2022年07月14日 11時50分セキュリティ

バンダイナムコHDのグループ会社がサイバー攻撃を受け顧客データが流出した可能性

「ELDEN RING」「エースコンバット」などのゲームパブリッシャーであるバンダイナムコエンターテインメントの親会社・バンダイナムコHDが、2022年7月3日に日本を除くアジア地域の複数のグループ会社が不正アクセスを受け、顧客情報などが流出した可能性があると報告しました。海外メディアによると、バンダイナムコグループを攻撃したのは「ALPHV(BlackCat)」というランサムウェアグループであり、公式発表の数日前に攻撃したことを示唆していたとのことです。

日本を除くアジア地域における当社グループ会社への不正アクセスについて.pdf
(PDFファイル)https://www.bandainamco.co.jp/files/202207E4B88DE6ADA3E382A2E382AFE382BBE382B9E382B3E3_2.pdf

Elden Ring Publisher Hacked, Ransomware Group Claims
https://kotaku.com/elden-ring-bandai-namco-ransomware-hack-bloodborne-1849166080

Elden Ring gaming giant Bandai Namco says hackers may have stolen customer data | TechCrunch
https://techcrunch.com/2022/07/13/bandai-namco-data-stolen/

現地時間の2022年7月11日、ウェブ上のマルウェアソースコードを監視するグループ・vx-undergroundが、「ALPHVランサムウェアグループ(別名BlackCatランサムウェアグループ)は、バンダイナムコに身代金を要求したと主張しています」とTwitterに投稿しました。ALPHVは「間もなくデータを公開するリスト」にバンダイナムコを追加したとのことですが、この時点でバンダイナムコHDは海外メディアの問い合わせに応じませんでした。

ALPHV ransomware group (alternatively referred to as BlackCat ransomware group) claims to have ransomed Bandai Namco.

Bandai Namco is an international video game publisher. Bandai Namco video game franchises include Ace Combat, Dark Souls, Dragon Ball*, Soulcaliber, and more. pic.twitter.com/hxZ6N2kSxl
— vx-underground (@vxunderground) July 11, 2022

そして7月13日、バンダイナムコHDが、「2022年7月3日に日本を除くアジア地域の複数のグループ会社の社内システムが第三者による不正アクセスを受けたことを確認しました」との公式声明を発表し、ハッカーから攻撃を受けたことを認めました。

声明によると、不正アクセスを確認した後は被害拡大を防ぐため、サーバーへのアクセス遮断といった対策を行ったとのこと。不正アクセスを受けたサーバーやPCには、日本を除くアジア地域のトイホビー事業に関する顧客情報などが含まれていた可能性があるそうで、情報漏えいの有無や範囲の特定、原因究明を行っていると述べています。海外メディアのTechCrunchは、バンダイナムコHDはサイバー攻撃の性質やハッカーが不正アクセスを行った方法、身代金の要求を受けたのかどうかについては、詳しい説明を拒否したと報じています。

バンダイナムコHDは声明の中で、「今後も原因究明に努めるとともに、調査結果につきましては適宜公表する予定です。また、外部機関とも連携しグループ全体でセキュリティの強化を行い、再発防止のための施策に取り組んでまいります」と述べました。

バンダイナムコHDは不正アクセスに関する具体的な言及を避けていますが、攻撃を行ったと宣言したALPHVは近年存在感を増しているランサムウェアグループです。FBIは2022年4月、「ALPHVは2022年3月時点で世界で少なくとも60の組織に被害を与えました」「安全なプログラミング言語だと考えられているRustを使用して大きな成功を遂げた最初のランサムウェアグループです」と警告を発しています。

ALPHVの特徴は、一般的なランサムウェアグループのように被害者のデータを暗号化するだけでなく、その前にデータを盗み出して「身代金を支払わなければデータを流出させる」と脅しています。サイバーセキュリティ企業の調査によると、ALPHVは盗んだデータを検索エンジンで誰でも見つけられるウェブサイト上で公開し、被害者が自分のデータを簡単に見つけられるようにする新たな手口も生み出したとのこと。

普通のWebサイトに個人情報をさらして不安煽る、ランサムウェアの新手口 | TECH+
https://news.mynavi.jp/techplus/article/20220621-2373140/

近年はゲーム会社を標的にしたサイバー攻撃が相次いでおり、2020年にはカプコンが不正アクセスされて発売予定のタイトルなどが流出したほか、2021年にはElectronic Arts(EA)がハッキングされ、780GBものソースコードや内部ツールなどが販売される事態となりました。

EAがハッキングされ盗まれた780GBものソースコードや内部ツールなどが販売される - GIGAZINE