カシオで何が起きた？ 2024年のランサムウェア攻撃と情報流出

何が起きたか

2024年10月、カシオ計算機の社内ネットワークとサーバーが不正アクセスを受けました。複数のシステムが使えなくなり、一部のサービスも停止しました。後の調査でランサムウェア攻撃と判明し、社内文書などのデータが外部へ流出したことも確認されています。初報／10月11日の続報／2025年1月の調査結果

カシオは2025年1月7日の調査結果で、流出を確認した個人情報を次のように区分して示しました。これらは各区分の人数で、カシオの顧客全体やCASIO IDの全利用者の人数ではありません。カシオの調査結果「2」

被害と影響

カシオは2024年10月5日、社内ネットワークへの不正アクセスとシステム障害を確認しました。10月8日の初報では情報流出は調査中でしたが、10月11日にはランサムウェア被害と一部の情報流出を公表しました。被害を受けたサーバーを社内ネットワークなどから遮断し、外部専門家による調査を進めています。初報／10月11日の続報

2025年1月の調査結果では、流出したのは社内業務用に保存していた文書などの一部で、従業員のほか、取引先や顧客に関する情報も含まれていたと説明しています。一方、顧客データベースや顧客の個人情報を扱うシステムからデータが窃取された痕跡は確認されなかったとしています。流出を確認した個人情報にクレジットカード情報は含まれていません。カシオの調査結果「1」「2」

出来事の時系列

時系列はカシオの初報、10月11日の続報、2025年1月の調査結果に基づきます。10月5日を、攻撃者が最初に侵入した時刻と断定しません。

別の事件との区別

カシオは2023年にも、教育サービス「ClassPad.net」の開発環境への不正アクセスと情報流出を公表しています。これは今回の2024年の社内ネットワークへの攻撃とは別の事件です。カシオは、今回の攻撃について、ClassPad.netとCASIO IDのシステムは影響を受けていないと明記しています。2024年10月11日の続報／2025年1月の調査結果

まだ分かっていないこと

参照した発表からは、最初に侵入した正確な時刻や、攻撃者が具体的にどう侵入したかは確認できません。また、カシオは区分別の流出確認人数を公表していますが、ここでは重複を除いた独自の総人数を作りません。カシオの調査結果

この事例から分かること

今回の調査結果は、社内業務用の文書にも顧客や取引先の個人情報が含まれ、サーバーの侵害によって流出し得ることを示しています。カシオや関係会社から対象者として案内を受けた場合は、公式の案内先を確認し、不審なメールに注意してください。これは流出後の二次被害への備えであり、一般利用者が元の攻撃を防げたという意味ではありません。カシオの10月11日の続報／調査結果