2024年5月31日に公表したとおり、このたび、当社が利用するクラウドストレージの一部で不正アクセスによる被害が発生いたしました。
当社は、対策本部を立ち上げ、被害の全容解明、原因究明および再発防止に総力を上げて取り組んでまいりました。調査の結果、判明した不正アクセスの原因及び再発防止策について下記の通りご報告いたします。なお、現時点で二次被害等は確認されておりません。
お客様ならびに関係者の皆さまに多大なるご迷惑とご心配をおかけする事態となりましたことを、改めて心より深くお詫び申し上げるとともに、今回の事態を重く受け止め再発防止に努めてまいります。
■不正アクセスの原因について
当社および外部委託の開発会社とともに、不正アクセスの原因について調査を進めてまいりました。
その結果、悪意のある第三者が、当社が利用するクラウドストレージ（外部サービス）のアクセスキーを窃取し、静的データ（PDFや画像、テキスト、ログ等）を削除していることが判明いたしました。
なお、該当データ以外のデータやプログラムは削除されておりませんでした。
■再発防止策について
当社ではこれまで、外部からの攻撃を検知・防御するWebアプリケーションファイアウォール（WAF）の設置や、定期的な脆弱性診断（プログラムのリスク診断）などを通じてセキュリティ対策を実施してまいりましたが、今回の不正アクセスの被害を重く受けとめ、改めてセキュリティ対策の強化を検討・実行いたしました。
以下の通り、再発防止策をご報告いたします。
(1)本件不正アクセスについての対策
窃取されたアクセスキーについては、削除および設定の変更、セキュリティレベルの強化を実施しました。併せて、BCPの観点から、システム全体のバックアップも実施いたしました。
(2)本件不正アクセスについての事後・恒久対策
今後、セキュリティ専門会社による脆弱性診断と追跡調査を実施いたします。また、アクセスキーの高度な暗号化と自動変更機構の導入等の対策により、同様の被害の再発を防止いたします。
(3)当社システムのさらなるセキュリティ強化
開発環境と本番環境（お客様への提供環境）およびサービスごとのアクセス権限分離、開発時に利用するサービスのアカウント権限・運用ルールの見直し、アクセス可能なネットワーク・端末の制限見直しを実施してまいります。併せて、 当社および外部委託先従業員へのセキュリティ教育も実施いたします。