タグ: サイバーセキュリティ

ニップンは8/16、「2022年3月期第1四半期報告書の提出期限延長に関する承認申請書提出のお知らせ」を公表しました。サイバー攻撃を受け、連結子会社のオーケー食品工業も含めて、システム障害により決算発表を延期していました。

システム障害の状況

この開示によるとサイバー攻撃による被害、かなりヤバそうです。このサイバー攻撃、ランサムウェアによるもののようで、同社グループの情報ネットワークにおいて、大部分のサーバー及び一部の端末に対し、同時多発的に全部または一部を暗号化されてしまったとしています。

被害対象は同社単体の財務管理、販売管理といった主要な基幹システムサーバーや、データが保存されているファイルサーバーを含め広範囲に及び、グループネットワーク内で運用している国内グループ会社の販売管理システム（11社利用）と財務会計システム（26社利用）もその対象だそう。もちろんオーケー食品も含まれています。

サーバーの内部に格納された電子ファイルの大部分に暗号化が施されているため、システムの起動そのものが不可能だといいます。外部専門家によると、これほど広範囲に影響を及ぼす事案は例がなく、復旧、安全性の構築までには相応の時間と労力を要するとのこと。

一度の攻撃でサーバーの大半が同時攻撃を受けたことで、本社を含め全ての事業拠点が同様の事態であったため、同社のBCPで想定していた事態を大きく上回る状況だといいます。

オリンピック期間中心配していたサイバー攻撃は意外に少なかったものの、このニップンの障害はかなりヤバそうです。主要システムの早期の復旧は難しいとしていますし、おそらく昨年10月の鉄建建設以来の障害規模だと思われます。

なお、ランサムウェアによる身代金の要求の有無や、それに対する同社の対応に関する記述はありませんでした。

株式会社ニップンは8/5、「2022年3月期第1四半期連結決算発表の延期に関するお知らせ」を公表しました。同社グループシステムでサイバー攻撃によるシステム障害が発生したためだそうです。同社の連結子会社であるオーケー食品工業株式会社も同じシステムを採用しているため影響を受けています。

ニップン　オーケー食品

ニップンは旧社名日本製粉。国内製粉業界で日清製粉グループ本社に次ぐ第2位の東証1部上場会社です。オーケー食品工業はニップンが発行済み株式の50％超を保有するジャスダック上場会社。こちらは国内トップシェアを誇る業務用味付け油揚げのリーディングカンパニーだそうです。

システム障害の概要

オリンピック開催に伴いサイバー攻撃が急増するといわれていましたが、ここまでのところ意外にサイバー攻撃を受けたというニュースは聞こえてきません。まぁ、公表を控えているだけという可能性はありますかね。そこへ、ニップンのニュースが。

7/7未明から、ニップングループのシステムでサイバー攻撃によるシステム障害が発生。現在はシステムの復旧作業中であり、財務・会計アプリケーションを含むビジネス活動に必要な基幹ITアプリケーションの一部が利用できない状況となっているとのこと。

決算発表を延期

システム復旧までにはなお時間を要する状況であり、復旧後も停止期間中に実施できなかった経理処理やデータの整合性の確認が必要となり、当該作業に一定の時間を要するため、決算発表を延期するとしています。

ここまでの公表内容については、オーケー食品工業も全く同じ開示をしています。ビジネス活動に必要なアプリケーションが落ちてしまっているようで、さすがに公表せざるをえなかったということでしょう。

11/4愛知県警は、パソコンに感染して遠隔操作するマルウエアをダークウェブで販売したとして、千葉県在住の自称フリーカメラマン（21歳）を逮捕したと発表しました。逮捕容疑は不正指令電磁的記録保管・提供だそうです。いわゆる不正指令電磁的記録に関する罪です。

事件の概要

容疑者はマルウエアの一つである「Dark Comet」を自身のハードディスクに保管したうえ、ダークウェブ（闇サイト）掲示板サイトで購入者を募り、販売したといいます。このDark Cometは、感染したパソコンを遠隔操作で不正に操作し、データ閲覧やパソコンのカメラを起動させる機能を持っています。

Dark Cometをどう入手したかは分かってないようですが、このマルウエアの販売で約90万円の利益を得ていたとのこと。朝日新聞では1ファイル3万円で販売、、、と伝えていましたから、30人くらい買った奴がいるということでしょうか。

中学生だって

この事件で思い出したのが、2017年6月に起きた、大阪府内の男子中学生がランサムウエアを作成した容疑で逮捕されたという事件です。なんといっても容疑者が14歳というのがショッキングでした。この時の容疑も不正指令電磁的記録作成・保管でした。ちなみに2015年にも17歳の少年がランサムウエアを作っていたという事件がありましたね。

不正指令電磁的記録に関する罪

何でこう難しい名前にするんでしょうね。簡単に言うと、コンピュータ・ウイルスに関する罪ということ。先ほどの2件の容疑に書いたように、「作成」、「提供」、「供用」、「取得」、「保管」の行為に対して罰せられる法律です。2011年7月に施行されました。

今回逮捕された自称カメラマンの男は、「保管」と「提供」の容疑で、14歳の少年の場合は「作成」と「保管」の罪で逮捕ということです。

7/16、7/20の両日、日本経済新聞の一面トップ記事を飾ったのは、なんとサイバー攻撃関係の記事でした。「サイバー被害　通知義務化」と「サイバー攻撃　コロナ下の脅威」というタイトル。前者は個人情報保護法の改正を受けた記事で、後者は企業機密を取り上げています。

サイバー被害　通知義務化

サイバー攻撃で個人情報が漏えいした企業に対し、被害が発生した全員への通知が義務付けられます。個人情報保護委員会への報告も。違反に対しては50万円だった罰金も大きく引き上げ最高1億円へ。個人情報保護法と規則の改正で欧米水準に一歩近付きます。

企業としては今まで以上に厳密な対応を求められるため、情報漏洩に対する投資を真剣に考える必要があります。情報漏洩リスクに対する対策の多くはサイバーセキュリティ対策でもあります。少しでも日本企業の意識が向上してくれれば良いのですが。

サイバー攻撃　コロナ下の脅威

こちらはサイバー攻撃によって企業の機密情報が盗まれる事件が増加していることを受けての記事ですね。ランサムウエアで手に入れた企業の機密情報がネットの闇市場で売買されているという話です。こうした闇市場で少しづつ売ってみせ、企業が身代金を払うまで追い詰めると。

企業の機密情報については今既に大変なことが起こっている可能性があります。新型コロナへの対応として多くの企業が取り入れたテレワーク。記事でも専門家が「テレワークを拙速に導入したことでシステムに欠陥を抱える日本企業の情報が、ハッカーの間で大量に流通している」と指摘していました。

「セキュリティ上の問題はあるものの、まずはテレワーク環境を確立して3密回避、出社率を下げるべき。。。」こんな掛け声、御社でもありませんでしたか。テレワークの普及は、攻撃者にとって、侵入口が爆発的に増加することを意味します。もうすでに相当抜かれちゃってるんだろうなぁ。