2020年11月4日時点のIRでは以下のタイトルだった。内容も簡易な記述だった。
不正アクセスによるシステム障害発生に関するお知らせ
2020年11月16日時点のIRでは以下のタイトルだった。内容は具体的な記述だった。
不正アクセスによる情報流出に関するお知らせとお詫び
以下はカプコンのサイトに掲載されている資料。
http://www.capcom.co.jp/ir/info/pdf/exannounce01.pdf
http://www.capcom.co.jp/ir/news/html/201116.html
掲載資料から抜粋。 流出した情報編。
-------------------------------------------------------
1. 流出を確認した情報
(1) 個人情報9件
元従業員の個人情報5件
（氏名・サイン2件、氏名・住所1件、パスポート情報2件）
従業員の個人情報4件
（氏名・人事情報3件、氏名・サイン1件）
(2) その他
販売レポート
財務情報
2. 流出の可能性がある情報
(1) 個人情報（お客様・お取引先等）最大約35万件
国内 お客様相談室 家庭用ゲームサポート対応情報（約13万4千件）
氏名、住所、電話番号、メールアドレス
北米 Capcom Store会員情報（約1万4千件）
氏名、生年月日、メールアドレス
北米 eスポーツ運営サイト会員情報（約4千件）
氏名、メールアドレス、性別
株主名簿情報（約4万件）
氏名、住所、株主番号、所有株式数
退職者およびご家族情報（約2万8千件）、採用応募者情報（約12万5千件）
氏名、生年月日、住所、電話番号、メールアドレス、顔写真等
(2) 個人情報（社員およびご関係者）
人事情報（約1万4千人）
(3) 企業情報
売上情報、取引先情報、営業資料、開発資料等
-------------------------------------------------------
はっきりいって、相当インパクトが大きい。こうした情報流出関連のニュースは大抵お客様のメールアドレスの一部が流出となることが多いのだが、社員の人事情報、元社員の個人情報、財務情報、取引先情報、営業情報、開発資料などとなっている。ここまで大量の情報が流出となるとカプコン社内の情報資産はほぼすべて流出している可能性が高いのではないのか？
元社員とか、株主から訴訟を起こされないのか少し心配だ。
ただ、株価は前日比で若干下がった程度なので、インパクトがないと市場関係者は判断しているのか、日本株がバブル状態にあるのかは不明だ。
掲載資料から抜粋。 発覚と対応の経緯編。
-------------------------------------------------------
4. 発覚と対応の経緯
(1)
11月2日未明に社内システムへの接続障害を確認、システムを遮断し被害状況の把握に着手しました。
今回の攻撃は、当社を標的としたランサムウェアを用いてサーバを破壊し暗号化するものであったことを確認しました。
「Ragnar Locker」を名乗る集団からのメッセージを確認し、身代金要求が判明し大阪府警に通報しました。
11月4日に「不正アクセスによるシステム障害発生に関するお知らせ」を公表しました。
11月12日に9件の個人情報および一部の企業情報の流出を確認しました。
流出が確認された情報9件に加え、流出可能性のある情報の範囲について調査を継続し、11月16日に開示しました。（本リリース）
今回の不正アクセスは、サーバ保存情報の暗号化やアクセスログの抹消を伴うもので、不正アクセスの調査、解析等に時間を要しました。
(2) 欧州GDPR監督官庁（ICO）、個人情報保護委員会（日本）にシステム障害の発生につき、報告しています。
(3) 対策ソフトを投入、疑わしい通信を遮断しつつ、サーバの再構築を実施し、復旧したサーバを基に各部署が保存していた情報の確認作業を実施（継続中）しています。
(4) 本件障害のシステム面における検証につきまして、外部のセキュリティ会社へ検証を委託ずみです。この検証結果については、別途公表する予定です。
(5) また、大手ソフトウェア企業、大手セキュリティ専門ベンダ、サイバーセキュリティに造詣の深い外部弁護士に状況を報告し、指導・アドバイスを得る体制といたしました。
-------------------------------------------------------
(1)のコメント
11月2日未明にと文章が始まっているが、インターネット経由でのデータの持ち出しを検知したのがこの時間帯ということだろう。
ランサムウェアと記載があることから、本当はもっとずっと前に、
一部のPCでウイルス感染→不正なツールのダウンロード→C&Cサーバと通信→Active Directoryの情報窃取→個人パソコンの情報収集→ファイルサーバの情報収集→データベースの情報収集、
まで実施されていたと考えるほうが普通の感覚だと思うが、カプコンさんはどう考えているのかしらん。
(2)のコメント
ああ、欧州が絡んでいたのね。訴訟大国だから、神経質になるわけだ。
(3)のコメント
なかのヒトがんばれー。再構築と記載があるが、かたっぱしからリストアしているのかしらん。疑わしい通信を遮断しつつだから、イタチごっこにならなければよいのですが。。。
(4)のコメント
検証結果を公表するのか。どのような内容なのか、ちょっと楽しみだ。
(5)のコメント
弁護士がポイントですね。訴訟を起こされたり、補償が必要になり、決算に影響させたくないしね。わかるー。
