สรุปเหตุการณ์ไซเบอร์แอตแทค 2024 ของ Kadokawa และ Niconico

เมื่อวันที่ 8 มิถุนายน 2024 เว็บไซต์ทางการของ Kadokawa และแพลตฟอร์มแชร์วิดีโอชื่อดังของญี่ปุ่นอย่าง Niconico ได้รับผลกระทบจากเหตุการณ์ไซเบอร์แอตแทคด้วยมัลแวร์เรียกค่าไถ่ (Ransomware) โดยกลุ่มแฮกเกอร์ชาวรัสเซียที่ชื่อว่า BlackSuit ซึ่งเป็นผู้ประกาศตัวว่าเป็นผู้ลงมือกระทำความผิดในครั้งนี้

ภูมิหลังและบริบท

Niconico คือแพลตฟอร์มแชร์วิดีโอที่เปิดตัวในปี 2006 ซึ่งมีเจ้าของคือ Dwango ซึ่งเป็นบริษัทลูกของ Kadokawa Corporation โดย Niconico ถือเป็นหนึ่งในเว็บไซต์ที่มีผู้เข้าชมมากที่สุดในญี่ปุ่น

ก่อนหน้าเหตุการณ์นี้เพียงไม่กี่วัน ในวันที่ 3 มิถุนายน 2024 Kadokawa Taiwan ได้รายงานว่าถูกโจมตีทางไซเบอร์และมีข้อมูลส่วนบุคคลและข้อมูลบริษัทรั่วไหลออกไป ซึ่งสะท้อนให้เห็นถึงแนวโน้มการโจมตีทางไซเบอร์ที่เพิ่มสูงขึ้นในปี 2024

นอกจากนี้ ญี่ปุ่นยังถูกวิพากษ์วิจารณ์ว่าขาดแคลนผู้เชี่ยวชาญด้านไอทีและไซเบอร์ซีเคียวริตี้ โดยผลสำรวจจากสถาบันวิจัยพบว่าบริษัทในประเทศญี่ปุ่นถึง 90% ไม่มีผู้เชี่ยวชาญด้านนี้โดยเฉพาะ ซึ่งนำไปสู่การที่นายกรัฐมนตรี ฟูมิโอะ คิชิดะ ต้องสั่งการให้รัฐมนตรีจัดทำร่างกฎหมายเพื่อเสริมสร้าง "active cyber defense" ของประเทศ

รายละเอียดการโจมตี

ปัญหาการเชื่อมต่อของบริการต่างๆ ในเครือ Kadokawa Group รวมถึง Niconico เริ่มถูกรายงานตั้งแต่วันที่ 8 มิถุนายน 2024 เวลาประมาณ 03:30 น. (เวลาญี่ปุ่น) โดยทาง Dwango ได้ระงับการให้บริการของ Niconico ทั้งหมดเพื่อทำการบำรุงรักษาในเวลา 06:00 น.

ในวันที่ 9 มิถุนายน Kadokawa ได้แจ้งเหตุการณ์นี้ต่อตำรวจและผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ รวมถึงสำนักงานการเงินท้องถิ่นคันโต (Kanto Local Finance Bureau)

การตรวจสอบในวันที่ 14 มิถุนายน ยืนยันว่าสาเหตุเกิดจาก Ransomware โดยพบว่าแม้ทางบริษัทจะพยายามปิดระบบออนไลน์เพื่อหยุดยั้งการโจมตี แต่แฮกเกอร์กลับสั่งรีสตาร์ทเซิร์ฟเวอร์เพื่อแพร่กระจายมัลแวร์ต่อไป ทำให้ทาง Kadokawa ต้องตัดสินใจ ตัดการเชื่อมต่อทางกายภาพ (Physically Disconnected) ของสายไฟและสายสื่อสารของเซิร์ฟเวอร์เพื่อหยุดยั้งการโจมตี

ต่อมาในวันที่ 27 มิถุนายน กลุ่ม BlackSuit ได้เผยแพร่แถลงการณ์บน Dark Web โดยขู่ว่าจะเปิดเผยข้อมูลที่ขโมยไปกว่า 1.5 เทราไบต์ ซึ่งประกอบด้วยข้อมูลพันธมิตรทางธุรกิจและข้อมูลผู้ใช้งาน หากไม่ได้รับค่าไถ่ภายในวันที่ 1 กรกฎาคม

ในวันที่ 10 กรกฎาคม Kadokawa ได้ออกคำเตือนว่าการเผยแพร่ข้อมูลที่รั่วไหลจะถูกดำเนินคดีทางกฎหมาย และบริการของ Niconico และเว็บไซต์ทางการของ Kadokawa ได้กลับมาออนไลน์อีกครั้งในวันที่ 5 สิงหาคม

ผลกระทบที่เกิดขึ้น

• ด้านการบริการ: Niconico ยกเลิกรายการที่กำหนดไว้ทั้งหมดจนถึงสิ้นเดือนกรกฎาคม
• ด้านการเงิน: ราคาหุ้นของ Kadokawa ลดลงกว่า 20% ภายในวันที่ 3 กรกฎาคม
• ด้านการดำเนินงาน: ธุรกิจการพิมพ์และการผลิตถูกระงับชั่วคราว การจัดจำหน่ายอีบุ๊กเกิดความล่าช้า และร้านค้าออนไลน์ Kadokawa Umbrella ไม่สามารถรับหรือจัดส่งคำสั่งซื้อได้
• ด้านการศึกษา: โรงเรียนมัธยมปลายทางไกล Kadokawa Dwango Educational Institute ได้รับผลกระทบ แต่สามารถกู้คืนระบบได้ในวันที่ 10 มิถุนายน

การสืบสวนและบทสรุป

หลังจากเหตุการณ์นี้ Niconico ได้นำมาตรการความปลอดภัยใหม่ๆ มาใช้และทำการสร้างระบบใหม่ทั้งหมด

การสืบสวนของ Kadokawa ในวันที่ 6 สิงหาคม พบว่าสาเหตุที่เป็นไปได้ของการโจมตีครั้งนี้คือ การโจมตีแบบฟิชชิ่ง (Phishing Attack) และยืนยันว่ามีข้อมูลของบุคคลจำนวน 254,241 คนรั่วไหล โดยในจำนวนนี้ 186,269 คนเป็นข้อมูลจากโรงเรียน Kadokawa Dwango Educational Institute

และในวันที่ 12 ธันวาคม 2024 กลุ่ม BlackSuit ได้ส่งอีเมลแจ้งผู้บริหารของ Kadokawa ว่าได้รับเงินค่าไถ่เป็นสกุลเงินดิจิทัล (Cryptocurrency) มูลค่า 2.9 ล้านดอลลาร์สหรัฐแล้ว