El 8 de junio de 2024, la corporación Kadokawa y su plataforma de intercambio de videos Niconico sufrieron un masivo ciberataque de ransomware, perpetrado por el grupo de hackers vinculado a Rusia, BlackSuit. El incidente provocó la caída de servicios críticos y la filtración de una cantidad masiva de datos.
Antecedentes y Contexto
Niconico, lanzada en 2006 y propiedad de Dwango (una subsidiaria de Kadokawa), es una de las plataformas de video más visitadas de Japón. El ataque ocurrió en un momento de vulnerabilidad para la ciberseguridad japonesa, donde se ha criticado la falta de especialistas en TI en las empresas nacionales.
Días antes del ataque principal, el 3 de junio de 2024, Kadokawa Taiwán ya había reportado una filtración de información personal y corporativa, lo que sugirió una vulnerabilidad sistémica previa.
El Desarrollo del Ataque
Los problemas de conexión comenzaron alrededor de las 3:30 (JST) del 8 de junio de 2024. Para las 6:00, Dwango detuvo todos los servicios de Niconico para realizar labores de mantenimiento.
Tras una investigación iniciada el 9 de junio, Kadokawa confirmó el 14 de junio que el incidente fue un ataque de ransomware. Un detalle técnico notable fue que, a pesar de los intentos de apagado remoto de los servidores, los atacantes lograban reiniciarlos para seguir propagando el malware. Esto obligó a Kadokawa a desconectar físicamente los cables de alimentación y comunicación de los servidores.
El 27 de junio, el grupo BlackSuit publicó un comunicado en la dark web reclamando la responsabilidad y amenazando con publicar 1.5 terabytes de datos robados si no se pagaba un rescate antes del 1 de julio.
Impacto Operativo y Financiero
Las consecuencias fueron devastadoras para la empresa:
- Servicios: Niconico canceló toda su programación programada hasta finales de julio.
- Finanzas: El precio de las acciones de Kadokawa cayó más del 20% para el 3 de julio.
- Operaciones: La distribución de libros electrónicos y la tienda online Kadokawa Umbrella se vieron interrumpidas.
- Educación: El Instituto Educativo Kadokawa Dwango, una escuela secundaria privada, también fue afectado, aunque recuperó sus servicios el 10 de junio.
Los servicios oficiales de Niconico y el sitio web de Kadokawa volvieron a estar en línea el 5 de agosto.
Investigación y Resolución
El 6 de agosto, Kadokawa reveló que la causa probable del ataque fue un ataque de phishing. La investigación confirmó la filtración de datos de 254,241 personas, de las cuales 186,269 pertenecían al Instituto Educativo Kadokawa Dwango.
Finalmente, el 12 de diciembre de 2024, BlackSuit confirmó vía correo electrónico a los ejecutivos de Kadokawa que habían recibido un pago de 2.9 millones de dólares en criptomonedas por parte de la empresa.
