【セキュリティ事件簿#2023-432】ライトオン 当社サーバーに対する外部攻撃に関するお知らせとお詫び

この度、当社が業務上使用するサーバーに対して、ランサムウェアによる第三者からの外部攻撃を受けたことを確認しました。

本件につきましては、直ちに対策本部を設置のうえ、警察への通報および関係機関への相談を行いつつ、外部専門家を交えて原因の特定、被害情報の確認、情報流出の有無などの調査に取り組んでおります。

現在も攻撃の詳細について調査を継続しておりますが、現時点で判明している事実関係及び当社の対応について、詳細はコーポレートサイトにてご報告させていただいております。

お客様をはじめ関係者の皆様におかれましては、多大なるご心配とご迷惑をおかけすることになり、深くお詫び申し上げます。

【セキュリティ事件簿#2023-431】鎌倉市 鎌倉版フォルケホイスコーレ事業における個人情報の流出について


内容

令和5年10月20日、鎌倉版フォルケホイスコーレ事業運営業務として、業務を委託しているアカデミック・リソース・ガイド株式会社(以下「受託事業者」という。)が作成した事業への参加申込画面において、38名(申込者19名、緊急連絡先19名)の個人情報が閲覧可能の状態であったことが判明しました。

関係者の方々には、御心配、御迷惑をおかけいたしましたことを、深くお詫び申し上げます。

経過

令和5年10月20日午後1時30分、鎌倉版フォルケホイスコーレ事業のホームページを閲覧していた方から市に連絡があり、ホームページにリンクされた事業への参加申込画面において、参加申込者等の申込受付時の回答内容(個人情報を含む)が閲覧可能な状態となっていたことが判明しました。

閲覧可能となっていた情報は、本事業への参加申込を行う際に記載を求めた項目で、申込者の氏名、メールアドレス、生年月日、性別、住所、電話番号、緊急連絡先の氏名、緊急連絡先電話番号、緊急連絡先のご本人との続柄、健康上の留意点、プログラムへの質問内容の11項目でした。

対応

通報後、速やかに市から委託事業者に連絡し、参加申込画面の設定を変更し閲覧ができない状態にするとともに、令和5年10月20日から23日にかけて市及び受託事業者から38名の方に対し、謝罪及び今後の対応をお伝えいたしました。

再発防止対策

今回の事故の原因は、受託事業者において、Google社が提供するオンラインフォーム作成ツールを用いて参加申込画面を作成した際、回答の概要を表示しないよう設定するべきところを誤って「回答の概要を表示する」と設定していたことによるものです。同社からは、今後はオンラインフォーム作成にあたりダブルチェックを行い、再発防止の徹底に努める旨の報告を受けています。 また、市としても職員がオンラインフォームの確認を徹底することで再発防止に努めます。

【セキュリティ事件簿#2023-430】株式会社マイナビ 応募者管理ツールにおける個人情報漏洩に関するお詫び


当社が運営する就職情報サイト「マイナビ」に付随する、応募者管理システム「MIWS」において、企業が応募者データを取得する際に、別の企業の応募者データが取得されてしまう事象が発生しました。

対象となった企業を特定し、現在までにデータの削除を依頼し、了承をいただいております。また、不具合発生の原因となったシステムは改修を完了しており、再発防止策を講じております。

対象となった皆様には深くお詫び申し上げます。今後より一層、個人情報管理の厳格化をはかり、再発防止に向けて取り組んでまいります。

<概要>

【発生期間】

2022年2月17日~2023年9月13日

【対象となった方】

就職情報サイト「マイナビ2023」「マイナビ2024」「マイナビ2025」にご登録いただいた方のうち、当該サイト上で企業へ応募をされた一部の方 計1,662名
※対象となった方には、ご登録いただいたメールアドレス宛に個別でご案内をしております。

【対象となった企業】

本来は取得できないデータが取得できた企業 計15社

【個人情報の項目】

氏名、メールアドレス、住所、電話番号、所属学校、他
※企業が取得時に指定したデータ形式によって、個人情報の項目が異なります。

【原因】

企業が応募者データを応募者管理システムからCSV形式でダウンロードする際に、テンポラリデータ(処理中に一時的に保存するファイル)を作成し、その後にCSVファイルを生成するという処理を行っています。この処理中にミドルウェア障害などが発生し、他社のCSV出力処理の内容が混在しました。

【対応状況】

  • 2023年8月28日(月):特定1社においてシステム障害が発覚し、調査を開始
  • 2023年9月13日(水):事故原因の特定に関する調査を完了しシステムを修正
  • 2023年10月4日(水):追加処置としてCSVファイルの作成・取得後に行われる出力前(ダウンロード直前)に対象データが要求した企業のものであることを担保する処理を厳格化
  • 2023年10月11日(水):過去全件のダウンロードファイルのログを調査し、ごく稀にシステム障害が発生していたことが判明
  • 2023年10月25日(水):個人情報が閲覧された可能性のある方に、就職情報サイト「マイナビ」にご登録いただいたメールアドレス宛に連絡
なお、本来の応募企業へは応募情報が正しく送信されております。

改めて、対象となった皆様には深くお詫び申し上げます。本件の事態を重く受け止め、今後このような事がないよう、より一層、情報管理を徹底してまいります。

【搭乗記】ジェットスタージャパンGK208 関西国際空港(KIX)⇒成田空港(NRT)


 今年の飛び収めフライトはなんとLCC。

たまにはLCCに乗ってフルサービスキャリアのありがたみを味合わないといけないと思い、オプションを一切付けずに購入した。


大阪市内からバス代は1,600円するのと、成田から家まで同じくらいかかるので、トータル1万円弱といったところ。

それでも新幹線より安いので、罰ゲーム席(3列シートのまん中)になっても文句はない。

梅田からバスで行くことにして、早速空港行バス乗り場に着いたのだが、凄いことになっていた。

ざっくり60人くらい並んでいるんじゃなかろうか?


関空は閑散とした空港のイメージだったのだが、今は海外から観光客が押し寄せて大変になっているらしい。

保安検査場の通過に1.5時間かかる空港として海外で有名になりつつあるらしい。


出典:Crazy Security Lines At Osaka-Kansai Airport With 1.5 Hour+ Wait Periods

梅田から関空行きのバスは15分おきに出ているのが不幸中の幸いだった。激混みながらも次の次のバスに乗ることができた。

とはいえ、バスは補助席使うほどの満員御礼状態。


関空に到着し、国際線出発ロビーを見学してみたが、噂通りの凄い状況だった。

一方、国内線は今まで通りの閑散とした感じで一安心。

ちょっと早く着きすぎたのでフードコートでたこ焼きを食す。

東京では築地銀だこをよく食す。外側を油で少し揚げた感じに仕上げているので、外はカリカリなのが特徴。大阪のたこ焼きは外はふっくら、中はトロトロでトロトロ具合がとても印象的だった。


一休みしていざ搭乗ゲートへ。

JALと同じノリで保安検査場へ突撃したら、チェックインが必要とのことで指導を受ける。

チェックインカウンターに戻り、自動チェックインカウンターでの手続きを試みるが、手荷物預け入れ用の機械しか見当たらないので、有人カウンターに行く。

後から振り返るととてもラッキーだったのだが、何故か通路側の非常用座席が割り当てられた。

この時点ではよっぽど空席が出ているのかと思っていたのだが、実は満席の便だった。

手荷物にはシールを張り付けられることになっているらしく、同じ国内線の航空会社でも細かい違いを感じることができた。



搭乗券をゲットし、保安検査場に再突撃。無事搭乗ゲートまで進めることができた。

のんびり待っていると、搭乗時刻がやってくる。

通路側の席をゲットできたし、最後に搭乗すればいいと思っていたのだが、ジェットスターは「非常口座席=優先搭乗」ということになっているらしく、有難いことに真っ先に搭乗できてしまった。


非常口座席はJALと同じ感じで、シートポケットに注意事項のしおりが入っていて、CAさんに一読するように言われる。


ちなみに機材はLCCの定番A320


座席の前方に非常口の開け方が書いてあった。

非常口は乗客でも開けられるのか・・・

そういえばアシアナ航空で、乗客が飛行中に勝手に非常口ドアを開けて、修理費が約6億4000万ウォン(約6879万円)になるってニュースを見聞きしたので、ちょっと緊張が走る。

ちなみにCAさんの名札は下の名前だけになっていて、親しみやすさを打ち出している感じだった。

また、見回してみると若いCAさんが多い。

ピーチは正社員のCAがおらず、全員契約社員で、人生における一つの過程でCAをやっているような話を聞いた事があるが、ジェットスターも同じ感じなのだろうか?

そうこうしているうちに搭乗が完了し離陸。

外は暗いし、機内サービスは無いし、通路側なので着陸するまで何も撮るものが無い。

成田空港では沖止めとなった。

普通はバス移動を強いられるので嫌がる人が多いが、個人的には飛行機をカメラに収めるチャンスなのでテンションが上がる。


羽田空港だとモノレールに乗ってマイルを稼げるが、成田にはそういったものが無いのでちょっと残念。

ただ、JAL Wellness&Travelで空港チェックインキャンペーンをやっていたので、有難くマイルをゲットする。


かなり久しぶりにLCCに乗ったが、高速バスのノリで割り切れるなら全然ありかなと感じた。

【Playback of flight GK208 on 23 NOV 2023】

【セキュリティ事件簿#2023-429】インフルエンサーを利用した借入詐欺事件、京都府警が20代男性をタイーホ

 

京都府警のサイバー捜査課などは、2023年10月19日までに、福岡県に住む20代の男性を不正アクセス禁止法違反の疑いで逮捕しました。逮捕の背景には、インターネット上で影響力を持つ「インフルエンサー」を利用して消費者金融から不正に借り入れをする「借入詐欺」があります。

男性は、インフルエンサーに接近し、ポイントキャンペーンの宣伝を依頼。しかし、実際には正規サービスの担当者を装った別の人物で、インフルエンサーに対して、消費者金融サイトへの登録誘導を目的とした偽の広告を投稿するようにSNSアカウントを提示していました。この男性はさらに、キャンペーンに応募してきた女性に対して、消費者金融サイトへの登録を指示。女性から取得したIDやパスワードを利用して、現金20万円を借り入れるなどのなりすまし行為を働いた疑いが持たれています。警察は共犯者の可能性も視野に入れて慎重に調査を進めています。

この事件は、副業系詐欺と並び、借入詐欺の存在感が増していることを示しています。大手消費者金融のアイフルなどは、インフルエンサーの宣伝による金融犯罪に対する注意喚起を発しています。

SNSを通じて他人の情報を不正利用し、消費者金融から現金を盗む行為は、今回の逮捕事件を通じて一層の警戒が必要であることを示しています。

出典:借りてないのに債務者に!新たなサイバー犯罪「借入詐欺」で男性逮捕

【セキュリティ事件簿#2023-428】株式会社GENOVA 「NOMOCaオンライン診療」サービス一時停止のお知らせとお詫び

 

拝啓 平素は格別のお引き立てを賜り厚く御礼申し上げます。

弊社が提供するオンライン診療サービス「NOMOCaオンライン診療」が現在サービスを一時停止しておりますことをお知らせいたします。お客様には多大なご心配、ご迷惑をおかけし、深くお詫び申し上げます。

1.今回の経緯について

医院様より「NOMOCaオンライン診療」のシステムからメール通知が届かない旨の問い合わせを受け、開発会社に調査を依頼しましたところ、NOMOCaオンライン診療システムで利用しているクラウドサーバーより、大量のスパムメールの送信を行われていたことが判明しました。そのため、クラウドサーバーにてNOMOCaオンライン診療のサーバーがスパムであるとみなされ、メール送信機能が強制停止し、弊社の通知専用メールが使用不可となった結果、NOMOCaオンライン診療が利用できない状況に至りました。

2.情報流出について

今回の事象において、情報流出は一切ございません。ご利用者である各医院様のユーザーIDおよびパスワード、並びに各アカウントに登録されている患者様情報の個人情報等、サービスご利用者様の情報へはアクセスされていないことを確認取れております。

3.発覚日時

2023年10月16日 13時42分

4.発生原因

クラウドサーバーのログを確認しましたところ、弊社外注先の開発要員が利用するアカウントで、一連の不正操作が行われたアカウントの新規発行が確認されました。当該開発要員がこの操作を行った認識がないことから、この開発要員が利用するPCがウィルス、スパイウェア等へ感染し、発生した可能性が高いと想定しております。

5.再発防止対策

・システム開発側にて「多要素認証」を行っていないアカウントの根絶、および定点観測等の監視体制の強化

・コンソールへの IP アドレスによるアクセス制限

・外注先会社のウイルス・スパイウェア対策の徹底と履行状況の確認

6.お客様へのお願い事項

弊社サービスをご利用の医院様のユーザーID/パスワードの流出はございませんが、患者様が何らかのスパムメールを受け取り、万一、医院様へお問い合わせがあった際には、弊社のサポートセンターへのご連絡を促して頂きますようお願い致します。

リリース文アーカイブ

【セキュリティ事件簿#2023-427】京都精華大学 個人情報が閲覧できる状態になっていたことに関するご報告とお詫び


この度、在学生の学費納入に関する手続きにおきまして、一部申請者の個人情報が申請フォーム上で閲覧できる状態になっていたことが判明しました。原因は手続きに用いたGoogleフォームの設定を誤ったことによるものです。関係者の方々には、深くお詫び申し上げます。
 
閲覧された可能性がある申請情報の件数:134件(134名分)
期間:2023年9月1日(金)15時頃 ~ 2023年10月13日(金)17時30分頃
閲覧可能であった個人情報:申請者氏名、学籍番号、学生氏名、学費支弁者氏名
(その他、申請者の属性等について統計データのみの表示が閲覧可能状態でした)

個人情報を閲覧可能であったのは、当該フォームでの申請を完了させた134名の方であり、これ以外に外部から当該の個人情報にアクセスできる状態ではありませんでした。
当該フォームを利用された対象の皆様には、 10月19日に「個人情報が閲覧できる状態になっていたことに関するご報告とお詫び」という文書をお送りいたしました。

今後はこのような事態を起こさないよう、諸手続きに利用するフォームの公開時におけるテスト確認とチェック体制の強化をはかり、再発防止に努めてまいります。

【セキュリティ事件簿#2023-306】セイコーグループ株式会社 当社サーバに対する不正アクセスに関するお知らせ(第3報)

 

既報〔8月10 日付重要なお知らせ(※1)及び 8月22 日付重要なお知らせ(※2)〕の通り、当社は、当社の一部のサーバに対して、第三者によるランサムウェア攻撃の不正アクセスを受けました。本件につきまして、当社は、対策本部を設置のうえ、外部専門家等の助言を受けながら、原因特定、被害状況の確認等の調査を行い、システム復旧を進めております。引き続き、外部専門家等と連携のうえ、対応を進めて参る所存ですが、現時点で判明している内容につきまして、下記のとおりお知らせいたします。

※1:2023年8月10日付重要なお知らせ「当社サーバへの不正アクセスについて」

https://www.seiko.co.jp/information/202308101100.html

※2:2023年8月22日付重要なお知らせ「当社サーバへの不正アクセスによる情報漏えいについて」

https://www.seiko.co.jp/information/202308221300.html

1.発覚の経緯及びこれまでの対応状況

当社は、2023 年 7 月 28 日、当社の一部のサーバに対する不正アクセスを検知しました。当社は、直ちにデータセンター内にある当社のサーバに対して緊急点検を行い、セキュリティ専門会社に本件不正アクセスの対応に関する支援を依頼しました。その後、当社は、本件不正アクセスはランサムウェア攻撃であったことを把握し、対策本部を設置して被害拡大防止の為、複数の外部専門家への本件不正アクセスへの対応支援を依頼するとともに、被害の全容解明及びシステム復旧等の対応を進めました。また、個人情報保護委員会への報告及び警察への相談も行っております。

当社及びセキュリティ専門会社が入手した情報を精査したところ、下記のとおり、当社、セイコーウオッチ株式会社及びセイコーインスツル株式会社が保有する約 60,000 件の個人データが外部に漏えいしたことを確認しております。

なお、当社は本件不正アクセスを受けた後、外部との通信を遮断し、サーバや各端末の不正な挙動を検知する EDR(Endpoint Detection and Response)の全サーバ及び全 PC への導入を早急に進め、多要素認証等により不正アクセスを防止する措置を講じております。

2. 漏えいを確認した個人データ

  • セイコーウオッチ株式会社のお客様の氏名、住所、電話番号、メールアドレス等(クレジットカード情報は含まれておりません)

  • 当社、セイコーウオッチ株式会社及びセイコーインスツル株式会社の取引先ご担当者の氏名、会社名、役職名、会社住所、会社電話番号、会社メールアドレス等

  • 当社及びセイコーウオッチ株式会社の採用応募者の氏名、住所、電話番号、メールアドレス、学歴等

  • 当社及び当社グループ会社の従業員及び退職者の氏名、人事情報、メールアドレス等

3. 今後の対応

当社は、引き続き、外部専門家等の第三者の助言のもと、①IT 機器の脆弱性調査、②情報漏えい範囲の特定、③原因の追究等、本件不正アクセス被害の全容解明を行うとともに、④セキュリティ強化及び監視、⑤IT 運営や体制の見直し、⑥全グループでのガバナンスの強化、⑦BCP(事業継続計画)の見直し、⑧第三者評価の実施等を行い、再発防止に向けた取り組みを進めて参ります。

関係する皆さまには個別に対応を行っておりますが、今後も、新たな漏えいの事実が判明した場合には、可能な限り、追加で個別に対応を進めて参ります。関係する皆さまに多大なるご心配とご迷惑をお掛けすることとなりまして、深くお詫び申し上げます。

リリース文アーカイブ

【セキュリティ事件簿#2023-389】富士ソフト 当社の社内システムに対する不正アクセスについて(最終報) 

 

9月27日からご報告しています当社社内システムへの不正アクセスに関しまして、第三者機関に協力いただきながら社内にて調査・緊急対策を進めるとともに、随時、関係機関やお客様に対してご報告を行ってまいりました。この度、調査が完了し、調査結果を踏まえて今回の不正アクセスの経緯、原因、再発防止策を下記の通りご報告いたします。

経緯

調査の結果、今回の不正アクセスに関する一連の経緯が判明しました。

  1. 攻撃者により一部社員のアカウント/パスワード情報が盗まれました。これを起点に以下の2つの攻撃を受けました。

  2. 攻撃者により6名のアカウント/パスワードが利用されて社外から社内端末に侵入され、これを踏み台に、クラウド上に格納していた20ファイルが閲覧またはダウンロードされました。

  3. 攻撃者によりパートナー会社向け教育サイトへ侵入され、バックドア設置を試行されました。

ただし、速やかに当社SOCにて検知し、CSIRTが遮断したことにより被害を最小限に留めることができました。

影響範囲

今回の不正アクセスにより影響を受けた範囲は、以下の通りです。

  • 社員6名のアカウント/パスワードの悪用

  • 社員3名の端末への侵害

  • クラウド上に格納されていた当社作成の20ファイルの攻撃者による閲覧またはダウンロード

  • パートナー会社向け教育サイトへの侵害

上記以外の端末、クラウドリソース、ファイルサーバ、お客様環境、当社標準開発環境、社内システム等については、影響はありませんでした。攻撃者に閲覧またはダウンロードされた20ファイルについては、全てが当社の作業上の資料であり、お客様から受領した資料やお客様に納品する資料は含まれておりません。

原因

当社では、社外からのアクセスは多層防御を行っていますが、一部対応していないシステムが存在しました。また、一部の社員が攻撃者に推測可能なパスワードを使用していました。この二点が重なったことから攻撃者による不正アクセスを発生させてしまいました。

再発防止策

今回の不正アクセスの発見を受け、暫定対処として、多層防御に対応していないシステムへの社外からのアクセスを停止するとともに、全社員のパスワードを強度が高いものへ変更しました。

また、侵害された端末・システムについては遮断・隔離の上、分析を行っており、利用再開に向けては対策を講じて再構築を行います。さらなる対処として、社外からアクセスされる全てのシステムへの多層防御の徹底、および攻撃のモニタリング強化を継続的に図っていきます。

今回の不正アクセスで用いられた攻撃手法の詳細については、これを模倣した攻撃による被害の発生を防ぐために公開を控えさせていただきますが、当社が加入するセキュリティ団体等を通じてセキュリティ関係者に共有を図ってまいります。当社の経験を通し、世の中の不正アクセスからの防衛とセキュリティ強化に貢献してまいります。

この度は、当社社内システムへの不正アクセスに関しまして、関係する皆様にご迷惑とご心配をおかけいたしましたことを心よりお詫び申し上げます。今後、同様の事態を起こさないよう、再発防止に努めるとともに、不正アクセスなどの犯罪行為には厳正に対処してまいります。

リリース文アーカイブ

【セキュリティ事件簿#2023-426】公立甲賀病院における個人情報を含む USB メモリの紛失について


令和 5 年 10 月 20 日(金)午前、当院外科医師が所持していた個人情報入り USB メモリが紛失したことが判明しました。このたびの事案が発生しましたことにつきまして、患者さん並びに関係者の皆様に多大なご迷惑をおかけし、市民の皆様の信頼を損ねることになったことに対しまして、深くお詫び申しあげますとともに、個人情報取扱いの仕組みの見直しを含め再発防止に努めてまいります。

1 概要と事実経過

令和 5 年 10 月 20 日(金)午前、外科医師が所持していた個人情報入り USB メモリを院内にて紛失したとの報告が入りました。すぐに本人に聞き取りを行ったところ、10 月 17 日(火)に本人が手術着のポケットに USB メモリを入れたところまでは確認ができました
本人が 19 日(木)に USB メモリのデータを自己研鑽のために使用しようとしたところ、ないことが発覚し、身辺をくまなく探すも発見できませんでした。20 日(金)に本人から外科主任部長を通じて、院長へ報告がされました。

その後、院内において捜索を行いましたが発見には至りませんでした。

23 日(月)17 時時点で情報が漏えいした事実は確認していません。

2 紛失した USB メモリに含まれる個人情報

腹腔鏡手術の録画映像 5 名分(動画開始時には患者さんの氏名と生年月日の表記あり)

3 判明後の対応

令和 5 年 10 月 23 日(月)に、USB メモリに含まれる個人情報の対象となる 5 名の患者さんに謝罪及び経過説明を行いました。

4 原因

手術着に入れた USB メモリが、いつの間にか紛失していたことが直接の原因となります。

5 再発防止について

当院といたしましては、これまでも職員に対して個人情報の管理を指導していたにもかかわらず、このような事案を起こしたことについて深く受け止めております。

すぐさま、再発防止策として動画から個人の特定ができないよう対策を講じました。また、パスワード管理のできる USB メモリの運用整備を視野にいれ、個人情報を適切に取扱いをすること及び個人情報保護に関する規程を点検する等、管理の徹底を指導してまいります。

また、院内で今回の事案を共有するとともに注意喚起を図り、個人情報の管理の徹底と、さらなる意識の向上について指導し、再発防止に努めてまいります。

【セキュリティ事件簿#2023-425】株式会社東名 お客様情報の一部流出の可能性に関するお知らせとお詫び


この度、当社サーバーへの第三者による不正アクセスを受け、お客様情報の一部流出が発生した可能性があることが判明いたしました。

本件について、現在対策本部を設置し、外部専門家の助言を受けながら、影響の範囲等の調査を進めております。また、警察などの関係機関への相談を開始しております。

被害の全容を把握するにはいましばらく時間を要する見込みですが、現時点で判明している内容について、下記の通りご報告いたします。

お客様、関係先の皆様に多大なるご心配とご迷惑をおかけすることに至りましたこと、深くお詫び申し上げます。今後、同様の事象が発生しないよう、より一層のセキュリティ強化と安全性の確保に努めてまいります。

経緯

2023年 10 月 18 日(水)、当社サーバーへの第三者による不正アクセスを受け、お客様情報の一部流出が発生した可能性があることが判明いたしました。
直ちに、外部専門家の協力のもと調査を開始し、迅速に対応を進めるべく全社対策本部を立ち上げました。

現時点で流出した可能性のある情報

・会社名、氏名
・メールアドレス
・郵便番号、住所
・電話番号
・請求情報(請求金額、使用量など)
※マイナンバー(個人番号)、クレジットカード情報は含まれてございません

関係機関への報告

個人情報保護委員会及び関係省庁への報告を行うと共に、警察への報告・相談を行い、助言を受けて対応をしております。

現在の状況

現時点で当社システムへの被害は確認されておらず、通常通り稼働しております。

今後の対応

お客様情報の一部流出につきましては、引き続き外部専門家や警察と連携のうえ、皆様へのご迷惑を最小限に止めるべく取り組むと共に、個人情報取り扱い業務における管理体制の厳重化を行うことに加え、個人情報委託先に安全管理措置の徹底を依頼するなどして、再発防止に努めてまいります。

業績への影響

本件が当社グループの今期の業績予想に及ぼす影響については現在精査中であり、修正の必要があると判断した場合には速やかに公表いたします。

【セキュリティ事件簿#2023-416】沖縄県 NTTビジネスソリューションズ元派遣社員による個人情報の不正流出について

1 概要 

沖縄県が、自動車税に係るコールセンター業務を委託した株式会社NTTマーケティングアクトProCXにおいて、同社が利用するコールセンターシステムの保守業者であるNTTビジネスソリューションズ株式会社の元派遣社員が、不正に個人情報を持ち出し流出させていたことが、NTTビジネスソリューションズ株式会社等からの報告により判明しました。

現時点(令和5年10月18日)では、沖縄県分の個人情報については、第三者への流出は確認できておりませんが、県民の皆様には、不審な電話や訪問者等にご注意くださるようお願いいたします。

2 漏えいした可能性のある個人情報

自動車税に関する平成25、26年度の納税者情報 約6.5万人分※

対象となる納税者情報:氏名、住所、電話番号、生年月日

※ 人数については、NTTマーケティングアクトProCX社等の社内調査で得られた電話番号データと、本県が所有する情報を照合することにより、確定する予定。

3 対応

  1. 個人情報保護委員会への報告及び本人への通知

  2. NTTマーケティングアクトProCX社等が設置する問い合わせ窓口の周知(下記、4 相談窓口 参照。)

  3. 県税務課等での問い合わせ対応

  4. 県税情報を扱う委託業者への事案共有及び個人情報の管理体制の点検

リリース文アーカイブ

【セキュリティ事件簿#2023-424】東京大学大学院総合文化研究科・教養学部への不正アクセスによる情報流出について


東京大学大学院総合文化研究科・教養学部(以下、「当該部局」という)が保有するPCが、標的型攻撃メールによりマルウェアに感染し、調査の結果、PC内の情報窃取の形跡が発見され、情報漏洩した可能性があることが判明いたしました。

上記判明後、漏洩した可能性のある情報の調査を慎重に進めてまいりました。調査結果の概要は以下のとおりです。 ご関係の皆さまには多大なご迷惑とご心配をお掛けすることになり、深くお詫び申し上げます。

本学では、今回の事態を重く受け止め、より一層、情報管理体制の強化や情報セキュリティ対策の適切な管理に努めて参ります。

1.本件発生の経緯

2023年1月18日、標的型攻撃メールの事案を調査していた専門機関からの指摘を受け、当該部局が保有するPC(当該部局所属の教員1名(以下、「利用者」という)が在宅勤務で使用していたもの)が2022年7月19日に受信した標的型攻撃メールによりマルウェアに感染していたことが発覚いたしました。

感染発覚後、当該PCを隔離保全し、同機関ならびに別の専門機関により、PC内の情報漏洩等に関する調査を行いました。調査の結果、2023年5月23日にPC内の情報窃取の形跡が発見され、以下の情報が漏洩した可能性があることが判明いたしました。

2.漏洩した可能性のある情報

(1) 本学教職員、学生、卒業生等の情報(氏名、所属、身分、学年、教職員番号、学生証番号、生年月日、性別、住所、電話番号、メールアドレス、学歴、職歴等のうち1つ以上の情報が含まれるもの):2,409件

(2) 利用者が在籍する学会会員、学会主催イベント等参加者の情報(氏名、所属、身分、生年月日、性別、住所、電話番号、メールアドレス、学歴・職歴等のうち1つ以上の情報が含まれるもの):1,082件

(3) 利用者が他大学で非常勤講師等として担当する授業の受講学生の情報(氏名、所属・学年、学生証番号、生年月日、性別、住所、電話番号、メールアドレス等のうち1つ以上の情報が含まれるもの):796件

(4) 過去の当該部局の学生成績・評価、過去の試験問題:24件

(5) 当該部局所属教員の評価等:30件

3.現在の対応、再発防止に向けた取組み

警察に捜査を依頼すると共に、漏洩した可能性のある情報について、メールアドレスを確認できた方々に対して、当該部局より、謝罪及び経緯説明の連絡を始めており、本件により被害が発生した場合はご連絡いただくよう案内しておりますが、現時点では二次的被害等の情報は確認されておりません。

本学では、情報漏洩したことと併せ、容易にマルウェアに感染したことを極めて重大な事態と認識し、個人情報の取扱いを含む情報セキュリティの確保に関して、本学情報セキュリティ・ポリシーに沿った対応を確実に実施できるよう、全構成員への指導、徹底をさらに強化し、対策に努めてまいります。

リリース文アーカイブ

【セキュリティ事件簿#2023-423】国立科学博物館 電子メール関連システムへの不正アクセスに伴う個人情報等漏えいのおそれについて

 

国立科学博物館では、個人情報保護に関する法律等に則り、個人情報等の適切な管理を行ってまいりましたが、この度、当館の利用している電子メール関連システムへの不正アクセスがあり、個人情報を含む電子メールデータ(電子メールアドレス及び電子メールの内容)の一部が外部へ漏えいしたおそれがあることが確認されました。これはメーカーにおいて確認できていなかった電子メール関連システムに係る機器の脆弱性を原因とするものであると考えられ、同様の事案が国外においても確認されています。

漏えいしたおそれのある方の把握が困難なため、このホームページでのお知らせをもって、ご本人への通知に代えさせていただきます。特に「3.二次被害又はそのおそれの有無及びその内容」についてご確認いただけますようお願い申し上げます。

ご心配、ご迷惑をおかけしましたことをお詫び申し上げます。

1.経緯

 5月24日 

メーカーから脆弱性及び修正パッチに関するメール連絡

 6月21日 

不正通信のおそれのある痕跡を発見

 7月6日、14日 

該当機器の交換を実施

 8月21日 

交換により取り外した機器を調査した結果、マルウェアを発見し、不正通信が当該機器の脆弱性によるものと判断

2.漏えいのおそれのある主な情報

 以下の期間に当館(@kahaku.go.jp)へ電子メールを送信された方の電子メールデータ(電子メールアドレス及び電子メールの内容)

  • 令和 4 年 10 月上旬~令和 5 年 5 月下旬

3.二次被害又はそのおそれの有無及びその内容

現時点で、漏えいの事実や情報の悪用等による二次被害は確認されていませんが、念のた
め、不審な連絡、訪問者等にはご注意いただきますようお願いいたします。

4.再発防止

現在は、セキュリティ対策を強化した電子メール関連システムの機器へ更新を行っており、今後もセキュリティ関係機関等とも連携しながら、一層の状況把握に努めてまいります。

リリース文アーカイブ

【宿泊記】ホリデイ イン エクスプレス 大阪シティセンター御堂筋(Holiday Inn Express Osaka City Centre - Midosuji)

 

大阪1泊旅行をすることになり、ホリデイ イン エクスプレスに宿泊した。

旅行の経緯はこちらの搭乗記を参照。

最寄り駅は大阪メトロの本町駅で、駅から徒歩4分の場所にある。

本町駅は御堂筋線、中央線、四つ葉線の3線が乗り入れている。

ちなみに大阪メトロは御堂筋線や堺筋線など、筋肉隆々な路線が多い。


ホテル入口。レセプションは3階という、ちょっと変わった入り口になっている。

3階のレセプションでチェックイン。ここで、史上初の事態に遭遇する。

なんでも翌日に「阪神タイガース」ってやつと「オリックスバッファローズ」ってやつがホテルの前の通りでパレードをするらしく、稼働が高いのでレイトチェックアウトができないというのである。


レイトチェックアウトで14時までのんびり過ごそうと思っていたのに、11時に追い出される羽目になってしまった。


ま、レイトチェックアウトは保証ではないし、できない理由も明らかになっているので諦めるしかない。

しかし、エライ日にエライ所に泊まってしまった。

この勢いのまま宝くじでも買ったらひょっとしてひょっとするだろうか?

とりあえずポジティブにとらえてみることにする。

カードキーのケースはプラチナエリート専用になっていた。

英語だとあまり違和感ないのだが、直訳しているせいか、何故か安っぽく感じる。表面的に多言語化の対応を行っているのだろうか?


ちなみにこちらは翌朝貰ったコーヒーカップ。

原文は「MUST HAVE COFFEE」なのだが、「ぜったいマストなコーヒー。」になると、やはり安っぽく感じてしまう。


中途半端な日本語にするくらいなら、英語のままにしておいてほしいと思ってしまった。

若干話がそれてしまったが、新しいホテルのようで、設備はきれいだった。

中途半端な日本語が残念だったが、他のホリデイ イン エクスプレスと比較してよかったのは、アメニティが予め部屋に配置されている点。

海外でこれまで宿泊してきたホリデイ イン エクスプレスは、基本アメニティは置いてなく、フロントデスクに言えば無料でくれるスタイルとなっている。


ちなみにホテルの最上階は20階で、今回14階の部屋を割り当ててもらった。

アップグレードされたかは分からないが、翌朝パレードに群がる群衆が部屋から見えたので、いい部屋を割り当ててもらえたものと信じている。


ちなみに隣にお寺があるようで、朝は有難い鐘の音で目を覚ますことができる。


朝食は7時~10時まで。7:30~8:30が混むということだったので、8:30過ぎに行ったが、10時頃までずっと混雑していた。


IHGという国際ホテルチェーンということもあってか、イメージ的に宿泊客は2/3が外国人、朝食会場のホテルスタッフは1/2が外国人という感じだった。

外国人スタッフも東南アジア系、東アジア系、欧米系とバランスも良かった。

無料の朝食なので、種類が少ないとか文句は言いません(笑)

ちなみにクロワッサンはとても美味しかったです。


食後にコーヒーを貰って部屋で一休みした後、チェックアウトします。


ホテルを出ると大変なことになっていました。


でも動線についてはしっかり設計してくれていた様で、地下鉄の駅までスムーズに移動することができました。

パレード準備関係者の方々に感謝です。

え、パレードは見なかったのかって?

はい。興味ないので見ません。

人混みは苦手なのでさっさと退散します。

一口にホリデイ イン エクスプレスといっても、国ごとにいろいろ違いがあって面白かった。

【セキュリティ事件簿#2023-422】株式会社モバイルファクトリー Suishow株式会社に関する報道について

 

2023年10月21日付けで、NHKより、株式会社モバイルファクトリー(本社:東京都品川区、代表取締役:宮嶌 裕二)の100%出資子会社であるSuishow株式会社(本社:東京都渋谷区、代表取締役:片岡 夏輝)の提供するサービス「NauNau」において、一時、少なくとも200万人以上のユーザーの位置情報やチャットなどが外部から閲覧可能な状態が生じていたとの報道がありました。関係者の皆様へ多大なるご迷惑とご心配をお掛けしていることを、深くお詫び申し上げます。現在、報道内容について、Suishow株式会社で個人情報漏洩の可能性を含めた事実確認を行っております。

なお、「NauNau」につきましては、現在、サービス提供を一時停止しており、第三者機関も交えた調査および対策が完了し、ユーザーに安心して利用いただけることが確認出来次第、再開の予定でおります。

また、グループ全体で、セキュリティと個人情報を含むデータ管理の強化を徹底してまいります。

今後、公表すべき内容が発生した場合には速やかに開示いたします。

リリース文アーカイブ

【セキュリティ事件簿#2023-328】株式会社イトーキ 当社グループ会社ホームページに対する不正アクセスについて

 

2023 年8月 23 日付「当社グループ会社ホームページに対する不正アクセスについて」にて開示いたしましたとおり、当社グループ会社(株式会社イトーキエンジニアリングサービス)のホームページに対する不正アクセス(以下「本件」といいます。)により当該ホームページの閲覧障害が発生し、これを経由した各種お問い合わせが停止致しました。

この度、外部調査機関による本件についての調査を実施し、その結果等に基づき個人情報保護委員会に確報を提出いたしましたので、下記のとおりお知らせいたします。

関係者の皆様には多大なるご迷惑とご心配をお掛けいたしましたこと、深くお詫び申し上げます。

1.本件の概要等

2023 年 8月 21 日、当該グループ会社のホームページに閲覧障害が発生し、各種お問い合わせが停止いたしました。

外部調査機関による調査結果によると、不正アクセス者による不審なサインイン及び操作の痕跡が確認されており、異常の検知によりアカウントが停止となり、Web サーバも併せて停止されたと考えられるとのことです。加えて、Web サーバへの不審なログインやファイル作成等の侵入痕跡、探索の痕跡、データ送信の痕跡等は確認されず、情報漏洩の痕跡は確認できなかったとの報告を受けております。

また、現時点では、本件によって当該グループ会社が保有する個人情報を含む各種情報(以下「当該情報」といいます。)が外部へ流出した事実や、不正アクセス者による当該情報の公開は確認されておりません。

2.今後の対応
上記のとおり、現時点で当該グループ会社が保有する個人情報について明確な情報漏洩の痕跡は確認できておらず、本件に起因する個人情報の不正利用等の二次被害に関する報告は受けておりません。一方で、約2万件の個人情報の漏洩の可能性を完全には否定することが難しいため、該当の方に対しては、本日以降順次、個別にご案内申し上げる予定です。

また、当該ホームページにつきましては、セキュリティを強化の上、早急に復旧できるよう作業を進めております。

当社グループは、今回の事態を厳粛かつ真摯に受け止め、本調査結果や外部の専門家の助言をもとに、さらなるセキュリティの強化に取り組んでまいります。

なお、本件による業績予想の変更はありません。

【セキュリティ事件簿#2023-418】三重県 県立高校における個人情報の漏洩のおそれのある事案の判明について

 

カシオ計算機株式会社の提供するICT教育アプリへの不正アクセスにより、同アプリに登録されている個人情報が漏洩した事案について、事業者より、本県の県立学校等の生徒・教員が含まれているおそれがあるとの報告がありました。10月23日時点で判明している内容は下記のとおりです。

1 本県における対象件数

 県立高校29校・県教育委員会事務局の氏名4,142件、メールアドレス1,134件

2 ICT教育アプリ

 カシオ計算機株式会社

 ICT教育アプリ「ClassPad.net(クラスパッド ドット ネット)」

※不正アクセスがあったのは開発環境で、システム停止など利用者への直接の影響はなかったと事業者より報告を受けています。

3 今後の対応等

・事業者に対して、引き続き漏洩状況の調査を行うとともに、調査結果の報告を求めています。

・個人情報の漏洩の可能性のある県立高校では、生徒に状況を伝えるとともに、不審なメールが届いた場合には、学校に連絡するように周知します。

・現時点では県立高校から被害等の報告はありません。

(参考)事業者の公表内容

 10月18日 カシオ計算機株式会社

 「不正アクセスによる個人情報漏えいのお詫びとご報告」

・対象件数

 <国内>個人と1,108の教育機関の計91,921件

 <海外>148の国と地域のお客様の計35,049件

・漏洩したおそれのある項目

 1.氏名 2.メールアドレス 3.国/地域 4.学校名・学年・学級名・出席番号(学籍番号)

 5.購買に関する情報( 注文明細 、決済手段、ライセンスコードなど)

   ※クレジットカード情報は含まれない

 6.本サービスの利用履歴やニックネームなど

リリース文アーカイブ

【セキュリティ事件簿#2023-330】株式会社スプリックス 当社子会社におけるランサムウェア攻撃に関する調査結果のご報告

 

2023 年8月 23 日付「当社子会社におけるランサムウェア被害の発生について」にて開示いたしましたとおり、当社子会社の株式会社湘南ゼミナールの一部情報システムに対する外部攻撃(以下「本件」といいます。)について公表いたしました。

このたび、外部専門機関によるフォレンジック調査(※)を実施しましたが、本件によって株式会社湘南ゼミナールが保有する個人情報を含む各種情報が外部へ流出した事実は確認されませんでした。また、当該調査結果等に基づき個人情報保護委員会に確報を提出いたしました。

※フォレンジック調査とは、デジタル機器の記憶装置から証拠となるデータを抽出し、サーバーや通信機器などに

蓄積されたログ等の証跡情報から発生事象を明らかにする手段や技術のことをいいます。

当社グループでは、これまでも当社グループの情報システムへの不正アクセスを防止するための措置を講じるとともに情報の適切な管理に努めてまいりましたが、このたびの事態を真摯に受け止め、外部の専門家と検討の上、今後も継続的にセキュリティの強化を図ってまいります。

関係者の皆様には多大なご迷惑とご心配をおかけする事態となりましたことを深くお詫び申し上げます。

 なお、本件が当社グループの業績に及ぼす影響については軽微と見込んでおります。

リリース文アーカイブ

【セキュリティ事件簿#2023-421】バカラパシフィック株式会社 不正アクセスに関するお知らせ

 

さて、この度、弊社サーバーへの不正アクセスにより、オンラインショップをはじめ、当社の活動が一部制限されております。

現段階では、お客様の個人情報や機密情報が漏洩したという事実は確認されておりませんが、速やかに、関係機関や外部専門家との連携のもと、復旧への対応を進めつつ、不正アクセスの原因特定・被害の全容解明・再発防止策の策定に取り組んでおります。

お客様には、多大なるご迷惑及びご心配をおかけしますことを深くお詫び申し上げます。

リリース文アーカイブ

【搭乗記】日本航空JL127 羽田空港(HND)⇒大阪国際空港(ITM)

 

元々2023年のフライト計画で、ワンワールド特典航空券を活用して11月にクアラルンプールを経由してバンコクに行く予定だったのだが、これを2024年4月に移すことにした。

特典航空券的には関西国際空港から出発となり、別途現在の自宅のある東京から大阪へはAviosを使って手配した。

ワンワールド特典航空券の区間である関空~バンコク間は問題なくスケジュール変更が完了した。

問題はAviosを使った東京~大阪間で、以前はAviosを使った特典航空券は直前まで手数料無料でキャンセルできたのだが、最近はキャンセルするとAviosが返ってこなくなってしまったため、放棄するか、別の往路の航空券をくっつけて旅に出るか悩んだ。

結果として、せっかくの航空券なので、有難く利用させていただき、LCCで往路を手配して大阪に串揚げを食べに行くことに決定した。

いつもの通りモノレールで羽田空港に到着し、マイルをゲットする。


その後手荷物検査場を通過してラウンジでのんびりしていると、35分遅延のアナウンスが。


最近羽田発の便で遅延にあたることが多い気がする。

前回の徳島行きも遅延だったんだよね。

でも悪いことばかりでは無く、今回は特別塗装機に搭乗できる模様。


時間になり、搭乗ゲートに行くとすごい行列。

ただの行列じゃありません、上級会員様の行列です。

奥の列がJGC会員で、手前の列がJGCプレミアやダイヤ様の列です。

JALはJGC(JALグローバルクラブ)の入会基準を2024年より改定するため、これがMAXになると思われる。


早速搭乗。特別塗装機はB777だと思い込んでいましたが、B767でした。


離陸すると早速ドリンクサービス開始。飛行時間が短いということで、コールドドリンクのみのサービスとなりました。

特別塗装機なので、ドリンクのカップも特別です。


そうこうするうちに、国際線が無い、大阪国際空港(伊丹)に到着。


そういえば機内誌で伊丹からの空港バスがJAL Maasに対応しているという記事を見て、早速梅田行きのバスのチケットをJAL Maasで買ってみた。


ところが、空港から梅田行きのバスは1時間に3本しかなく、バス停に到着して3分前にバスは出発してしまっていた。

Google Mapで調べてみると、モノレールと阪急線を使えばもっと早く行けることが分かったため、キャンセルした。

キャンセル料100円がかかったが、勉強代ということで。

(昔京都に住んでいたことがあって、伊丹~京都間はバス一択だったので、その思考が残っていた。大阪市内の移動であればバスにこだわる必要は全くなかった。。。)

あと、今回特別塗装機に搭乗したので、記念に搭乗証明を貰った。


JALの特別塗装機に遭遇(搭乗)できたのはこれで人生2回目。ありがたいことです。

ありがたいついでに、JAL Wellness&Travelで開催中のチェックイン・チャレンジで、50マイルも頂きました。感謝x2


串揚げ屋さんはJAL特約店のお店を予約しておいた。

多少バッファをもって予約しておいたものの、フライト遅延でバッファを食い尽くした上に30分遅刻となった。

お店から電話がかかってきたが、予約キャンセルされることもなく、無事串揚げを堪能することができた。


心配して電話してくれた店員さんに感謝です。そして美味しい串揚げに乾杯!


【Playback of flight JL127 on 22 NOV 2023】