【セキュリティ事件簿#2024-041】住友重機械工業 当社サーバーへの不正アクセスについて


このたび、当社グループの一部サーバーに対する不正アクセスが発生したことをお知らせいたします。

本件につきまして、外部専門家の助言を受けながら、影響範囲等の調査と早期復旧に向け全力で取り組んでいます。被害の全容、原因の把握には、今しばらく時間を要する見込みですが、現時点で判明している内容について、下記のとおりご報告いたします。
お取引先様、関係先の皆様に多大なるご心配とご迷惑をおかけすることになり、深くお詫び申し上げます。

■経緯

2024 年2月4日(日)に当社グループのサーバーに不正アクセスが発生していることを確認いたしました。直ちに、外部専門家の協力のもと調査を開始し、復旧作業に取り組んでいます。

■現在の状況と今後の対応

今回の被害に対応するため、当社グループの全てのサーバー、パソコンのスキャニングを行い、隔離が必要なサーバーは社内ネットワークから、直ちに切り離しています。また、情報漏洩につきましては、外部専門家の協力を得ながら現在調査を進めています。詳しい状況が分かり次第、改めてご報告するとともに、皆様へのご迷惑を最小限に止めるべく取り組んでまいります。

なお、本件が当社の業績予想に及ぼす影響については精査中です。今後、業績に重大な影響があると判断した場合は速やかに公表いたします。

【セキュリティ事件簿#2024-039】北海道大病院 メールアカウントの不正使用によるフィッシングメールの送信について


令和5年12月27日、北海道大学病院の職員が個人の業務用として管理しているメールアカウントが第三者により不正使用され、約3万件の外部メールアドレス宛にフィッシングメールが送信されたことが判明しました。

当該メールアカウントについては、事案の発見後、速やかにパスワードを変更し、メールの送信を停止いたしましたが、メールを受信された方々に多大なご迷惑をおかけしましたことを深くお詫び申し上げます。

なお、調査の結果、当該アカウントがメール送信のみに悪用されたことを確認済であり、第三者によるメール閲覧など、個人情報漏洩の可能性はございません。

本件は、リスト型攻撃によりメールアカウントが不正使用されたとみられており、本院といたしましては今回の事態を重く受け止め、アカウントやパスワード等の適切な管理について再度周知徹底を図るとともに、アクセスログの監視等の強化により一層の情報セキュリティ対策の強化に努めてまいります。

【セキュリティ事件簿#2024-038】環境保全株式会社 メールアカウントへの不正アクセスに関するお詫びと注意喚起のお知らせ


平素は格別のご高配を賜り、厚く御礼申し上げます。

当社は、2024 年1月 21 日、当社従業員1名のメールアカウントが、第三者による不正アクセス攻撃を受ける事象が発生し、当該メールアドレスが不正利用され、同日 7:23~10:37 の間に、不特定多数の方に不審メールが送信された事実を確認いたしました。

これらのメールは、当社の情報漏えいによるものではなく、また、当社の社員が送信したものではございません。メールを受信された皆様には多大なご迷惑をお掛けしましたことを、深くお詫び申し上げます。 

この不正利用されたメールアドレスにつきましては、同日 10:45 にアカウントロック(メール送信停止)をしております。

不正利用により送信されたメールには、フィッシングサイトへの誘導のリスクが高いため、当社の社員を装った不審なメールや心当たりのないメールを受信した場合は 、ウイルス感染や不正アクセスなどの危険がありますので、メールに添付されているメールおよび添付ファイルの開封、メール本文中の URL のクリック等を行うことなく、削除していただきますようお願い申し上げます。 

【不審メールの例】
宛 先: xxxxx@yahoo.co.jp
件 名: 【重要なお知らせ】支払い方法を更新してください 2024-01-21
差出人: Amazon.co.jp <x-xxxxxxxxx@kankyou-hozen.jp>
 表示: Amazon.co.jp
 メールアドレス: x-xxxxxxxxx@kankyou-hozen.jp

当社としましては、不正アクセス防止などの情報セキュリティには十分注意しておりますが、今回の事象を重く受け止め、再度周知徹底など全社で再発防止に取組み、引き続き情報セキュリティの強化に努めてまいります。

ご理解とご協力をいただきますよう、よろしくお願い申し上げます。 

Airalo(海外eSIM)レビュー: 海外でのインターネット接続をゲットする便利で手頃な方法


最近では、海外旅行中のインターネット接続は特別なものではなく、普通になりつつある。

一昔前は海外用のポケットWi-Fiを持っていったり、現地でSIMを購入したりしていたが、最近はAiraloのeSIMを使っている。

Airaloは世界200カ国以上にeSIMを提供しており、事前に旅行先の国や地域のデジタルデータパックをダウンロードしてインストールするだけで、着陸した瞬間に接続できる。現地で物理的なSIMカードを購入したり、サービスを一時停止したり解除したりする必要はない。利便性という点では、まさに最先端である。

Airaloの利用に際してはいくつかの制限があるため、人によっては利用できないかもしれません。

まずSIMフリーのスマホが必要になります。SIMフリーか分からない場合は携帯会社に連絡して確認します。

もうひとつの注意点は、eSIM対応のスマホである必要がある点です。2018年以降に製造されたほとんどのスマートフォンはeSIMに対応していますが、お住まいの地域や携帯キャリアによって異なる場合があります。お使いのスマホがeSIMに対応しているかどうかわからない場合は、AiraloのeSIM対応デバイスのリストで確認することも可能です。

次回の海外旅行でAiraloを利用するために知っておく必要があることをこれからご紹介します。

eSIMパッケージの選択

Airaloはあらゆる旅行スタイルに対応するデータパッケージを用意しています。

まずはAiraloのウェブサイトにアクセスするか、App StoreまたはGoogle Playからアプリをダウンロードしよう。

ログインしたら、eSIMパッケージを購入します。Airaloでは、特定の国や地域のeSIMを選ぶことができます。世界一周をする人にはグローバルオプションもあります。

eSIMは、アクティベートするまで有効期限のカウントダウンは始まらないため、余裕をもった手配も可能です。


価格面について、旅行先が1カ国のみであれば、その国のローカルeSIMが最も安い選択肢となります。しかし、2カ国目や3カ国を周遊する場合は、複数国のeSIMを購入した方がよいでしょう。正確な料金は国や地域によって異なるが、一般的に、最低レベルのプランは1GBのデータと7日間の有効期限で5ドル弱から始まります。


複数国のeSIMは、1GBのデータと7日間の接続でわずか5ドルからのパッケージがあります。5GBのデータ通信を1ヶ月間利用した場合でも、20ドル程度で利用できます。

アジアのパッケージは18カ国をカバーしており、ほとんどの旅行者にとって堅実な選択肢となっています。


アフリカとラテンアメリカのサービス料金が最も高額です。
高額な地域では、対象地域の複数国パッケージではなく、グローバル・パッケージにした方がよいかもしれません。

グローバル・パッケージには126カ国への接続が含まれています。もしあなたの目的地がリストに載っているなら、現実的な選択肢です。グローバル・プランは、1GBのデータと7日間のアクセスでわずか9ドルから利用できます。



利用開始後、データ通信量が不足し始めたら、いつでもプランのデータ通信量を買い足し(トップアップ)することができます。アプリでいつでも使用量を確認でき、残り少なくなると通知が届きます。

通信量の感覚として、グーグルマップ、ソーシャルメディア、Eメール、LINEの通話などで1日あたり約0.5GBのデータ消費を見込んでおけばよいのではないだろうか。

eSIMのインストールとアクティベーション

データパッケージが決まったら、次のステップはeSIMのインストールとアクティベーションです。これには2つの方法があります。

アプリをインストールせずにAiraloのウェブサイトからeSIMを購入した場合、QRコードが送られてくるので、それをスキャンしてインストールプロセスを開始します。

アプリを通してデータパッケージを購入した場合、アプリの下部にある "My eSIMs "タブで新しいeSIMを見つけることができます。

どちらの方法でデータパッケージを購入しても、支払い確認とeSIMのインストール方法の詳細が記載された確認メールが届きます。

尚、アクティベーションには通信制限のないインターネットアクセス環境が必要です。

インターネットへの通信制限がある国でアクティベーションを行おうとすると、アクティベーション自体に失敗する可能性がありますので、アクティベーションは自国内で済ませておく事を推奨します。

※筆者の場合、カタールではアクティベーションができませんでした。

Airaloの長所と短所

これまでにローカルや地域のeSIMを購入し、複数国(タイ、マレーシア、ベトナム、スペイン、モロッコ、ハワイ)で使ってみました。一部の国ではアクティベーションに失敗するなど完璧とは言えないが、コストとオンラインの利便性を考えれば、ほとんどの旅行者にとってベストな選択肢となるのではないだろうか?金額的には実にリーズナブルな価格設定だと思います。

AiraloのeSIMでもうひとつ良い点は、スマホをアクセスポイントとして使えることだ。人によってはどうでもいいことかもしれないが、ノートパソコンで電子メールに返信したかったので、アクセスポイントをオンにし、他のデバイスと接続を共有することができた。この機能はeSIMベンダーによっては出来ないらしい。

Airaloを使った全体的な印象はポジティブなものだったが、欠点もいくつかある。

Airaloを使う上での潜在的な欠点は、パッケージによってはeSIMがデータ通信専用となることです。つまり、LINEのようなアプリを使う以外には、電話やテキストメッセージの送受信ができないということです。電話での通話が不要な人には問題ありませんが、通話に頼っている人にとっては、大問題になるかもしれません。

【セキュリティ事件簿#2024-037】玉川大学 通信教育課程システムへの不正アクセスによる情報漏洩の可能性に関するお知らせ

 

2024年1月10日、本学で運用している通信教育課程サーバの一部で不正アクセスを受けたことが確認され、本学が保有する学生(卒業生を含む)情報が漏洩した可能性を排除できないということが判明しました。

なお、詳細は調査中でありますが状況が分かり次第改めてご報告させていただきます。

【セキュリティ事件簿#2024-036】モイ株式会社 当社サーバーに対する外部攻撃に関するお知らせ


このたび、当社が運営するライブ配信サービス「ツイキャス」に対する外部からの外部攻撃により、当社サービスにアクセスしづらい等のシステム障害が発生していることを確認しております。

本件につきましては、直ちに対策チームを設置のうえ、警察への通報および相談を行いつつ、継続している当該事象の収束に向けて、調査と対応を継続しておりますが、現時点で判明している事実及び当社の対応について、下記の通りお知らせいたします。

関係者の皆様に多大なるご迷惑とご心配をおかけしておりますことを深くお詫び申し上げます。

1 本件の概要

2024 年1月 30 日から、当社サービス「ツイキャス」のサーバーに対して大規模な DDoS 攻撃※が断続的に行われており、当社サービス全体にアクセスしづらくなる、ライブ配信を視聴しづらくなる、トップページが表示されなくなる等の被害が発生していることを確認しました。

当社では、当該事象の確認後、直ちに社内対策チームを発足し、被害拡大を防止するための措置を実施しましたが、外部からの攻撃は引き続き発生する可能性があり、新たなセキュリティ対策を講じた上で当該攻撃に対するシステムの保護と復旧作業を進めております。

なお、本件によって当社が保有する個人情報を含む各種情報にアクセスされた形跡はなく、また外部へ当該情報が流出した事実や、攻撃者による当社情報の公開は確認されておりません。また、当社サービスにおける決済は、各決済代行会社を通して行われておりますので、本件によって、クレジットカード番号等、決済代行会社が保有している情報が流出する可能性はございません。

※DDoS(Distributed Denial of Service)攻撃とは、インターネット上のトラフィックを増大させ、通信を処理しているネットワーク回線やサーバーの機能を占有する帯域飽和型のサイバー攻撃のこと。

2 今後の対応

引き続き、警察への相談を行いつつ、外部専門家を交えて当該攻撃者に対する対応、今後のセキュリティ対策などに鋭意取り組んでまいります。

ツイキャスユーザーの皆様をはじめ関係者の皆様におかれましては、多大なるご心配とご迷惑をおかけしておりますことを、重ねて深くお詫び申し上げます。

3 業績への影響

当社業績への影響については現在精査中です。今後、公表すべき事項が生じた場合には、速やかにお知らせいたします。

電子メール追跡のためのOSINTツール「Zehef」

GitHubユーザーのN0rz3が、電子メールを効果的に追跡するために開発したオープンソースのインテリジェンス(OSINT)ツール「Zehef」を開発しました。

Zehefは、漏えいした個人または企業の電子メールとその登録場所を、ターゲットに警告することなく能動的に検出することで、セキュリティを強化します

Zehefの能力

  • ウェブサイトのスクレイピング: Zehefは「holehe」モジュールを使用してウェブサイトをスクレイピングし、電子メール登録をチェックします。

  • 漏洩チェック: 侵害や漏えいをチェックし、漏えいした電子メールについて警告を発します。

  • 評判のチェック:Zehefはemailrep.io APIを使用し、ターゲットメールのレピュテーションを評価します。

  • アカウントチェック: SnapchatとTikTokのアカウントを様々なフォーマットで検証します。

  • Pastebinチェック: Pastebin上の関連リンクを検索します。

Zehefのビルドとインストール

ZehefはPythonを使用して構築しました。このツールはさまざまなライブラリーとAPIを統合しており、コミュニティ・コラボレーション用にGitHubで公開されています。

インストール手順の概要

  1. まず、Python 3がインストールされていることを確認してください。
  2. ターミナルまたはコマンドプロンプトを開きます。
  3. Zehef リポジトリをクローンします。: git clone
    https://github.com/N0rz3/Zehef.git
  4. Zehef ディレクトリに移動します。: cd Zehef
  5. 必要なライブラリをインストールします。: pip install -r requirements.txt

Zehef を実行

  1. Zehefディレクトリで次のように実行します。: python zehef.py
  2. 調査したいメールアドレスを入力してください。
Zehefは、電子メールのセキュリティを心配する人々にとって強力な味方です。サイバーセキュリティの専門家だけでなく、個人にも最適です。

Zehefは重要な洞察を提供してくれますが、教育目的でのみ倫理的に使用することを忘れないでください。

メールのセキュリティ状況を理解することで、保護対策を講じることができます 。

【セキュリティ事件簿#2024-035】豊郷町 個人情報の流出について

豊郷町
 

このたび、個人情報の記載された名簿が流出し、町民の方々に多大なご迷惑をおかけしたことに対しまして、心よりお詫びします。今回、町職員が、このような不祥事を引き起こし、皆様の信頼を裏切る結果となりましたことは、痛恨の極みです。

今後は、このような事態を招いたことを反省し、速やかに全職員を対象に研修を実施し、個人情報の保護の重要性について徹底するとともに、電算システムのセキュリティ対策と再発防止に取り組むことといたしました。

今後、調査・対策について、適時、町民の皆様にご報告いたしますので、ご理解をいただけますよう、お願いいたします。

 豊郷町長  伊藤 定勉 

現時点で判明していること、対応の経緯などをお知らせします。

1.事案発生の経緯

匿名住民より「字の役員名簿が詳しすぎる。役場から情報が漏洩していないか。」と相談があり、本職員への聞き取りにて名簿を紙で渡したことが発覚。現物は回収または破棄、現在追加調査中。

2.原因

職員の独断で、悪用がされないと判断し、個人情報の認識が不十分であった。

3.その他判明した内容

漏洩した内容:氏名(漢字・カナ)、住所、生年月日、性別、世帯主、続柄の書いた名簿

漏洩した件数:646件(過去分は含まず)

回収状況:今年分の名簿は回収済み(コピーも含む)

4.今後の対応

全職員を対象に研修を実施し、個人情報の保護の重要性について徹底するとともに、電算システムのセキュリティ対策と再発防止対策に取り組んでいきます。

リリース文アーカイブ

【セキュリティ事件簿#2024-033】「東京ヴェルディ公式オンラインストア」への不正アクセスによる個人情報漏洩に関するお詫びとお知らせ


このたび、弊社が運営する「東京ヴェルディ公式オンラインストア」におきまして、第三者による不正アクセスを受け、お客様のクレジットカード情報(2,726件)が漏洩した可能性があることが判明いたしました。

お客様をはじめ、関係者の皆様に多大なるご迷惑およびご心配をおかけする事態となりましたこと、深くお詫び申し上げます。なお、個人情報が漏洩した可能性のあるお客様には、本日より、電子メールにてお詫びとお知らせを個別にご連絡申し上げております。

弊社では、今回の事態を厳粛に受け止め、再発防止のための対策を講じてまいります。お客様をはじめ関係者の皆様には重ねてお詫びを申し上げますとともに、本件に関する概要につきまして、下記の通りご報告いたします。

1.経緯


2023年12月21日、一部のクレジットカード会社から、弊社サイトを利用したお客様のクレジットカード情報漏洩が懸念されるとの連絡を受け、同日弊社が運営する「東京ヴェルディ公式オンラインストア」を停止いたしました。

同時に、第三者調査機関による調査も開始いたしました。2024年1月16日、調査機関による調査が完了し、2023年8月22日~2023年12月20日の期間に「東京ヴェルディ公式オンラインストア」で購入されたお客様クレジットカード情報が漏洩し、一部のお客様のクレジットカード情報が不正利用された可能性があることを確認いたしました。

以上の事実が確認できたため、本日の発表に至りました。

2.個人情報漏洩状況


(1)原因


弊社が運営する「東京ヴェルディ公式オンラインストア」システムの開発管理者アカウントへの不正アクセスにより、ペイメントアプリケーションの改ざんが行われたため。

(2)個人情報漏洩の可能性があるお客様


2023年8月22日~2023年12月20日の期間中に「東京ヴェルディ公式オンラインストア」においてクレジットカード決済をされたお客様2,726名で、漏洩した可能性のある情報は以下のとおりです。

・カード名義人名

・クレジットカード番号

・有効期限

・セキュリティコード

上記に該当する2,726名のお客様については、別途、電子メールにて個別にご連絡申し上げます。

3.お客様へのお願い


既に弊社では、クレジットカード会社と連携し、漏洩した可能性のあるクレジットカードによる取引のモニタリングを継続して実施し、不正利用の防止に努めております。お客様におかれましても、誠に恐縮ではございますがクレジットカードのご利用明細書に身に覚えのない請求項目がないか、今一度ご確認をお願いいたします。万が一、身に覚えのない請求項目の記載があった場合は、大変お手数ですが同クレジットカードの裏面に記載のカード会社にお問い合わせいただきますよう、併せてお願い申し上げます。

なお、お客様がクレジットカードの差し替えをご希望される場合、カード再発行の手数料につきましてはお客様にご負担をお掛けしないよう、弊社よりクレジットカード会社に依頼しております。

4.公表が遅れた経緯について


2023年12月21日の漏洩懸念から今回の案内に至るまで、時間を要しましたことを深くお詫び申し上げます。本来であれば疑いがある時点でお客様にご連絡し、注意を喚起するとともにお詫び申し上げるところではございましたが、不確定な情報の公開はいたずらに混乱を招き、お客様へのご迷惑を最小限に食い止める対応準備を整えてからの告知が不可欠であると判断し、発表は調査会社の調査結果、およびカード会社との連携を待ってから行うことに致しました。

今回の発表までお時間をいただきましたこと、重ねてお詫び申し上げます。

5.再発防止策ならびに弊社が運営するサイトの再開について


弊社はこのたびの事態を厳粛に受け止め、調査結果を踏まえてシステムのセキュリティ対策および監視体制の強化を行い、再発防止を図ってまいります。改修後の「東京ヴェルディ公式オンラインストア」の再開日につきましては、決定次第、改めてWebサイト上にてお知らせいたします。

また、弊社は今回の不正アクセスにつきまして、監督官庁である個人情報保護委員会には2023年12月22日に速報した後、2024年1月26日に続報を実施済みであり、また、所轄警察署にも2023年12月25日被害申告しており、今後捜査にも全面的に協力してまいります。

【セキュリティ事件簿#2024-032】こころネット株式会社 第三者による当社サーバーへの不正アクセス被害のお知らせ



このたび、当社サーバーが第三者による不正アクセス被害を受けたことを確認いたしました。 

本件につきましては、既に対策本部を設置のうえ、外部専門家による調査に着手するとともに、警察への相談を開始しております。被害の全容を把握するには今しばらく時間を要する見込みですが、現時点で判明している事実関係及び当社の対応について、下記のとおりお知らせいたします。 

関係各位の皆様にご心配とご迷惑をおかけしておりますことを深くお詫び申し上げます。

1.発覚の経緯及びこれまでの対応状況 

2024年1月16日、当社サーバーへのアクセスができなくなり、再起動により復旧いたしました。 

2024年1月16日~23日まで、当社のIT担当部署にて原因を調査した結果、当社サーバー2台へのパスワード改ざん及び不明なファイルの生成があることを確認いたしました。また、通信ログを確認したところ、別の当社サーバー2台への大量アクセスを確認いたしました。これらの状況から、第三者による当社サーバーへの不正アクセスがなされたと判断し、当該サーバー4台に対してパスワード変更やサーバー停止等の措置を実施いたしました。 

2024年1月24日、外部専門家を交えて、原因の特定、被害情報の確認、情報流出の有無等の調査に着手いたしました。その過程で、第三者による不正アクセス被害があったものと断定し、同日に対策本部の設置及び警察への通報等を行いました。 

また、現時点では情報流出の事実は確認しておりませんが、流出の恐れの可能性を考慮し、2024年1月25日、個人情報保護委員会へ報告いたしました。

2.被害を受けた情報 

当社サーバーが不正アクセスされたうえで、パスワードの改ざん及び不明なファイルの生成がなされましたが、コンピュータウイルス感染や情報流出等については現時点では確認されておりません。

3.今後の対応 

外部専門家や警察と連携のうえ、調査及び対応を進めてまいります。 
なお、今回の不正アクセスが当社の2024年3月期連結業績に与える影響につきましては、現在精査中です。公表すべき事項が生じた場合には、速やかにお知らせいたします。

【セキュリティ事件簿#2024-031】ヤマモリ株式会社 「伊勢醤油本舗オンラインショップ」 サーバ―不正アクセスに関するお詫びとお知らせ

 

このたび、弊社が運営する「伊勢醤油本舗オンラインショップ」におきまして、第三者による 不正アクセスを受け、お客様の個人情報が漏洩した可能性があることが判明いたしました。お客様をはじめ、関係者の皆様に多大なるご迷惑およびご心配をおかけする事態となりましたこと、深くお詫び申し上げます。

詳細については、警察等に助言を受けながら全容解明に向け、現在調査を進めております。

今回の事態を厳粛に受け止め、再発防止のための対策を講じてまいります。お客様をはじめ関係者の皆様には重ねてお詫びを申し上げます。

対象サイト:伊勢醤油本舗オンラインショップ https://www.isesyoyu.co.jp/

※影響範囲などは現在調査中でございます

※ヤマモリ公式ECサイト(楽天市場・Yahoo!ショッピング)は調査対象に該当致しません。

ご安心してご利用ください。

リリース文アーカイブ

【セキュリティ事件簿#2024-030】関東ITソフトウェア健康保険組合 委託事業における個人情報漏えい事案について

 

関東ITソフトウェア健康保険組合(以下「当組合」という。)が健康診断等業務を委託している慈恵医大晴海トリトンクリニック(以下「受託者」という。)において、下記のとおり受託者が健診結果データを他の事業所に誤送付した事案が判明しました。

関係者の皆様にはご迷惑とご心配をおかけしますことを、深くお詫び申し上げます。

受託者に対しては、健診結果データの作成・送付に関し、データの取扱いとヒューマンエラーを起こさないシステムの構築及び運用変更後の実効性の確認などの再発防止策を講じるよう指示しており、更なる安全性の確保に努めてまいります。

  1. 令和5年12月8日(金)、同年10月受診分の健診結果データを、受託者がA事業所にCD-Rで送付したところ、当該事業所以外に所属の13社117名の健診結果データが収録されていたことが、令和6年1月5日(金)、受託者より当組合に報告され情報漏えいが判明した。(A事業所から受託者への連絡も同日)

  2. 当該CD-Rについては、A事業所担当者1名、限定された者にて管理され、当該データ及びCD-Rは速やかに破棄されており、個人情報漏えいの二次被害がないことを確認した。

  3. 関東信越厚生局及び個人情報保護委員会に本事案について、当組合より令和6年1月9日(火)報告済みである。

リリース文アーカイブ

【セキュリティ事件簿#2024-029】厚生労働省 私用メールアドレスの誤登録による第三者への個人情報の漏えい及びその対応状況・再発防止策について


このたび、厚生労働省において、職員の緊急連絡先である私用メールアドレスが当該職員本人により誤って登録されたことにより、休日、夜間等に業務の必要性から関係者にメールを一斉送信した際、第三者に当該メールが誤送信されていたことが、令和6年1月23日(火)に判明しました。当該メールには、行政機関の職員の公務用メールアドレスや私人の電話番号などの個人情報が含まれており、それらが漏えいしました(詳細は後述)。

事案の概要その他再発防止策等について下記のとおりお知らせいたします。

関係者の皆さまに深くお詫びしますとともに、再発防止のため、しっかりと取り組んでまいります。

1.事案の概要

職員の緊急連絡先である私用メールアドレスが本人により誤って登録されたことにより、令和5年9月15日(金)以降、休日などに業務の必要性から関係者にメールを一斉送信した際、第三者に当該メールが誤送信されていたことが、当該誤登録者の報告により、令和6年1月23日(火)に判明。

今回の事案において個人情報が漏えいした者は675名。

うち、
 ・ 公務メールアドレスが漏えいした行政機関職員は650名、
 ・ 電話番号が漏えいした私人は、25名
であることを確認した。

2.発生原因

職員の緊急連絡先である私用メールアドレスが当該職員本人により誤って登録されたこと。

また、誤登録後、当該職員において、休日、夜間等もリモートアクセスによる公務メールアドレスを用いた対応のみを行っていたため、私用メールアドレスにおける業務上のメール受信の有無の確認が行われなかったこと。

3.本事案に関する対応状況(被害の状況等)

誤送信先に対し、謝罪や削除依頼等の連絡をしている(当該誤送信先である、誤登録されたメールアドレスの所有者からの応答はこれまでない)。

4.再発防止策

テレワーク環境の改善を踏まえ、本省における私用メールアドレスの業務上の使用については、禁止する。

5.関係者への説明

個人情報が漏えいした行政機関職員や私人への謝罪(お手紙)の送付を行う予定。

【セキュリティ事件簿#2024-028】株式会社ほくやく・竹山ホールディングス ランサムウェア被害の発生について


このたび、当社の一部サーバーが暗号化されるランサムウェア被害が発生したことをお知らせします。本件について、現在対策本部を設置し、外部専門家の助言を受けながら、影響の範囲等の調査と復旧への対応を進めております。また、警察などの関係機関への相談を開始しています。

被害の全容を把握するにはいましばらく時間を要する見込みですが、現時点で判明している内容について、下記の通りご報告いたします。

お取引先様、関係先の皆様に多大なるご心配とご迷惑をおかけすることになり、深くお詫び申し上げます。

1. 経緯

2024 年2月3日(土)、当社グループのサーバーにランサムウェアによる被害が発生していることを確認しました。直ちに、外部専門家の協力のもと調査を開始し、迅速に対応を進めるべく対策本部を立ち上げました。

2. 現在の状況と今後の対応

今回の被害に対応するため、社内システムをサーバーから切り離しています。当社グループのコールセンター、メールシステムは制限付きではありますが稼働しています。なお、情報流出につきましては現在調査中です。現在、外部専門家や警察と連携の上、システムの保護と復旧に向けて作業を進めております。引き続き皆様へのご迷惑を最小限に止めるべく取り組んでまいります。

なお、本件が当社の今期の業績予想に及ぼす影響については現在精査中であり、修正の必要
があると判断した場合には速やかに公表いたします。

【セキュリティ事件簿#2024-027】名港海運株式会社 海外子会社への不正アクセスについて

 

このたび、欧州における当社子会社「Meiko Europe N.V. (以下、ME)」において、2024年1月6日に第三者による不正アクセスを確認しました。

本不正アクセスの判明以降、MEおよび現地のセキュリティ専門会社による調査を行っておりますが、被害の全容を確認するには、一定の時間を要する見込みです。なお、本件は現地当局への報告を行っております。

関係者の皆さまにはご迷惑とご心配をおかけしており、深くお詫び申し上げます。

また、当社IT部門による調査の結果、現時点においてME以外の当社グループに影響がないことを確認しております。

リリース文アーカイブ

【セキュリティ事件簿#2024-026】ダイドーグループホールディングス株式会社 弊社サーバへの不正アクセス発生について


この度、本年 1 月 16 日(火)に、弊社を含むグループ企業等で利用するネットワークが第三者による不正アクセスを受けたことを確認しました。社内調査を実施した結果、不正アクセスにより、弊社サーバのデータの一部が読み出されたことが判明しました。

弊社は、危機管理委員会にて本件の対策方針を定め、現在、外部の専門機関等とも連携し、調査を進めております。今後の調査によって新たに報告すべき事項が判明次第、速やかにお知らせいたします。

なお、不正アクセスを確認後、速やかに関係機関への報告を行うとともに、外部からのアクセスを制限するなどの対策は実施済みです。

本件に関し、ご心配をお掛けしますことを深くお詫び申し上げます。

サイバーセキュリティ・キャリア・フレームワークを使うべきか?


サイバーセキュリティ分野における最大の問題の1つは、技術革新に対応して役割と関連スキルセットが時とともに有機的に進化してきたことです。このため、雇用主によって同じ職務に割り当てられるスキルセットが異なることがよくあり、現在のスキル不足によって状況はさらに悪化しています。

このような食い違いは、企業にとっては人員計画を立てることを、求職者にとってはどのようにキャリアを築くべきかを判断することを、ともに非常に困難にしています。これを解決するために、必要とされていた透明性をもたらすキャリア・フレームワークが開発されました。これらのフレームワークは、候補者と職務をより正確にマッチングさせることで、雇用慣行と定着率の向上に役立つはずです。

米国のNICE

現在、多くのフレームワークが開発されており、それぞれ成熟度が異なっています。米国は、米国国立標準技術研究所(NIST)の「サイバーセキュリティ教育のための国家イニシアチブ(NICE)」でリードしており、当初は連邦省庁向けに開発されましたが、2020年に改訂されて以来、広く商業的に採用され始めています。NICE は、何が必要かを記述したタスク、知識、スキル(TKS)ステートメントで構成され、受験者はこれらに関連するコンピテンシーを達成することができます。雇用主はこれらのコンピテンシーを参照し、職務記述書に記載することになります。33の専門分野と52の職務をカバーする7つのカテゴリーがあるが、紛らわしいことに、1つの職務に複数の職務が含まれることもあります。

NICEには多くの側面があり、そのために理解するのが難しいかもしれません。そこで、National Initiative for Cybersecurity Careers and Studies(NICCS)は、ユーザーがフレームワークを理解するのを支援するために、Cyber Career Pathways Toolを開発しました。このツールは、どのスキルがどの職務に関連しているかを示し、また、転職を検討している候補者が関連職種を見極めるのに役立ちます。

英国のCCF

英国では、サイバーセキュリティ協議会(Cyber Security Council)がサイバー・キャリア・フレームワーク(Cyber Career Framework)を開発しています。このフレームワークは、16の専門分野を網羅し、労働生活、責任、給与、知識、スキル、転職(出世または横への移動)、資格に関する詳細情報を提供しています。

さらに、同協議会は今年初めに、インタラクティブなキャリアマッピングツールを展開しました。このツールは、サイバーセキュリティ分野でのキャリアを模索するために、他の分野から転職を希望する人々をサポートする目的で作成されました。

このフレームワークはまだ完成しておらず、Cyber Security Profession Chartered Standards (CSPCS) と並行して展開されています。CSPCSは、16の専門分野ごとに3つの認定基準(Associate、Principal、そして憧れのCharteredステータス)を提供することを目指しており、2025年までに大規模な改革を完了させる予定です。

EUのECSF

EUにおける欧州サイバーセキュリティ・スキルフレームワーク(ECSF)は、Enisa(欧州ネットワーク情報セキュリティ機関)が昨年9月に発表した最新のフレームワークです。このフレームワークは、12種類のサイバー職種のプロフィールを詳細にまとめており、代替可能な職名、職務概要、ミッション、成果物、主なタスク、主要なスキル、知識、コンピテンシーを「役割」として提示しています。さらに、雇用主、教育プロバイダー、候補者向けにガイダンスを提供するマニュアルも用意されており、それぞれの要件に適した情報を提供しています。また、ISACA、(ISC)2、ECSO(European Cyber Security Organisation)から提供された3つのユースケースも含まれています。

これらのフレームワークが各地域で広く採用されることで、雇用者にとってはサイバーセキュリティ分野の混乱が減少し、潜在的な採用者にとっては敷居が低くなることが期待されています。


日本のSecBok

情報セキュリティ知識分野(SecBoK)人材スキルマップは、セキュリティ関連の業務に従事する人材が必要とする知識とスキルを体系的に整理したものです。このスキルマップは、セキュリティの専門家から大学生まで、幅広い人々にとって参考資料として活用されています。

SecBoKは、16の役割(ロール)ごとに必要な前提スキルと必須スキルを詳細にまとめています。例えば、CISO(Chief Information Security Officer)、脆弱性診断士、インシデントハンドラーなど、さまざまなセキュリティ職種についての情報が含まれています。

特徴的な点として、以下の3つが挙げられます:
  • 知識分野カテゴリーの改定: 今注目されている「プラス・セキュリティ人材」について、業務の種類や立場に応じた基礎スキルを集約して追加い勝手を向上。
  • Job description(ジョブディスクリプション)の考え方: ジョブディスクリプションに基づくセキュリティ関連職種の募集例を提示。
  • プラス・セキュリティ人材育成や高等教育機関におけるシラバス作成の参考資料: SecBoK各ロールとの適合度の例や教育コースとのマッピング例を提供。
このスキルマップは、セキュリティ分野の混乱を減少させ、潜在的な採用者にとって敷居を低くすることを目指しています。

何を選択するか?

雇用者の視点から見ると、これらのフレームワークは、どのスキルセットがどの職務に適しているかを特定し、各職務内容に関連するものをリストアップするのに役立ちます。また、人員計画や、すでにいるスタッフのスキル開発にも役立ちます。ガイドは、明確で直線的な昇進の道筋を示し、キャリアプランの形成に役立ち、それによって定着率を向上させることが期待されています。

求職者側から見れば、フレームワークによって、さまざまな職務がどのように関連し、どの程度の給与が期待できるかを初めて知ることができ、自らのキャリア開発を計画することができます。また、転職可能なスキルを持っている人は、それを活かせる場所を探したり、具体的な職務について詳しく知ることができるでしょう。

しかし、このフレームワークは人材紹介部門にも関係があります。採用担当者は、無関係なスキルをまとめたり、非現実的な要求をしたりする職務記述書の書き直しに時間を費やす必要がなくなります。これらのマトリックスを参照することで、より職務に適した候補者を探し出し、面接プロセスの一部として情報を活用することができるようになるでしょう。このような小さな変化が採用の可能性を高め、サイバーセキュリティ格差の縮小に貢献することでしょう。

さらに網を広げれば、このフレームワークは、将来のサイバーセキュリティの専門家を教える教育プロバイダーの指針となり、大学のコースで何を学ぶべきかについての洞察を与えることになるでしょう。そしてベンダーも、自社のソリューションを運用するために必要なレベルやスキルセットを示すために、コンピテンシーを利用できるようになることでしょう。

数年後には、このコンピテンシーがなかったら、この分野はいったいどのように機能していたのだろうかと不思議に思うようになることでしょう。


【セキュリティ事件簿#2024-025】茨城東病院 患者個人情報を記録したUSBメモリの紛失について


この度、当院において、患者個人情報を記録したUSBメモリを紛失する事案が発生いたしました。このような事案が発生にしたことについて、個人情報を取り扱う医療機関として決してあってはならないことであり、深く反省いたしております。

恵者様及びそのご家旋並びに関係機関の皆様に深くお詫び申し上げますとともに、個人情報管理の徹底を図り、信頼回復に向けて二度とこの様なことを生じさせないよう再発防止に努めてまいります。

1. 紛失の経緯

令和5年12月18日 (月)、当院職員の申告により個人情報を含んだUSBメモリの紛失が判明いたしました。病院外に持ち出しはしていないため、院内で紛失したものと考えております。

同日以降、紛失場所の捜索、職員への開き取り確認を行い、併せて警察にも遺失の問い合わせをいたしましたが、現時点で発見には至っておりません。

2. 紛失したUSBメモリに保存されでいた個人情報

①患者情報

・忠者ID、氏名、病名、居住地域、診療科、入院日、退院日等 2, 533名分

・氏名、転院先、死亡日                    3, 605名分

②職員情報 (面談記録、勤務表)                     8名分

なお、当該USBメモリには、自動暗号化及びパスワードロック機能を設定しております。

3. 現在までの対応

対象の患者様及びご家族には、個別にご連絡のうえ、謝罪いたします。

また、現時点において、個人情報が外部に流失したことの情報や不正利用された事実等の被害は確認されておりません。

4. 再発防止策

全職員に対して個人情報管理の徹底とUSBメモリ等の外部電磁的記憶媒体にかかる関連規定の順守について周知徹底するとともに、個人情報の取り扱いに関する研修及び個人情報の管理状況の確認を定期的に実施する等対策を講じてまいります。

この度は、患者様及びご家族並びに関係者の皆様には多大なご迷惑とご心配をおかけしておりますことを、改めて深くお詫び申し上げます。

リリース文アーカイブ

【セキュリティ事件簿#2024-024】三浦工業 サイバー攻撃による弊社ホームページ改ざんに関するお詫びとご報告


2024年1月26日(金)17時00分頃から1月28日(日)11時21分までの間に、第三者からのサイバー攻撃によりホームページが改ざんされていた事が判明いたしました。

ご利用いただいておりますお客様の皆様には多大なご迷惑、ご心配をお掛けしたことを深くお詫び申し上げます。現在、原因と影響の調査を進めており、ホームページを閉じさせていただいております。

当サーバにはお客様の個人情報は保存されておりませんので、個人情報の流出はない見込みです。(お問い合わせなどでホームページより入力いただいた情報はホームページ内には保存されておりません。また、会員制サイトのお客様情報は設定されたIDと暗号化されたパスワード情報のみが保存されています)

改ざん内容

2024年1月26日(金)17時00分頃から1月28日(日)11時21分までの間に、ホームページ(三浦工業※1)にアクセスすると別サイト(アラビア語の通販サイト)へ誘導される状況が確認されました。

※1対象サイト コーポレート・製品サイト(miuraz.co.jp) 
                   カタログ会員サイトMyMIURA(mymiura.com)

ご利用のお客様へのお願い

上記期間中に、ホームページ(三浦工業※1)にアクセスされた可能性のあるお客様におかれましては、誠にお手数ですが、お手持ちのセキュリティソフトを最新の状態にし、不正なプログラムの感染確認・駆除の実施をお願い申し上げます。

また、参照先の不正なホームページにおいてIDやパスワードを入力してしまった場合は、同じパスワードを使っている全システム(他社サイトを含む)のパスワードを変更いただきます様、お願いいたします。

会員制サイトのIDにメールアドレスをご登録いただいていたお客様もおられましたので、こちらは個別にご連絡差し上げます。

今後原因や影響が判明した場合には本ホームページで引き続き報告させていただきます。

マリオットのポイント購入ボーナスセール(~2024年3月31日)


マリオットがポイント購入のボーナスを発表。2023年10月1日から12月31日の間にマリオット系列での滞在実績がある会員は40%ボーナス、その他の会員は35%のボーナスを獲得できる。

自分はマリオットポイントはJALマイルの間接購入手段と割り切っているため、宿泊実績は無いため35%ボーナス。

このボーナスは2,000ポイント以上の購入に適用され、2024年3月31日まで利用できる。

過去には、パンデミック(武漢ウイルス流行)時にこのボーナスが60%まで上昇したこともあったが、今回もそうなるかどうかはわからない。

感覚的に60%は無いだろう。50%ボーナスが最大だろうから、その時は全力で購入するとして、その他のボーナス時は少しずつ購入をしていく。

以前は為替の関係で購入をためらうシーンが多かったが、住信SBIネット銀行の外貨自動積立で毎月ドルを積み立て、積み立てたドルはJALペイに移して決済するという解決策を思いついた。

これでドルコスト平均法でドルを買い、ドルのまま決済できるので為替を気にする必要がなくなる。

とりあえず今回は50ドル分買ってみる。

マリオットポイントは毎年6万ポイント分購入(=25,000JALマイル)する方針。

あと、マリオットポイント購入時はTopCashback経由で購入するとキャッシュバックをゲットできるのでオススメ


出典:Buy Marriott Bonvoy points with up to a 40% bonus

【セキュリティ事件簿#2024-023】ディップ株式会社 求人掲載企業の管理画面への不正ログインに関するお詫びとお知らせ


当社が運営する求人情報サイト「バイトル」に掲載している株式会社サンライズワークス(以下、当該掲載企業)の応募者情報管理画面への不正ログインが発生し、不正ログインを行った第三者(以下、当該第三者)により当該掲載企業への応募者のうち20名の応募情報の一部と、不正ログインに使用したIDおよびパスワードが外部へメール送信されたことが判明いたしました。そのため、当該掲載企業への応募者の方は、当該第三者および送信されたIDおよびパスワードを用いてアクセスした者に、応募情報を閲覧された可能性があります。

関係者の皆様には多大なるご迷惑とご心配をおかけすることとなり、深くお詫び申し上げます。

現在、鋭意調査を続けておりますが、現時点で判明している事実および本件への対応について以下のとおりご報告いたします。

■概要

当社が運営する求人情報サイト「バイトル」において、当該掲載企業のIDおよびパスワードを取得した第三者が、応募者を管理する管理画面に不正にログインし、当該掲載企業への応募者のうち20名の応募者情報の一部と、不正ログインに使用したIDおよびパスワードを、ご本人を含む応募者に対し、当該管理画面のメール送信機能を利用して送信しました。そのため、当該第三者および送信されたIDおよびパスワードを用いてアクセスした者は、当該掲載企業への応募者の方のうち1,296名の方の応募情報を閲覧した可能性があります。

当社は、メールを受信した応募者様からの問い合わせにより事象を確認し、本IDの停止処理および求人掲載を取り下げて被害拡大を防止するとともに、不正ログインの被害にあった当該掲載企業と協力して、調査を実施しております。また、調査の結果、閲覧された可能性がある応募者の方々を特定し、お詫びとご連絡を2024年1月31日(水)に完了したことをお知らせいたします。 送信された個人情報および 閲覧された可能性のある個人情報は以下の通りであり、クレジットカード情報等は含まれておりません。

なお、当社システムにおいては、掲載企業の皆様の管理画面へのログインパスワードは暗号化されて保管されており、当社のエンジニアを含めて閲覧および解読ができない仕様になっております。本事象を受けて当社システムのセキュリティ調査を改めて行っており、現時点では、当該掲載企業以外のID・パスワードが不正に利用された事実は確認されておりません。

■応募情報が送信された応募者

20名(2023年1月~7月に当該掲載企業に応募した応募者の一部)

・該当する個人情報の項目

 氏名、年齢、性別、メールアドレス、電話番号、現在の職業

■応募情報を閲覧された可能性がある応募者

1,296名(2023年1月~10月に当該掲載企業に応募した応募者の一部)

・該当する個人情報の項目(当社が実際に取得している項目は応募者によって異なるため、1名以上の応募者から取得している項目を挙げています。)

 氏名(よみがなを含む)、年齢、生年月日、性別、メールアドレス、電話番号、現在の職業、お住まいの都道府県・市区町村、学歴・職歴、運転免許の有無・パソコンスキルに関する情報、自己PR、連絡可能な日時、応募日時、応募した案件の情報

■本件への対応

当社の対応
  • 本アカウントの停止
  • 該当される方へのお詫びとお知らせ
  • 当該情報を送信された方への応募情報が記載されたメール削除のお願い
  • 本事象に関するログ・セキュリティ調査の実施
  • 当該掲載企業の管理画面に不正ログインした第三者に関する調査の実施
  • 個人情報保護委員会への報告
  • 麻布警察署への報告および協力
引き続き、不正ログインの被害を受けた当該掲載企業とともに、関係各機関と連携し、事実の確認および適切な対応に務めております。応募情報を閲覧された可能性がある応募者の方のうち、当社がメールで連絡可能な方には、お詫びのメールにてお知らせしておりますが、ご懸念がある応募者の方は、お問い合わせ先までご連絡をお願いいたします。

この度は皆様に多大なご迷惑ご心配をお掛けしますこと、改めて深くお詫び申し上げます。

Kivaローンで社会貢献しながらマイルをゲットできるか検証(2024年2月号)※2か月目

kiva.org

今月も2件の新規融資を実行。

先月は30USDずつ投資したが、今回は25USDしか選択できず、そのまま25USDで2件投資。

既存案件からはまだ返済が無い状態。

来月辺りから変化が出てくるだろうか?

■融資条件

・LOAN LENGTH:8 mths or less

・RISK RATING:4-5

・DEFAULT RATE:~1%

・PROFITABILITY:4%~

■新規融資案件 

融資No:2716127号(https://www.kiva.org/lend/2716127)

  • 融資国:フィリピン
  • Lending partner:Negros Women for Tomorrow Foundation
  • 期間:8か月
  • 融資実行:2024年2月
  • 融資額:25USD(≒3,900.5円)
  • 返済率:0%

融資No:2718123号(https://www.kiva.org/lend/2718123)

  • 融資国:ニカラグア
  • Lending partner:MiCredito
  • 期間:8か月
  • 融資実行:2024年2月
  • 融資額:25USD(≒3,900.5円)
  • 返済率:0%

■融資済み案件

融資No:2705613号(https://www.kiva.org/lend/2705613)

  • 融資国:フィリピン
  • Lending partner:Negros Women for Tomorrow Foundation
  • 期間:8か月
  • 融資実行:2024年1月
  • 融資額:30USD(≒4,727.5円)
  • 返済率:0%

融資No:2707642号(https://www.kiva.org/lend/2707642)

  • 融資国:ニカラグア
  • Lending partner:FUNDENUSE
  • 期間:8か月
  • 融資実行:2024年1月
  • 融資額:30USD(≒4,727.5円)
  • 返済率:0%

【セキュリティ事件簿#2024-023】サンライズワークス 不正ログインによる個人情報漏洩のお知らせとお詫び


弊社が求人情報を掲載しておりますディップ株式会社(以下、ディップ社)の運営にかかる求人情報サイト「バイトル」において、弊社の応募者情報管理画面(以下、本件管理画面)への不正ログインが行われ、2023年1月から同年11月に「バイトル」を利用して弊社にご応募いただいた方(以下、応募者様)のうち20名の応募情報の一部と上記不正ログインに使用されたID・パスワードが記載されたメール(以下、本件メール)が、本件管理画面のメール送信機能を利用して、外部へ送信された事実が判明いたしました。

そのため、本件管理画面に保存されていた応募者様1296名分の応募情報が、不正ログインを行った第三者及び本件メールに記載されたID・パスワードを用いてアクセスした者に閲覧された可能性があります。

なお、送信された個人情報および 閲覧された可能性のある個人情報は後記の通りであり、クレジットカード情報は含まれておりません。
また、現時点で、不正ログインに使用されたID・パスワードが弊社内部から漏洩した事実は確認されておりません。
 
関係者の皆様には、多大なるご迷惑とご心配をおかけし、深くお詫び申し上げます。
弊社は、本件メールが送信された事実の発覚後、ディップ社と協力して調査を行って参りましたが、引き続き、責任を持って本件に対応して参ります。
現時点で判明している事実経過及び当社の対応については、以下のとおりです。

2023/12/30 ・本件メールが一部の応募者様宛に送信される。続いてサイバー攻撃を受けている旨の不審なメールが一部の応募者様宛に送信される。
2024/1/5~ ・ディップ社側から連絡を受け、弊社が本件メール送信の事実を把握。
※なお、この間にサイバー攻撃を受けている、不審なメールを受信した等のお問い合わせをいただきましたが、
弊社には本件メールについてのお問い合わせがなく本件メール送信の事実が把握できませんでした。
・管理画面の停止および求人掲載取り下げのうえディップ社と協力して調査を開始(現在も継続中)、
応募者様宛の連絡等についても同社と協議のうえ対応。

<送信された個人情報及び閲覧された可能性のある個人情報>
(1) 応募情報がメール送信された応募者様 
20名(2023年1月~7月に当該掲載企業に応募した応募者の一部)
氏名、年齢、性別、メールアドレス、電話番号、現在の職業

(2) 応募情報が閲覧された可能性がある応募者様 
1296名(2023年1月~10月に当該掲載企業に応募した応募者の一部)
氏名(よみがなを含む)、年齢、生年月日、性別、メールアドレス、電話番号、現在の職業、お住まいの都道府県・市区町村、学歴・職歴、運転免許の有無・パソコンスキルに関する情報、自己PR、連絡可能な日時、応募日時、応募した案件の情報
※実際に取得している項目は応募者様によって異なるため、1名以上の応募者様から取得している項目を全て挙げています。

<本件への対応>
・求人掲載の停止
・ディップ社に対し、不正ログインが行われたアカウントの停止等の対応状況を確認のうえ、ログ等の調査を依頼
・ディップ社と対応を協議のうえ、応募者様への上記お知らせ等や関係機関への報告をディップ社において実施していただく
・社内PCのログイン履歴、利用状況、ID及びパスワードの管理状況等を確認のうえ、ディップ社から提供されたログ等の情報と照合し本件管理画面に
 不正ログインした第三者に関する調査を実施
・社内PCのウイルススキャンの実施
・マルウェアEmotetの感染チェックの実施
・本件管理画面のID及びパスワードの変更、ID及びパスワードの管理体制の強化   

現時点で把握している事実経過及び対応は上記のとおりですが、引き続き、ディップ社と協力して調査を継続し、適切に対応して参ります。この度は、応募者様及び関係者の皆様に多大なご迷惑ご心配をお掛けしますことを深くお詫び申し上げます。

【セキュリティ事件簿#2024-022】株式会社ファインエイド 不正アクセスによる 個人情報漏えいに関するお詫びとお知らせ


このたび、弊社が運営する「健康いきいきライフスタイル」のウェブサイト(以下「弊社サイト」といいます。)におきまして、第三者による不正アクセスを受け、当サイトをご利用いただいた一部のお客様の個人情報(5,193名分)が漏洩した可能性があることが判明いたしました。
お客様をはじめ、関係者の皆様に多大なるご迷惑およびご心配をおかけする事態となりましたこと、深くお詫び申し上げます。
個人情報が漏洩した可能性のあるお客様には、本日より、電子メール又は書面にてお詫びとお知らせを個別にご連絡申し上げております。

弊社では、今回の事態を厳粛に受け止め、再発防止のための対策を講じてまいります。
お客様をはじめ関係者の皆様には重ねてお詫びを申し上げますとともに、本件に関する概要につきまして、下記の通りご報告いたします。

1.経緯

2023年12月11日、一部のクレジットカード会社から、弊社サイトを利用したお客様の個人情報の漏洩懸念について連絡を受け、2023年12月12日、弊社サイトでのカード決済を停止いたしました。
同時に、第三者調査機関による調査も開始いたしました。2023年12月26日、調査機関による調査が完了し、2021年1月5日から2023年11月15日までの期間に弊社サイトを利用いただいた一部のお客様の個人情報が漏洩した可能性があることを確認いたしました。
以上の事実が確認できたため、本日の発表に至りました。 

2.個人情報漏洩状況 

(1)原因
弊社サイトのシステムの一部の脆弱性を悪用したクロスサイトスクリプティングの手法による第三者の不正アクセスにより、サーバ内に、クレジットカード決済実行時に処理される個人情報を取得するためのアプリケーションの改ざんが行われたため。

(2)個人情報漏洩の可能性があるお客様
個人情報漏洩の可能性がある期間は、2021年1月5日~2023年11月15日であり、漏洩の可能性がある対象者は、弊社サイト(「健康いきいきライフスタイル」)をご利用されたお客様5,193名です。漏洩した可能性のある情報は以下のとおりです。
・カード名義人名
・クレジットカード番号
・有効期限
・セキュリティコード
・氏名
・住所
・メールアドレス
・電話番号
・FAX番号
・注文履歴
・生年月日
・性別

上記に該当する5,193名のお客様については、別途、電子メール又は書面にて 個別にご連絡申し上げます。

3.お客様へのお願い

既に弊社では、クレジットカード会社と連携し、漏洩した可能性のあるクレジットカード情報による取引のモニタリングを継続して実施し、不正利用の防止に努めております。
お客様におかれましても、誠に恐縮ではございますがクレジットカードのご利用明細書に身に覚えのない請求項目がないか、今一度ご確認をお願いいたします。万が一、身に覚えのない請求項目の記載があった場合は、たいへんお手数ですが同クレジットカードの裏面に記載のカード会社にお問い合わせいただきますよう、併せてお願い申し上げます。
なお、クレジットカード情報の漏洩の可能性があるお客様につきましては、クレジットカードの差し替えをご希望される場合、カード再発行の手数料につきましてはお客様にご負担をお掛けしないよう、弊社よりクレジットカード会社に依頼しております。

4.公表が遅れた経緯について

2023年12月11日の漏洩懸念から今回の案内に至るまで、時間を要しましたことを深くお詫び申し上げます。
本来であれば疑いがある時点でお客様にご連絡し、注意を喚起するとともにお詫び申し上げるところではございましたが、不確定な情報の公開はいたずらに混乱を招き、お客様へのご迷惑を最小限に食い止める対応準備を整えてからの告知を行うべきと判断し、また、初期の調査からさらなる漏洩のおそれは小さいと判断されたことから、調査会社から調査結果を受領し、カード会社その他関係機関との連携を十分に行ってから公表することにいたしました。
今回の発表までお時間をいただきましたこと、重ねてお詫び申し上げます。

5.再発防止策ならびに弊社が運営するサイトの再開について 

弊社サイトは、2023年11月15日、従前の脆弱性を克服し、十分なセキュリティ対策および監視体制を備えた新環境へ移行しておりますが、本事案を受けてカード利用は現在も停止中です。もっとも、このたびの事態を厳粛に受け止め、調査結果を踏まえてシステムのセキュリティ対策および監視体制のさらなる強化を検討し、再発防止を図ってまいります。
弊社が運営する「健康いきいきライフスタイル」の再開日につきましては、決定次第、改めて弊社のWebサイト上にてお知らせいたします。
また、弊社は今回の不正アクセスにつきまして、監督官庁である個人情報保護委員会には2023年12月12日に報告済みであり、また、所轄警察署にも2023年12月12日被害申告しており、今後捜査にも全面的に協力してまいります。

【セキュリティ事件簿#2024-021】日東製網株式会社 第三者によるランサムウェア感染被害のお知らせ


このたび、当社のサーバーが第三者による不正アクセスを受け、ランサムウェア感染被害を受けましたので、お知らせいたします。

本件につきましては、既に対策本部を設置のうえ、外部専門家の助言を受けながら、原因特定、被害情報の確認、情報流出の有無などの調査を行い、復旧への対応を進めており、警察への相談をしております。引き続き、外部専門家等と連携のうえ、対応を進めていく方針です。

被害の全容を把握するには今しばらく時間を要する見込みですが、現時点で判明している内容について、下記の通りご報告いたします。

お取引様、関係先の皆様に多大なるご心配とご迷惑をおかけすることになり、深くお詫び申し上げます。

1.経緯

1月 16 日(火)午前8時頃に外部から不正アクセスを受けサーバーに保存している各種ファイルが暗号化されていること等を同日確認しました。

発覚時より直ちに、外部専門家と共に状況調査を行い、ランサムウェアの感染拡大を防ぐための必要な対応を行いました。

1月 17 日(水)に全社対策本部を設置し、情報共有すると共に、復旧に向けての対応を進めております。また、警察への相談しました。

2.被害を受けた情報

サーバーに保存していた各種業務データ、業務用ソフトウエアが暗号化されアクセス不能な状況となっております。なお、情報流出につきましては現在調査中です。

3.今後の対応

外部専門家及びシステム関係機関等と連携のうえ、早期復旧に向け作業を進めると共に、通常の業務遂行が可能となるよう対応を進めております。皆様へのご迷惑を最小限に止めるべく取組んでまいります。

なお、本件による当社グル-プの業績への影響については現在精査中であり、開示が必要な場合は速やかに公表いたします。

【セキュリティ事件簿#2023-456】日本ルツボ株式会社 ランサムウェアによるアクセスへの対応に関して

 

昨年、当社春日井工場のデバイスの一部がランサムウェアによる第三者からの不正アクセスを受けたことに関して、以下の通り続報致します。

本件につきましては、速やかに対策本部を設置のうえ、外部専門家による原因の特定、被害状況の確認、情報流出の有無などの調査を行いました。

その結果、業務に使用していない PC にインストールされていたリモートデスクトップツールを通じた不正アクセスがあり、春日井工場のデータの一部がロックされましたが、バックアップ・データにより復旧できております。他のデバイスについてはこれまでに実施してきたセキュリティー強化の効果もあって影響を受けなかったものと判断しております。

今後は、導入済みのセキュリティーツールの運用強化も含め、適時、外部専門家のアドバイスを受けるなど、セキュリティー対策の拡充に努めて参ります。

改めまして、この度の件でご心配をお掛けしましたことを、深くお詫び申し上げます。

【セキュリティ事件簿#2023-508】大東市立生涯学習センター アクロス 当センターメールアカウントへの不正アクセスのお詫びとご報告

 

2023年12月13日、当センターのメールアカウント(info@daito-across.jp)が第三者による不正アクセス攻撃をうける事象が発生し、調査・対応しましたのでお知らせします。

不正アクセスに伴って、当センターを装った「なりすましメール」が不正に発信されているという事実を確認いたしました。

本件に関しまして、再発防止に向けた対策を実施してまいります。関係者の皆様には、多大なるご迷惑およびご心配をおかけしますことを深くお詫びいたします。

経緯及び対応2023年12月13日1時頃、当センターを装った「なりすましメール」が大量に配信されていることを検知、アカウントを一時凍結しました。

これを受けて調査した結果、当センターのメールアカウントに対して不正アクセスが行われていることが判明しました。

不正アクセスされていたメールアカウントのパスワードについては12月13日に変更を行いました。

影響範囲および今後の対応daito-across.jpドメインをつかった複数の不正メールが送信された事象を確認しています。

また上記アカウントのメールボックス内の情報がダウンロードされた痕跡はいまのところ確認されておりませんが、メールボックス内の情報にアクセスできた可能性がございます。

当センターとしては、本件について引き続き調査を進めるとともに、調査結果を踏まえ、セキュリティ強化策を実施し、今後は更に不正アクセスを防止するための再発防止策を講じてまいります。今後、新たにお知らせすべき内容が判明した場合、速やかに情報を開示いたします。

当センターを装った不審メールにつきまして万一、当センターのメールを装った不審なメールが届いておりましたら、本文中に記載されているURLをクリックしたり、添付されているファイル等を開封したりせず、メールごと削除していただきますようお願いいたします。

リリース文アーカイブ

【セキュリティ事件簿#2023-507】北海道銀行 個人情報漏えいに関するお詫びとご報告


この度、北海道銀行(以下、当行)におきまして、下記の個人情報漏えいが発生しました。

お客さまにおかれましては、多大なるご迷惑とご心配をおかけする事態になりましたことを心よりお詫び申し上げます。

お客さま情報の厳重な管理を求められる金融機関といたしまして、今回の事態を重く受け止め、情報管理につきましては、役職員に対し教育を徹底し再発防止に努めてまいります。

 1.事案の概要

2023 年 12 月 18 日 10 時 50 分頃、毎月データを送信している相手先に対して、本来お渡しすべきデータの他、誤ってお渡しすべきでない個人情報が記載されたファイルを電子メールに添付して送信しました。

同日 11 時頃、当行側で誤ったファイルを添付したことに気づき、直ちに相手先を訪問し当日中にデータを削除していただいたことを確認しており、二次流出の懸念はないものと認識しております。

2.漏えいした個人情報

(1)2023 年 12 月 1 日から 2023 年 12 月 15 日までの期間において、「ほくほくPay」の決済口座を当行に登録されているご利用者のカタカナ氏名・ご利用金額・ご利用日時等(210 名)。

(2)2023 年 12 月 1 日から 2023 年 12 月 15 日までの期間において、「ほくほくPay」が利用された店舗(加盟店)運営者である個人事業主の漢字氏名(2 名)。

※氏名以外の個人を識別できる情報(住所、電話番号、口座番号、預金残高等)は含まれておりません。

3.発生原因

当行では電子メール送信の際は、担当者・検証者による 2 名での手続きを経て送信を行っておりますが、担当者・検証者ともに添付ファイルの内容確認を十分に行わなかったことが原因です。

4.再発防止策

役職員に対し個人情報の重要性と厳格な管理を改めて周知し、電子メールの運用ルールを徹底させ再発防止に努めてまいります。

【セキュリティ事件簿#2024-020】オープンワーク株式会社 個人情報漏えいに関するお詫びとご報告


この度の「令和六年能登半島地震」によって、お亡くなりになられた方々のご冥福を心よりお祈り申し上げますとともに、被害にあわれた方々にお見舞い申し上げます。被災された地域の皆様の安全と、一日も早い復興をお祈り申し上げます。

当社が運営する転職・就職のための情報プラットフォーム「OpenWork」上で収集した個人情報について、弊社から配信するメールの設定不備により、一部ユーザー様の個人情報漏えいが起きていることが発覚いたしましたのでご報告いたします。

2024 年 1 月 22 日から 1 月 24 日にかけて弊社から配信した一部のメールについて、ユーザー様の「氏名」および「求人の閲覧履歴(最大で直近 5 件分)」が他のユーザー様に誤って送信されておりました。

本件発覚後、すみやかに該当メールの配信を停止しております。

本件の対象となるユーザー様には順次、ご連絡いたします。ユーザーの皆様および関係各位の皆様に多大なご迷惑とご心配をおかけしていることを、ここに深くお詫び申し上げます。
本件に関する概要と対応について、下記の通りご報告いたします。

1.概要および当社の対応について

2024 年 1 月 22 日に一部ユーザー様向けメールの設定を変更し、メールを配信いたしました。1 月 24 日に誤送信に関する問い合わせがあり、社内の調査によって、ユーザー様の個人情報が他のユーザー様に誤って送信されていることを確認し、同日、13 時 10 分に該当メールの配信を停止しております。

2.メール誤送信の詳細

■事象:
以下の期間に OpenWork から配信した一部のメールにおいて、ユーザー様(A)の「氏名」および「求人の閲覧履歴(最大で直近 5 件分)」を他のユーザー様(B)に送信しておりました。

■対象:
A に該当する人数:98 名
B に該当する人数:2,094 名

■期間:
2024 年 1 月 22 日~2024 年 1 月 24 日

3.ユーザーの皆様への対応について

2024 年 1 月 24 日 13 時 10 分に該当のメール配信を停止いたしました。また、本件の対象となるユーザー様には順次、ご連絡させていただきます。

4.再発防止策について

今回の事態を重く受け止め、今後このような事態が発生しないよう、個人情報保護の重要性等についての社内教育を徹底するとともに、個人情報取り扱いフローの見直しなど内部管理体制のより一層の強化とコンプライアンスの徹底に取組んでまいります。なお、本件は個人情報漏えいに該当致しますので、JIPDEC への報告を速やかに行います。

この度は、ユーザーの皆様および関係各位の皆様へ多大なご迷惑をおかけしますこと、重ねてお詫び申し上げます。

【セキュリティ事件簿#2024-019】滋賀レイクス Googleフォーム誤操作による企画申込者の個人情報漏えいについて


1月23日に発信したフードメニューの購入事前予約受付において、WEBフォームの設定ミスにより、申込者22名の個人情報が一時的に他の申込者から閲覧できる状態となっておりました。
対象となった皆様に、多大なご迷惑をおかけしましたことを深くお詫び申し上げます。

概要

株式会社滋賀レイクスターズでは、1月31日のホームゲームで数量限定で販売予定のフードメニュー「ダンク3兄弟 トマホークステーキ」のオンライン時前予約の受付を、23日午後6時40分頃に一般公開いたしました。
その際、受付に使用したGoogleフォームの設定で「結果の概要を表示する」をONに切り替えた状態で公開しており、申込画面で記入事項を送信した後に画面表示される「前の回答を表示」というボタンを押すと、その時点で申込が完了している方の氏名、メールアドレス、電話番号が閲覧できる状態となっておりました。

弊社の公式WEBサイト問い合わせフォームより本件の指摘があり、事態を認識した弊社スタッフが同日午後10時30分頃に設定切り替えを行いましたが、その時点までに申込をいただいていた22名の個人情報が一時的に申込者から閲覧できる状態でした。

なお、設定切り替え以降は、閲覧可能な状態は解消されております。

弊社対応

24日に、対象となる22名へ電子メールと個別の電話により、事態のご説明とお詫びの連絡を行っております。
また、弊社がGoogleフォームで運用しているWEBフォーム受付を全社的に確認し、同様の誤設定はなかったことを確認しております。

原因 

Googleフォームで申込フォームを作成後、担当者が「結果の概要を表示する」をONにする誤操作を行っておりました。社内では質問項目のダブルチェックを行っておりましたが、デフォルト設定では当該設定はOFFであるため、全設定が正常であるかの確認は十分に行われておりませんでした。

再発防止策

再発防止に向けて、個人情報の収集および管理の際に遵守すべき事項を、改めて全社員に周知徹底してまいります。
また、今後も継続的に個人情報保護および情報セキュリティ教育を徹底し、情報管理への感度の引き上げを図るとともに、全社的な情報管理体制の強化に取り組んでまいります。

【セキュリティ事件簿#2024-018】ベルサンテグループ ホームページ改ざん被害に伴う復旧 不審メール送信によるメールアドレス流出


平素は格別のお引き立てを賜り、厚く御礼申し上げます。

2023年12月24日に、当社サーバーが、第三者による不正アクセス被害を受けました。

関係者の皆様には深くお詫びを申し上げますとともに、今般、第三者調査機関による調査が完了いたしましたので、弊社ホームページ改ざん被害に伴う復旧及び不審メール送信によるメールア ドレス流出状況の検証結果をご報告いたします。 

なお、既に当社サーバーは復旧しており、現時点では業務への影響がないことを併せてご報告させていただきます。

【弊社ホームページ改ざん被害内容及び復旧について】

2023年 12 月 24 日未明に、何者かにより弊社ホームページが改ざんされたことが判明いたしました。 弊社データは外部業者が保守しているサーバーにて管理しておりましたが、そのサーバー内に侵入及び改ざんされたことが確認されております。 復旧のため、まずは侵入される前のデータの安全確認を行った後に、新たな外部クラウドサーバーにてホームページの運用を2023年 12 月 28日より開始いたしました。 またスタッフ専用サイトにつきましては、より安全確認に時間を要したため、1 月17日に復旧いたしました。

尚、一部データが見れない状況のため、今後修正していきます。

 【不審メール送信によるメールアドレス流出経緯、及び流出状況報告】 

2023年12 月 24 日未明に、弁護士を名乗った送信者より、下記内容のメール送信がなされました。
・ベルサンテ株式会社が業績悪化の為、12 月 24 日付で破産手続きを開始した。 
・今後の対応は破産管財人及び顧問弁護士が行う。 
送信先:弊社派遣スタッフ(過去勤務者を含む)

被害確認後、早急に各サーバーの状況確認を行い、多くの個人情報や顧客情報を管理するサーバーへの被害が無い旨を確認しましたが、 2020 年 7 月 22 日まで使用していたメール送信システム(外部業者が保守しているサーバーにて管理)に何者かが侵入し、そのシステム内よりメールを送信されたことが判明いたしました。 そのシステムでは当時勤務いただいておりましたスタッフの方専用のメール送信用として活用していたシス テムとなります。 そのシステム内には一部のメールアドレスを保存しており、その一部が侵入者に閲覧された可能性 があると確認いたしました。 

改めまして、関係者の皆様には、心よりお詫び申し上げます。

 尚、メールアドレス以外の個人情報については、安全確認がなされたサーバーにて管理しており、そのサーバーへのウィルス感染はもちろん、部外者からの侵入形跡もなく、脆弱性もないことにより、個人を特定する情報(名前、住所、電話番号、マイナンバーなど)は一切外部へ流出していないことが確認されました。 

当社では、不正アクセス防止の措置及びセキュリティ対策について努めて参りましたが、このたびの事態を厳粛に受け止め、今後、個人情報等の保護・対策について徹底して参りたいと存じます。 

皆様には、大変ご心配とご不便をおかけいたしましたが、今後とも何卒よろしくお願いいたします。

【セキュリティ事件簿#2024-017】プラズマ・核融合学会 個人情報漏えいに関するお知らせとお詫び


このたび、本学会 2002 年当時の会員名簿ファイルが WEB にて検索可能となっていることが判明したため、当該ファイルの削除を行うと共に 2023 年 12 月 8 日に個人情報保護委員会へ報告しました。

2023 年 12 月 5 日に旧会員の方からの指摘があり、調査したところ、当時会員名簿電子化作業を行っていたサーバー機にデータが保存されたままとなっており、2023 年 7 月 29日に機種更新を行った際の設定不備により、2002 年時点での 3,262 名の会員情報 (旧会員を含む) に関して検索可能となっておりました。 会員情報として、 名簿作成当時の会員の氏名、連絡先、学会会員番号、 所属などの情報が含まれておりますが、クレジットカード情報などお金に関わる情報はございません。

本事案判明後、当日中に当該サーバー機をネットから切り離し、 当該ファイルの削除を行うと共に、 検索サイトへのキャッシュの削除依頼などを実施 し、 12 月 27 日までにキャッシュデータが削除されたことを確認しました。

対象となりました会員の皆様には多大なご迷惑をおかけいたしましたこと心からお詫び申し上げます。 本学会では、これまでも個人情報取扱いにあたり、 厳格な取扱いと管理に努めてまいりましたが、このたびの事態を厳斎に受け止め、 再発防止に向けて個人情報管理体制についてあらためて強化改善を図ってまいります。

パープルチーム向け無料セキュリティ・ツール


セキュリティの世界にはレッドチーム、ブルーチーム、パープルチームという概念が存在する。

レッドチーム:

レッドチームは、攻撃者の役割を担うチームです。彼らは、システムやネットワークに対する潜在的な攻撃手法を模倣し、セキュリティの脆弱性や欠陥を発見するために活動します。レッドチームは、ペネトレーションテストや攻撃シミュレーションなどの手法を使用して、実際の攻撃者が使用するであろう手法を模倣します。

ブルーチーム:

ブルーチームは、防御側の役割を担うチームです。彼らは、システムやネットワークを保護し、攻撃から守るためのセキュリティ対策を実装および維持します。ブルーチームは、脆弱性の管理、侵入検知システムの運用、セキュリティポリシーの策定など、防御的なセキュリティ対策に焦点を当てます。

パープルチーム:

パープルチームは、レッドチームとブルーチームの活動を統合し、相互作用を促進するチームです。彼らは、攻撃側の視点と防御側の視点の両方を理解し、セキュリティ対策の改善や脅威への対応を行います。パープルチームは、レッドチームとブルーチームの間で情報共有や訓練を行い、より効果的なセキュリティ対策を実現します。

今回はパープルチーム向けのセキュリティツールを紹介する。

Defender-Pretender

Windows Defender のエンドポイント検出と対応 (EDR) アーキテクチャを乗っ取るために開発されたオープンソースツール「Defender-Pretender」は、特権を持たないユーザーに Defender の管理データを削除する権限を与えます。

SafeBreachの研究者たちは、Black Hat USAでDefender-Pretenderをデモンストレーションし、このツールを使ってOSやドライバファイルを削除したり、検出と軽減ロジックを改ざんすることでWindows Defenderの動作を変更する方法を示しました。

PyRDP

PyRDP自体は目新しいツールではありませんが、このオープンソースの Remote Desktop Protocol (RDP)傍受ツールの開発者が、過去3年間にわたって取得した膨大なハニーポット研究成果をBlack Hat USAで発表しました。

GoSecureチームは、PyRDPを「Python用のモンスター・イン・ザ・ミドル」ツールおよびライブラリと呼び、RDP接続をリアルタイムまたは事後に監視することができます。このツールはハニーポット研究だけでなく、悪名高いリビング・オフ・ザ・ランド攻撃を仕掛けるためのRDP接続を使った攻撃セキュリティ作業にも幅広い可能性を提供します。

BTD

今後、セキュリティ研究者たちが敵対的なAI攻撃の可能性を探るにつれて、モデル抽出がますます注目されるようになるでしょう。これらの攻撃は、モデルに対する体系的なブラックボックスクエリを行う方法や、モデルについて多少の知識がある場合やそれに関連するアーティファクトにアクセスできるホワイトボックス攻撃などを通して、AI/MLモデルの詳細を盗むことを可能にします。

Black Hat で注目されたユニークなツールの一つが、BTD です。これは、最初の深層ニューラルネットワーク (DNN) 実行ファイルデコンパイラです。このツールは、x86 CPU 上で動作する DNN 実行ファイルを入力とし、完全なモデル仕様を出力することができます。

HARry Parser

HARry Parserは、オープンソースの Python 製 .har ファイル解析ツールです。Web ページ上にどのようなトラッカーが存在するかを詳細に把握することを目的として、Agelius Labs によって開発されました。Black Hat USA では、このツールを使って現在のオンライントラッキングの深淵を解き明かすデモンストレーションが行われました。サーバーサイドトラッキング、コンテンツデリバリーネットワーク (CDN)、デバイスフィンガープリンティングなどの追跡方法に加え、電子メールピクセル、支払い取引データ、アクティビティトラッカーがどのように個人情報漏洩を引き起こす可能性があるかも解説されました。

また、HARry Parserは、ユーザーが望まない情報をオンライン閲覧中に共有することを防ぐための具体的な手段を学ぶのにも役立ちます。

PowerGuest

PowerGuest は攻撃セキュリティ評価ツールであり、Azure AD で限定されたゲストアクセスから、権限のないアクセス、さらに企業の SQL サーバー、SharePoint サイト、KeyVault アクセスなど機密性の高いビジネスデータやシステムへのアクセスに至るまで、アクセス権限をエスカレートすることができます。このツールは、Microsoft のローコード/ノーコードプラットフォームである PowerPlatform を介して共有された資格情報を利用してこれを実現します。

このツールの手法と設計上の弱点は、マイケル・バーギュリー氏によるブリーフィングセッションで詳しく説明されました。また、PowerGuest 自体も別の Black Hat Arsenal セッションで注目され、デモンストレーションが行われました。

【セキュリティ事件簿#2024-016】「弥生のかんたん開業届」における個人情報漏えいに関するお詫びとご報告


弥生株式会社は、当社が提供する「弥生のかんたん開業届」サービスにおいて、入力いただいた情報が漏えいした可能性があることを確認いたしました。対象のお客さまをはじめ、関係者の皆さまに多大なるご迷惑とご心配をおかけしておりますことを深くお詫び申し上げます。なお、事象検知から現時点までにおいて、対象情報が不正利用された事実は確認されておりません。

現在、原因となったシステム不具合は改修を完了しており、以後、同事象は発生しておりません。今回の事象は、対象期間と対象条件(後述)において、「弥生のかんたん開業届」をご利用いただいた方に発生しました。対象数は152 ユーザーです。対象数には、ご自身の情報が他ユーザー1名に閲覧された、もしくはその可能性がある方、他ユーザー1名の情報を閲覧できてしまった、もしくはその可能性がある方が含まれます。

対象のお客さまへは、当社カスタマーセンターから、順次ご連絡を差し上げております。お忙しい中、誠に申し訳ございませんがご対応いただけますようお願い申し上げます。

なお、当事象は不正アクセス等に起因するものではなく、「弥生のかんたん開業届」のシステム不具合により発生しました。また、当社が提供する「弥生シリーズ」をはじめとした業務ソフトウエアおよび各サービスへの影響はございません。

現時点(2024年1月26日(金) 15時)での情報は下記のとおりです。今後も新たな事実が判明した場合は、当お知らせを随時更新し情報発信を行います。

1.事象の概要

(1)発生事象とシステム対応

以下「2」に記載する対象期間かつ対象条件において、「弥生のかんたん開業届」サービス利用者のみがダウンロードできる書類データ(PDF)*にて、入力した本人とは異なる別ユーザーの情報が反映された書類データがダウンロードされ、それを閲覧できた可能性**があることがわかりました。お客さま(以下、A様)からお問い合わせをいただき、当事象を検知しました。その後、調査を行い原因を特定、システム改修は2024年1月15日(月) 16時25分に完了しております。なお、事象検知から現時点までにおいて、対象情報が不正利用された事実は確認されておりません。

*書類データ(PDF)の書類数と情報内容は、お客さまの入力内容によって異なります。詳細は「3」をご確認ください

**「可能性」と記載している理由:調査の結果、対象数のうち、書類データに問題無いユーザーも含まれている可能性があることがわかりました。一方でそれ以上の特定がシステム上、難しいことも判明したため、当お知らせでは「可能性」と記載しております。今回は可能性のある方をすべて対象数とし、対応と公表をすることといたしました

2. 対象のお客さま

(1)対象サービス

「弥生のかんたん開業届」
  • 個人事業主が事業を開始する際に必要な書類を作成できる無料のクラウドサービスです。サービスへのログイン後に使用することができます。

(2)対象期間と対象条件

  • 2023年2月28日(火)~2024年1月15日(月)
  • 「弥生のかんたん開業届」内にある書類データのダウンロードボタンを押下した際に行われるプログラムの内部処理の時刻が、同時刻(0~2秒以内)で2人同時に*行われた場合
*「2人」のうち、1人は本人(入力した自身)の情報、もう1人は自身が入力したものとは異なる情報が閲覧できる状態であった可能性。また、 3人以上が同時に押したケースは確認しておりません

(3)対象数と件数

① 対象数は152ユーザーです。以下が含まれます。
  • ご自身の情報が他ユーザー1名に閲覧された、もしくはその可能性があるユーザー
  • 他ユーザー1名の情報を閲覧できてしまった、もしくはその可能性があるユーザー
② ①のうち、閲覧された/したの関係性にある可能性がある件数は79件*

*関係性にある可能性という事実までは確認できておりますが、システム上、どちらが閲覧した/されたの特定はできておりません

3. 対象情報

(1)閲覧された可能性のある情報

「弥生のかんたん開業届」からダウンロードされた書類に記載されていた項目
  • 氏名、生年月日、住所、電話番号、職種、事業概要、屋号、事業開始(予定)日、従業員がいらっしゃる場合は従業員数、従業員にご家族が含まれる場合はご家族の情報(続柄、氏名、年齢、従事する仕事内容、経験年数、従事の程度、保有資格、給与/賞与の支払時期・金額)
  • 以下の書類に入力された項目(入力内容によってダウンロードされる書類が異なります)
  • 個人事業の開業・廃業等届出書
  • 所得税の青色申告承認申請書
  • 青色事業専従者給与に関する届出書
  • 源泉所得税の納期の特例の承認に関する申請書
  • 給与支払事務所等の開設届出書
*お客さまが入力された情報、ダウンロードされた書類の種類により、該当する情報は異なります

当サービスへのログイン時に必要となる弥生ID(メールアドレス)および各種パスワードは含まれておりません。また、クレジットカード番号やマイナンバーは当サービスの利用において取得しておらず、含まれておりません。

4. お客さまへの対応

(1)当社からお客さまへの対応

  • 2024年1月25日(木)に当お知らせを公開*
  • 対象となるお客さま(前述「2」)へ個別連絡を随時実施しております**

*今後も新たな事実が判明した場合は、当お知らせアナウンスを随時更新し情報発信を行います

**前述1-(1)で当社へ問い合わせをいただいたA様に関連する事象については、A様が閲覧された先のB様を特定後、A様にて該当データの削除を完了いただいております。B様へも当社から個別連絡を行っております。

(2)当件においてご不安や確認事項があるお客さまへ

  • 当件においてご不安を持たれた方
  • 心当たりのない不審な電話、郵送物、電子メールが届くような事象が発生した方(応答や開封にご注意ください)
  • そのほか、当件について確認事項等がある方
専用お問い合わせ窓口までご連絡ください。

5. 当事象の発生検知と原因、影響範囲

(1)発生検知と原因

発生検知
  • 2024年1月15日(月) 9時47分、当社カスタマーセンターにて「弥生のかんたん開業届にて、書類をダウンロードした際、別ユーザーの情報が表示されている」とのメールお問い合わせを確認し、当事象を検知しました。
発生原因
  • 検知後すぐに当サービスの開発委託会社とともに調査を行いました。事象の詳細としては、ダウンロードボタンを押下した際に行われるプログラムの内部処理の時刻が、同時刻(0~2秒以内)で2人同時に行われたことを起因として、当事象が起きる可能性があるというものでした。先に内部処理が完了したデータ(以下、データA)が、後に同処理が完了したデータ(以下、データB)に上書きされ、データAをダウンロードすべき対象者にデータBがダウンロードされた可能性があるという状態でした。
原因に対するシステム改修は、当事象を検知した当日中(2024年1月15日)に完了しており、以後は発生しておりません。

(2)影響範囲

  • 当事象は不正アクセス等に起因するものではなく、「弥生のかんたん開業届」のシステム不具合により発生しました。また、当社が提供する「弥生シリーズ」をはじめとした業務ソフトウエアおよび各サービスへの影響はございません。

6. 今後の取り組み

当事象の検知後、原因の検証と改修を行ってまいりました。検証結果を踏まえ、再発防止に向けた議論と対応を当サービスの開発委託会社とともに継続的に取り組んでまいります。

このたびはご利用のお客さまおよび関係者の皆さまにご迷惑とご心配をおかけしておりますことを深くお詫び申し上げます。