビテン（ebten）」に加え「N高等学校（N高）」「S高等学校（S高）」など広い範囲で障害が発生。同社の出版物について書店からサイト経由での発注や出庫確認ができなくなった。「ニコニコ動画（Re:仮）」「ニコニコ生放送（Re:仮）」「ニコニコ漫画」など、臨時サービスも含めて一部サービスが再開している。

　同社は「当該組織（編注：＝「BlackSuit」）が主張するウェブサイトへのアクセスやデータファイルのダウンロードなどの行為は、マルウェア感染などの危険がありますので、ご注意いただきたく存じます。また、上述の通り当該組織の主張内容につきましては現在調査中ですが、上記のデータの拡散は個人情報を侵害し深刻な影響を及ぼす可能性があるため、SNS等による共有はお控えくださいますよう、皆様のご理解とご協力を心よりお願い申し上げます」とのコメントを発表している。また、7月中には外部専門機関の調査結果に基づく正確な情報が得られる見通しだとしている。

（文＝Business Journal編集部、協力＝杉浦隆幸／日本ハッカー協会代表理事）