カプコン ランサムウェア・情報流出事件（2020年）

1. 事件の概要

2020年11月、大手ゲーム会社カプコンがランサムウェア攻撃を受け、社内システムに障害が発生しました。この事件が注目されたのは、単にデータが暗号化されただけでなく、攻撃者が事前に情報を盗み出し、「身代金を払わなければ、盗んだ情報を公開する」と脅した点にあります。これを二重恐喝（ダブルエクストーション）と呼びます。

従来のランサムウェアは「データを暗号化して使えなくする」一手だけでした。これに対し二重恐喝は、「①データを暗号化して業務を止める」「②盗んだ情報をばらまくと脅す」という二段構えです。バックアップから復旧できても、情報公開の脅しは残る——だから「バックアップさえあれば安心」が通用しなくなりました。カプコンは身代金には応じない方針を示し、被害状況を順次公表しました。

2. 被害の内容と規模

社内システムの障害に加え、顧客・取引先・元従業員などの個人情報が、最大で約39万人分流出した可能性があると公表されました。氏名・住所・電話番号・メールアドレスなどが含まれ、一部は実際に攻撃者側に取得されたとみられます。

主な影響

• 社内システムの障害により、業務に支障が出た。
• 個人情報流出の可能性により、対象者への通知・問い合わせ対応など多大なコストが発生。
• 情報公開の脅迫を受け、企業としての対応判断（身代金を払うか否か）を迫られた。
• 「二重恐喝」という新しい脅威を、国内に広く知らしめた。

3. 原因と手口

侵入の入り口

• 旧型VPN装置の脆弱性：北米子会社で使われていた古いVPN（外部接続）装置の弱点を突かれて侵入された。コロナ禍で在宅勤務が急増し、急ぎ用意した接続機器が狙われた面もあるとされる。

攻撃の流れと背景

1. 侵入：脆弱なVPN装置から内部ネットワークへ。
2. 情報の窃取：暗号化の前に、価値ある情報を盗み出す。
3. 暗号化＋脅迫：データを暗号化して業務を止め、盗んだ情報の公開をちらつかせて身代金を要求。

• 海外拠点が弱点に：本社より管理が手薄になりがちな海外子会社が、侵入口になった。
• 古い機器の放置：更新されていない機器が、既知の脆弱性を抱えたまま使われていた。

4. 対策と教訓

二重恐喝が当たり前になった今、ランサムウェア対策は「復旧できるか」だけでなく「侵入・窃取を防げるか」まで広げる必要があります。

企業がとるべき対策

• VPN・外部接続機器を最新に保つ：古い機器は真っ先に狙われる。海外拠点・子会社も含めて棚卸しする。
• 多要素認証（MFA）を必須にする：VPNやリモート接続に、ID・パスワード以外の認証を加える。
• オフラインバックアップを備える：暗号化対策の基本は変わらず重要。ネットから切り離した複製を持つ。
• 侵入の検知・対応力を高める：不審な動きを早く見つけ、被害が広がる前に止める（情報を盗まれる前に気づく）。
• 重要情報を暗号化・アクセス制限する：盗まれても中身を使われにくくする。
• 身代金への対応方針を決めておく：「払わない」前提で、復旧・通知・公表の手順を準備する。

5. まとめ

カプコンの事件は、ランサムウェアが「暗号化」から「暗号化＋情報公開の脅迫（二重恐喝）」へ進化したことを国内に知らしめました。教訓は——外部接続機器の更新・多要素認証・侵入検知・オフラインバックアップを、海外拠点まで含めて徹底すること。復旧力に加え、「侵入させない・盗ませない」守りが不可欠です。