ニコニコ動画・KADOKAWA（角川）サイバー攻撃：犯人は誰か・身代金は払ったか・なぜ被害が広がったか

2024年6月8日、ニコニコ動画を運営するKADOKAWAグループ（角川）でランサムウェアを含むサイバー攻撃が発覚し、ニコニコの主要サービスがほぼ全面的に止まりました。犯行を主張したのはランサムウェア集団「BlackSuit（ブラックスーツ）」ですが、KADOKAWAの公式発表は組織名を挙げていません。身代金の支払いは報道されたものの、会社は認めていません。本記事では、犯人は誰か・身代金は払ったのか・なぜ2カ月も止まったのかという問いに公式発表で答え、漏洩範囲と損失、クラウド上での再構築までを整理します（2026年10月20日時点の情報）。

まとめ：ニコニコ・KADOKAWAサイバー攻撃の要点

• 発生：2024年6月8日午前3時30分ごろに障害が起き、同日午前8時ごろランサムウェアによる攻撃と確認された。
• 犯人：ランサムウェア集団「BlackSuit」が2024年6月27日にリークサイトで犯行を主張した。KADOKAWAは公式発表で組織名を挙げていない。
• 身代金：NewsPicksが約4.7億円相当の支払いと約13億円の追加要求を報じた。KADOKAWAは支払いの有無を公式に認めていない。
• 被害が広がった理由：プライベートクラウドの仮想マシンが大量に暗号化され、シャットダウン後も遠隔で再起動されたため、電源・通信ケーブルを物理的に抜いた。
• 情報漏洩：外部漏洩を確認した個人情報は261,956人分（2024年11月1日時点）。ニコニコ利用者のアカウント情報とカード情報の漏洩は確認されていない。
• 復旧・損失：2024年8月5日に主要サービスを再開。2025年3月期に特別損失24億13百万円（約24億円）を計上した。

企業が持ち帰る結論は2つです。コードや配布の仕組みまで含めて復旧手順を設計すること、そして遮断・身代金・公表の判断を誰が下すかを平時に決めておくことです。

なぜ狙われた・誰がした・今も攻撃が続くか・危ないか：公式発表での短答

検索で多い4つの疑問に、結論だけを公式発表の範囲で答えます。

攻撃を受けた理由：従業員アカウントの窃取と推測、動機は非公表

KADOKAWAは2024年8月5日の情報漏洩に関する発表で、ニコニコを中心としたサービス群を標的とした攻撃だったと説明しました。原因は、フィッシングなどで従業員のアカウント情報が窃取され、そのアカウントで社内ネットワークに侵入されたことと推測されています。侵入の経路と方法は「不明」とされ、攻撃者がなぜKADOKAWAを選んだのかという動機も公表されていません。

攻撃したのは誰か：BlackSuitの犯行主張と公式の表記

ランサムウェア集団「BlackSuit」がリークサイトで犯行を主張したと報じられています。KADOKAWAの2024年7月10日の発表は「サイバー攻撃を行ったとされる組織」と書くだけで組織名を挙げず、警察による捜査が開始されていると説明しました。実行した人物の特定や逮捕は公表されていません。

今も攻撃は続いているか：2024年9月以降の新たな侵入の公表なし

KADOKAWAは2024年9月11日の見解で、情報の追加公開の主張について、新たな攻撃の痕跡は検知されていないと説明しました。2024年11月の決算説明資料も、追加で判明した漏洩分は6月8日以前に窃取されたもので、それ以降の窃取はないとしています。2026年10月20日時点で、KADOKAWAとドワンゴのお知らせ一覧に新たな攻撃の公表は見当たりません。

利用者のアカウント情報とカード情報：漏洩の確認なし

公式発表は、ニコニコユーザーのログインメールアドレス・パスワードとクレジットカード情報について、ドワンゴからの漏洩は確認されていないと明記しています。カード情報はそもそも社内で保有していない仕組みです。利用者として何を確かめ、どう備えるかはニコニコ動画は今も安全に使えるのかで利用者の立場から整理しています。

事件の概要──2024年6月のランサムウェア攻撃で起きたことと時系列

ドワンゴの2024年6月14日の報告によると、6月8日午前3時30分ごろ「ニコニコ」「N予備校」を含むウェブサービス全般が正常に使えなくなり、午前8時ごろランサムウェアを含む攻撃と確認されました。同日中に対策本部を立ち上げ、データセンター内サーバー間の通信を切断してサーバーを停止しています。攻撃は社内ネットワークにも及び、翌9日には歌舞伎座タワーのオフィスを閉鎖しました。影響は出版・経理・物流を含むKADOKAWAの基幹システムにも広がりました。

公式発表と報道で追う時系列（2026年10月20日時点の最新報まで）

発表主体を分けて並べると、会社が認めた事実と報道・攻撃者側の主張との境目が見えます。

漏洩人数は2024年11月7日の第2四半期決算説明資料、金額の確定は2025年5月の決算公表が最新です。

停止したサービスと利用者・取引先への影響──学習・出版への波及と補償

6月14日時点で止まっていたのは、ニコニコ動画・生放送・チャンネルなどのニコニコファミリーサービス、外部サービスでのニコニコアカウントログイン、楽曲収益化サービス、ドワンゴチケットなどです。N予備校はN高・S高の生徒向けに先行して復旧しました。ドワンゴは当初、2024年6月と7月のプレミアム会員料、チャンネル運営者への収益分配、クリエイター奨励金などを補償の対象に挙げ、7月26日の発表で補償の対象期間を8月度まで延長しました。

KADOKAWA側では出版の基幹システムが止まり、2024年11月の決算説明資料によれば、国内紙書籍の既刊出荷は一時、平常時の3分の1に減りました。2025年3月期の決算では、国内紙書籍だけで36.5億円の売上高への影響が出たと説明されています。

「Re:仮」から「帰ってきたニコニコ」まで約2カ月の再開経過

停止中の6月14日15時には、開発チームが3日で作った「ニコニコ動画（Re:仮）」が公開されました。2007年の人気動画を中心に一部の動画だけを視聴・コメントできる仮設サイトです。本来のニコニコは2024年8月5日に動画・生放送・大百科・静画などの主要サービスを再開しました。KADOKAWAは2025年5月8日の2025年3月期決算短信で、Webサービス事業は8月から主要サービスを段階的に再稼働し、9月以降は概ね全面的に復旧したと説明しています。ニコニコ生放送の開発記録では、2024年12月16日にAndroid版アプリのギフトとニコニ広告が復旧し、192日間の復旧作業がすべて完了しました。一方、ニコニコミュニティは復旧に必要なデータとシステムが失われたため、2024年7月26日の発表で再開を断念しています。

被害が2カ月に及んだ理由──仮想マシンの一斉暗号化と遠隔再起動、ケーブルの物理抜線

「なぜこれほど長く止まったのか」を、ドワンゴの6月14日報告、KADOKAWAの8月5日発表、生放送の開発記録に書かれた範囲だけで3段階に分けて追います。攻撃者側の主張や外部の推測は使いません。

グループのプライベートクラウドで起きた仮想マシンの一斉暗号化

ニコニコはパブリッククラウドに加え、KADOKAWAグループ企業のデータセンター内に構築したプライベートクラウドを使っていました。ドワンゴの報告によると、攻撃を受けたのはこのデータセンターで、相当数の仮想マシンが暗号化されて使えなくなりました。KADOKAWAの発表では、狙われたのはデータセンター内のドワンゴ専用ファイルサーバーなどです。多数のシステムが同じ仮想化基盤に載っていると、基盤側を押さえられた時点で影響がまとめて広がります。基盤ごと止まった別の事例は大阪公立大学のランサムウェア被害と仮想化基盤のバックアップでも扱っています。

シャットダウン後の遠隔再起動と、電源・通信ケーブルの物理抜線

報告の中で最も重い一文が、攻撃が発覚後も繰り返されたという記述です。ドワンゴが遠隔でプライベートクラウド内のサーバーを停止した後も、攻撃者がさらに遠隔からサーバーを起動して感染を広げようとする動きが観測されました。そのため同社はサーバーの電源ケーブルと通信ケーブルを物理的に抜いて封鎖し、そのデータセンターのサーバーはすべて使えなくなりました。社員の出社を原則禁止し、社内ネットワークと業務システムも止めています。

復旧の見通しについて報告は、ニコニコは数百以上のシステムが連携して動くサービスで、封鎖したサーバーの中身を1つずつ確認して無事なデータを救い出し、安全な環境で作り直す必要があると説明しました。被害を止めるための抜線が、そのまま復旧の工数になった構図です。

無事だったパブリッククラウド側の動画データと、止まった移行途中のシステム

一方で、ニコニコ動画のシステムと投稿された動画データ、動画の映像配信システムはパブリッククラウド上で動いていたため被害を受けませんでした。ドワンゴの技術ブログ「ニコニコ生放送がサービスを再開するまでの記録」（2025年6月9日）によれば、生放送のシステムも大部分が2023年度末時点で移行済みでした。止まったのは、プライベートクラウドに残っていたコメントのメッセージサーバや映像配信システム、ソースコードを管理するGitHub Enterprise ServerとCI/CDパイプラインです。同じ記録には、再開までの約2カ月に、旧メッセージサーバから過去のコメントを取り出して新メッセージサーバへ取り込む作業や、依存する他のサービス・基盤の復旧を待つ工程が並んでいます。クラウド移行の進み具合は被害の範囲を分けましたが、期間はこうした作り直しの工程で決まりました。

攻撃したのは誰か──BlackSuitの犯行主張と公式発表での扱い、2025年の摘発

KADOKAWAへの攻撃は、ランサムウェア集団「BlackSuit（ブラックスーツ）」が犯行を主張しています。同グループは2024年6月27日にリークサイトで、取引先情報や利用者情報など1.5TBを窃取したと主張し、7月1日を支払い期限として公開をほのめかしました。窃取データの公開はその後に行われています。犯行主張の日付は報道とその整理に基づくもので、攻撃者側サイトそのものは当社では確認していません。

KADOKAWAは組織名を挙げず「攻撃を行ったとされる組織」と表記

見落とされやすいのが、会社側の書き方です。KADOKAWAとドワンゴの公式発表は一貫して「サイバー攻撃を行ったとされる組織」と表記し、BlackSuitの名前を出していません。2024年7月10日の発表では、警察による捜査が既に始まっていること、関係当局へ必要な報告をしたことを明らかにしました。「ブラックスーツがニコニコを攻撃した」は犯行主張と報道に基づく情報で、会社が認定した事実ではありません。実行犯の特定・逮捕は、2026年10月20日時点で公表されていません。

Royalの後継とされるBlackSuitの素性と、データを持ち出す二重脅迫の手口

BlackSuitは2023年ごろから活動が確認されている集団で、「Conti」の流れをくむ「Royal」の後継とされ、米司法省の発表でも「BlackSuit（Royal）」と併記されています。この種の集団はデータを持ち出してから暗号化するため、バックアップから復旧できても漏洩のリスクは残ります。KADOKAWAの件でどの機器やサービスのアカウントが狙われたかは公表されていません。ランサムウェアの成り立ちはランサムウェアの起源と語源で解説しています。

Operation Checkmateでの押収と後継グループChaosの評価

米司法省は2025年8月11日、BlackSuit（Royal）に対する共同の妨害措置を発表しました。2025年7月24日に4台のサーバーと9つのドメインを停止させたもので、ICEの発表では作戦名を「Operation Checkmate」としています。同時に開示された約109万ドルの暗号資産は2024年1月ごろに凍結済みだった資金で、押収と同じ日に押さえたものではありません。KADOKAWAの事件との関係は書かれていません。

Cisco Talosは2025年7月24日、新しいランサムウェア集団「Chaos」がBlackSuit（Royal）の元メンバーによって結成された可能性が高いと、中程度の確度で評価しました。インフラの押収で攻撃の担い手がいなくなるわけではありません。

身代金は支払われたのか──NewsPicks報道とKADOKAWAの公式説明の境目

KADOKAWAは身代金について公式に事実関係を認めていないため、報道内容と会社の説明を分けて読みます。

NewsPicksが報じた約4.7億円の送金と約13億円の追加要求

2024年6月22日、NewsPicksは攻撃者との交渉に関する情報として、KADOKAWAが298万ドル（約4.7億円）相当を支払い、さらに825万ドル（約13億円）の追加要求を受けたと報じました。報道では社内の決裁手続きをめぐる細部も伝えられましたが、元記事は有料で、当社ではその部分を確認できていません。支払いがあったとしても追加要求を招いたとされる点が、報道の核心です。

KADOKAWAの抗議と、2025年の決算資料に書かれた意思決定の説明

KADOKAWAの夏野剛社長は、攻撃者の主張を広める報道に抗議し、法的措置の検討を表明しました。支払いの有無や金額については肯定も否定もしていません。「会社は払っていないと説明している」と書く記事もありますが、当社が確認したKADOKAWAのお知らせと決算資料にその記述は見当たりません。

2025年5月の2025年3月期決算説明資料は「サイバー攻撃への対応に係る検証」の項目で、本事案の対応では都度全取締役で経緯と対応方針を共有して経営判断を行い、法的問題は社外弁護士の意見書も取得して判断し、監査法人にも説明して適正意見を得ているため、経営陣のガバナンス上の問題はないと認識していると記しました。これは全取締役への情報共有と経営判断についての説明で、報道された「取締役会を通さない決裁」に対し、取締役会で決議したかどうかには触れていません。何を決めたのか、支払ったのかも書かれていません。「4.7億円を支払った」は2026年10月20日時点でも報道に基づく情報です。

流出した個人情報の範囲──261,956人分の区分と漏洩項目の内訳

KADOKAWAは2024年8月5日、外部漏洩を確認した個人情報が合計254,241人分にのぼると公表し、個人情報保護委員会にも報告しました。その後の精査で6月8日以前に窃取されていた分が7,715人分見つかり、2024年11月の決算説明資料では合計261,956人分（11月1日時点）とされています。

従業員・取引先・学園関係者の区分別に公式発表で確認された漏洩項目

従業員について公式発表が挙げたのは社員番号・勤怠などの人事情報と属性情報で、「人事評価」という項目はありません。

このほか、取引先との一部の契約書や法務関連の社内文書など、企業情報の漏洩も確認されています。

漏洩情報の拡散者への削除要請・開示請求の件数

漏洩情報の拡散に対し、ドワンゴは削除要請と発信者情報開示請求を開始しました。悪質と認識した拡散行為などは2024年11月1日時点でドワンゴ分934件・学園分70件、削除要請と開示請求は385件です。拡散者の逮捕・送検の公表は見つかっていません。媒体別の件数や、拡散を見つけたときの対応は利用者向けの安全性の記事にまとめています。

特別損失24億円の確定値と、36億円という当初の見込みからの推移

損失額は時期によって数字が変わるため、どの時点の値かを添えて扱う必要があります。2024年8月14日の第1四半期決算でKADOKAWAは、2025年3月期の特別損失を36億円と見込んでいました。これは当時の見込みです。

2025年5月8日の2025年3月期の通期決算でKADOKAWAは、純利益の減益幅が営業利益より大きくなった理由として「サイバー攻撃に係る特別損失が24億円発生した」と説明しました。決算短信での計上額は24億13百万円で、クリエイター補償と調査・復旧作業などの費用です。同じ決算資料は、サイバー攻撃による減収減益の影響を売上高83億円・営業利益47億円と試算し、そのうちWebサービスは売上高39.5億円・営業利益21億円でした。特別損失はこの目減りとは別枠です。

復旧後の再構築──AWS環境での作り直しとニコニコのセキュリティ改革

ドワンゴは2025年に、AWS公式ブログへの寄稿と自社の技術ブログで再構築の進め方を公表しました。公表資料に書かれた範囲だけを整理します。

開発者のローカルからのコード集約と、攻撃11日後に公開した生放送Re:仮

生放送の復旧記録では、攻撃2日後の2024年6月10日に、各開発者のローカル環境に散らばっていたリポジトリをGitHub Enterprise Cloudへ集めて最新版を特定する作業から始めています。番組数を1つに絞った「ニコニコ生放送（Re:仮）」は2024年6月19日に公開され、CI/CDパイプラインの全面復旧には1カ月半かかりました。コードと配布の仕組みが被害環境にあると、まず「作り直す道具」を取り戻す工程が入ります。

Control Towerを軸にした予防・GuardDuty検知・事故対応の3層改革

ドワンゴが寄稿したAWSで実現するニコニコの大規模セキュリティ改革の概観（2025年5月30日）によると、攻撃直後にオンプレミスとAWSの間のネットワークを切断し、一部を除く全開発者のサインインを無効化したうえでAWS環境を総点検し、侵害は及んでいないと判断しました。移行途中のシステムをAWS上で再構築することになり、AWS環境の重要度が増したため改革に着手したとしています。

予防ではSecurity HubとTrusted Advisorでベストプラクティス違反を洗い出し、Service Control Policy（SCP）で不要な操作を組織全体で制限しています。検知はGuardDutyを基本線に全アカウントのCloudTrailを監視し、不審な行動を社内外の連携先へ通知する設計です。事故対応では社内エンジニアが一次対応を担い、AWS Security Incident Responseを導入中としています。マルチアカウントの土台はAWS Control Towerの仕組みと導入判断、脅威検知はAmazon GuardDutyの料金と検出の仕組みで解説しています。

KADOKAWA側の再発防止──サーバ再構築・監視強化・迷惑メール訓練

2025年5月の決算説明資料は再発防止として、各種サーバの再構築や監視強化、迷惑メール訓練などの社員教育を挙げています。2024年11月の資料では、別のセキュリティ専門企業から対策の進め方が適切だと確認を受けたとしました。侵入経路の具体的な特定結果は、2026年10月20日時点でも公表されていません。

企業が学ぶべきランサムウェア対策──復旧と意思決定の事前設計

この事件の事実から逆算して、企業が優先すべき対策を挙げます。

仮想化基盤の管理系の分離と、コード・CI/CDまで含めたバックアップ

KADOKAWAの件では、1つのデータセンターの仮想マシンがまとめて暗号化されました。仮想化基盤の管理画面や管理アカウントには業務ネットワークから届かないようにし、管理者のログインには多要素認証を必須にします。バックアップは「3つのコピー・2種類の媒体・1つは別の場所（オフサイト）」の3-2-1ルールを基本に、ネットワークから切り離したオフライン保管や書き換え不能なストレージを加えます。ニコニコ生放送の記録が示すとおり、ソースコードとビルド・配布の仕組みも隔離の対象です。

EDRによる侵入検知と、暗号化の前に止める早期封じ込めの運用体制

KADOKAWAの件のように盗まれたアカウントから入る攻撃では、暗号化の前に、普段と違う時間帯や端末からのログイン、管理者権限の取得、多数のサーバーへの接続といった動きが残ることがあります。端末の挙動を監視するEDRは、監視・対応を担う運用体制とセットで入れてはじめて、暗号化の前に封じ込める手段になります。導入判断はEDRとはで整理しています。

ゼロトラストと最小権限・多要素認証で社内ネットワークの横展開を止める設計

KADOKAWAの侵入は、盗まれた従業員アカウントが起点との推測です。利用者と端末をアクセスのたびに検証する「ゼロトラスト」を前提に、多要素認証の必須化と権限の最小化で、1つのアカウントが盗まれたときに届く範囲を狭めます。設計の指針はゼロトラストネットワークの7つの要件にまとめています。自社の公開サーバーやVPN機器にどんな穴があるかを第三者の目で洗い出すなら、脆弱性診断・セキュリティ診断で現状を把握してから優先順位を決めるのが近道です。

物理遮断・身代金・公表の判断者を平時に決めておくインシデント対応計画

ドワンゴは遠隔停止が効かないと分かった段階で、データセンター全体を使えなくする抜線に踏み切りました。この判断を誰の権限で、どの条件で下すかが決まっていなければ、夜間や休日に被害が広がります。身代金についても、警察庁は、支払った金銭が犯罪グループの活動資金になる懸念と、支払ってもデータの復号が保証されない点を被害者に説明しています。今回も支払いが報じられながら追加要求を受けたとされています。連絡系統・遮断の範囲・公表判断・身代金への方針を文書化し、決裁権限まで決めておきます。

計画書を作って終わりにする運用は勧めません。年1回でも「遠隔停止したサーバーが再起動された」「リークサイトに社名が出た」という場面を机上演習で回し、決裁者不在の夜間に誰が判断するかまで確かめてはじめて計画は機能します。

よくある質問

ニコニコ・KADOKAWAへのサイバー攻撃について、検索の多い疑問に公式発表の範囲で答えます。

ニコニコは身代金を払ったのですか？

NewsPicksは約4.7億円相当を支払い、さらに約13億円を要求されたと報じましたが、KADOKAWAは支払いの有無を公式に認めていません。2025年5月の決算説明資料も、対応方針を都度全取締役で共有したと説明するだけで、支払ったかどうかには触れていません。2026年10月20日時点でも報道ベースの情報です。

ブラックスーツ（BlackSuit）とニコニコの関係は？

BlackSuitは、2024年6月27日にリークサイトでKADOKAWAへの攻撃を主張し、その後に窃取データを公開したランサムウェア集団です。KADOKAWAの公式発表は組織名を挙げていません。2025年7月24日には米国主導の「Operation Checkmate」でサーバー4台・ドメイン9つが押収されました。

ニコニコへのサイバー攻撃の犯人は特定・逮捕されましたか？

KADOKAWAは2024年7月に、警察による捜査が始まっていると公表しました。ただし攻撃を実行した人物の特定や逮捕は、2026年10月20日時点で公表されていません。米司法省によるBlackSuitのインフラ押収の発表も、KADOKAWAの事件との関係には触れていません。漏洩情報の拡散者についても、逮捕や書類送検の公表は確認できませんでした。

ニコニコのサービスはなぜ2カ月も止まったのですか？

ドワンゴの報告によると、グループのデータセンターで相当数の仮想マシンが暗号化され、停止したサーバーを攻撃者が遠隔で再起動する動きまで観測されました。そのため電源と通信のケーブルを物理的に抜き、そのデータセンターのサーバーはすべて使えなくなりました。数百以上のシステムを、封鎖したサーバーからデータを救い出しながら作り直す必要があったためです。

ニコ動はいつ復旧し、今も運営されていますか？

2024年8月5日に動画・生放送などが再開し、9月以降に概ね全面的に復旧しました。2026年も運営は続いており、ドワンゴは2026年8月1日からニコニコプレミアムのクレジットカード払いの月額を790円から990円へ改定し、理由の一つにセキュリティ対策のコスト増を挙げたと報じられています。

関連記事

• ニコニコ動画は今も安全に使えるのか｜2024年の被害で漏洩が確認された範囲と利用者の備え
• ランサムウェアの起源と語源｜世界初の攻撃から名前の由来・歴史をたどる
• 大阪公立大学のランサムウェア被害：原因・復旧状況と臨時サイト、仮想化基盤のバックアップ
• EDRとは？EPP・XDRとの違いと検知の仕組み・導入判断を実装者向けに解説【2026年時点】
• ゼロトラストネットワークの7つの要件｜NIST SP 800-207の7原則と最小特権