【セキュリティ事件簿#2024-523】株式会社三越伊勢丹 ISETAN DOOR不正アクセス発生に伴うなりすましログイン被害について 2024/11/26

 

日頃より、ISETAN DOORをご愛顧いただき、誠にありがとうございます。

この度、弊社が運営するISETAN DOORにおきまして、第三者が外部から不正に取得したIDとパスワードを使用し、お客様になりすましてログインする事象が発生いたしました。

※該当のお客さまには11月26日にメールでご連絡をさせて頂いております。

ご迷惑とご心配をお掛けいたしましたこと心よりお詫び申しあげます。

【本件の詳細な経緯、被害状況等】

1.発生の経緯

弊社にて把握したのは2024年11月25日(月)19時ごろです。

調査により、2024年11月24日(日)より発生したことが判明しております。

2.被害の状況（2024年11月26日(火) 9時時点）

・不正なアクセスが確認された期間：2024年11月24日(日)20時40分頃から2024年11月25日(月)22時頃

・なりすましログインされた可能性のあるアカウント数：11,073件（2024年11月26日(火)現在）

・参照された可能性のあるお客様情報：氏名、住所、電話番号、メールアドレス、お届け先氏名、お届け先住所、お届け先電話番号、お届け先メールアドレス、予約/購入履歴

※尚、クレジットカード情報につきましては決済代行会社にて保持しておりますため、第三者に閲覧されている可能性はございません。

3.該当するお客様への対応

・弊社にてパスワードのリセットを実施し、パスワードの再設定、ならびにカスタマーサポート窓口の案内を行います。

4.弊社の対応、および今後の対策

不正ログイン攻撃対策としてウェブアプリケーションファイアウォール（WAF）を導入しておりましたが、さらに対策を強化するため、なりすましログインの検知後にサーバー側にて対策を講じております。 また、今後につきましてはセキュリティ対策をより一層強化することで、再発防止に努めてまいります。

【お客様へのお願い】

お客様におかれましては大変お手数ではございますが、弊社ホームページのパスワード再設定ページにて、新しいパスワードを設定いただきますよう、ご協力をお願いいたします。

https://isetandoor.mistore.jp/welcome?page=PasswordResetBean

新しいパスワードでログイン後、身に覚えのないご注文履歴が無いか、お客様ご登録情報が変更されていないか、マイアカウントのページからご確認いただきますよう、お願い申しあげます。

パスワードリセットに伴い、定期ボックスの変更・キャンセル等でご不便をおかけする場合は、カスタマーサポートまでご連絡ください。

パスワードのリセット方法につきましては、下記ページの「1．パスワード忘れた」の手順もあわせてご確認ください。

https://isetandoor.mistore.jp/shop.g6--guide--trouble__html.htm#trouble01

対象のお客様におかれましては、閲覧された可能性のあるメールアドレスを悪用した、スパムメール、フィッシングメールなどが送付される可能性が考えられます。

不審なメールを受け取られた場合には、直ちに消去していただきますようお願い申しあげます。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-522】福島県警、ずさんなメールサーバの運用管理により、数万件の不審メールを垂れ流す

 

福島県警は２６日、外部用の電子メールのサーバーが不正に中継され、不特定多数にメール約５万件が送信されたと発表した。

県警情報管理課によると、２６日午前６時頃～午後２時頃、国外からのメールが県警のメールサーバーを不正に中継し、国内外の宛先に送信されたとみられる。メールの件名には「Ｎｏｔｉｃｅ」などと書かれており、内容などは調査中だという。

サーバーのウイルス感染や情報流出は確認されていない。県警内部でやり取りする電子メールには影響がなく、捜査などの警察活動にも支障はなかった。同課は「不審なメールを受信したら破棄してほしい」と呼びかけている。

出典：福島県警のサーバーに国外から件名「Ｎｏｔｉｃｅ」のメール、中継されて５万件不正送信…「受信したら破棄を」（アーカイブ）

【セキュリティ事件簿#2024-520】エスビック株式会社 弊社メールアカウントによる迷惑メール送信に関して 2024/11/26

 

この度、弊社子会社である新日本陸送株式会社の従業員1名において、メールアカウントへの不正アクセスが発生し、2024年11月20日頃より迷惑メールが送信される事態となりました。（メールドメインは@s-bic.co.jp）

当該メールアドレスに関しては再発防止の処置を致しました。

エスビック株式会社及び、新日本陸送株式会社を装ったメールで、内容に心当たりがないメールを受信された場合は、本文中に記載されたURLや添付されているファイルを開かず、削除していただきますようお願い致します。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-519】株式会社ナイスユニ 当社インスタグラムアカウントへの不正アクセスの報告とお詫び 2024/11/25

 

2024年11月25日未明、株式会社ナイスユニ公式インスタグラムアカウントが第三者による不正アクセスを受け、乗っ取られていることが判明しました。

現在、二次被害は確認されておりませんが、万が一「ナイスユニ」を装ったメッセージや、不審なURLが含まれたダイレクトメッセージが届いた場合は開封せず、削除していただくようお願いいたします。

また、ストーリーで「インターネット投資で利益が出たので方法を共有します」等といった内容の投稿がなされておりますが

当社によるものではございません。リンク先へのアクセスやダイレクトメールへの反応等は行わないよう、ご注意ください。

現在、インスタグラム運営会社に不正アクセスの報告と対応を依頼しており、二次被害の有無についても調査を進めています。

関係者の皆さまには多大なるご心配とご迷惑をおかけしておりますことを、深くお詫び申し上げます。

当社は今回の事態を厳粛に受け止め、再発防止に努めてまいります。

【弊社運営インスタグラムアカウント】

r16ikuta

kireiuni_coodinate

fooduni_coodinate

リリース文（アーカイブ）

【セキュリティ事件簿#2024-244】株式会社銀時 弊社が運営する「銀時公式通販サイト」への不正アクセスによる 個人情報漏えいに関するお詫びとお知らせ 2024/11/25

 

このたび、弊社が運営する「銀時公式通販サイト」（以下、「本件サイト」といいます。）におきまして、第三者による不正アクセスを受け、お客様の個人情報（17,171件）、クレジットカード情報（2,162件）が漏えいした可能性があることが判明いたしました。

お客様をはじめ、関係者の皆様に多大なるご迷惑およびご心配をおかけする事態となりましたこと、深くお詫び申し上げます。

なお、クレジットカード情報及び個人情報が漏えいした可能性のあるお客様には、本日より、電子メールにてお詫びとお知らせを個別に順次ご連絡申し上げております。電子メールがお届けできなかったお客様、ご登録の無いお客様には、書状にて個別に順次ご連絡させて頂きます。

弊社では、今回の事態を厳粛に受け止め、再発防止のための対策を講じてまいります。お客様をはじめ関係者の皆様には重ねてお詫びを申し上げますとともに、本件に関する概要につきまして、下記の通りご報告いたします。

1. 経緯

2024年5月28日、警察より本件サイトがサイバー攻撃に遭っている可能性があるという連絡を受け、2024年6月3日、本件サイトでのクレジットカード決済を停止し、第三者機関（外部のセキュリティ企業）のフォレンジック調査を実施いたしました。

2024年7月29日、第三者機関による調査が完了し、調査の結果、2021年6月28日～2024年5月30日の期間に本件サイトにてご注文時に入力されたお客様のクレジットカード情報が漏えいした可能性があることを確認いたしました。

2. クレジットカード情報及び個人情報漏えい状況

（1）原因

弊社が運営する「銀時公式通販サイト」のシステムの一部の脆弱性をついたことによる第三者の不正アクセスにより、ペイメントアプリケーションの改ざんが行われたため。

（2）クレジットカード情報の漏えいの可能性があるお客様

2021年6月28日～2024年5月30日の期間中に本件サイトにおいてクレジットカード決済をされたお客様は1,850名で、漏えいした可能性のある情報は以下のとおりです。

• クレジットカード番号
• 有効期限
• セキュリティコード

上記に該当する1,850名のお客様については、別途、電子メールにて個別に順次ご連絡申し上げます。電子メールがお届けできなかったお客様、ご登録の無いお客様には、書状にて個別に順次ご連絡させて頂きます。

（3）個人情報が漏えいした可能性のあるお客様（計17,171名〔内クレジットカード情報の漏えいの可能性がある方1,850名を含む。）

①2012年2月21日～2024年5月30日の期間中に本件サイトにおいて会員登録されたお客様で、漏えいした可能性のある情報は以下のとおりです。

• 氏名
• 住所
• 電話番号
• メールアドレス
• 本件サイトのログインパスワード
• 生年月日（＊１）
• その他（職業等）（＊１）

（＊１）会員登録時に当該情報を入力されたお客様のみが対象となります。

②2012年2月21日～2024年5月30日の期間中に本件サイトにおいて商品の購入者として記録されていたお客様（＊２）で、漏えいした可能性のある情報は以下のとおりです。

• 氏名
• 住所
• 電話番号
• メールアドレス　など。

（＊２）商品の購入に際し決済画面に移行したものの、途中でキャンセルとなったお客様情報も含みます。

③2012年2月21日～2024年5月30日の期間中に本件サイトにおいて商品の送り先として記録されていた方で、漏えいした可能性のある情報は以下のとおりです。

• 氏名
• 住所
• 電話番号　など。

④2017年8月26日～2020年12月30日の期間中 に、弊社原宿本店において限定商品（タイアップ商品）に関するイベント（お渡し会）の予約票に、以下の情報をご記入いただいたお客様で、漏えいした可能性のある情報は以下のとおりです（＊３）。

• 氏名
• 住所
• 電話番号
• メールアドレス　など。

（＊３）予約票に当該情報を記載されたお客様のみが対象となります。

上記①～④に該当する17,171名 のお客様については、別途、電子メールにて個別にご連絡申し上げます。電子メールがお届けできなかったお客様、ご登録の無いお客様には、書状にて個別に順次ご連絡させて頂きます。

3. お客様へのお願い

(1)クレジットカード不正利用のご確認のお願い

既に弊社では、クレジットカード会社と連携し、漏えいした可能性のあるクレジットカードによる取引のモニタリングを継続して実施し、不正利用の防止に努めております。お客様におかれましても、誠に恐縮ではございますがクレジットカードのご利用明細書に身に覚えのない請求項目がないか、今一度ご確認をお願いいたします。万が一、身に覚えのない請求項目の記載があった場合は、たいへんお手数ですが同クレジットカードの裏面に記載のクレジットカード会社にお問い合わせいただきますよう、併せてお願い申し上げます。

なお、お客様がクレジットカードの差し替えをご希望される場合、クレジットカード再発行の手数料につきましてはお客様にご負担をお掛けしないよう、弊社よりクレジットカード会社に依頼しております。

(2)他のサイトにおけるログインパスワード変更のお願い

本件サイトは現在停止しておりますが、他のサイトで本件サイトと同一の値のパスワードを使用されている場合には、念のため、当該他のサイトにおいてもパスワード変更のお手続をしていただきますよう、併せてお願い申し上げます。

4. 再発防止策ならびに弊社が運営するサイトの再開について

弊社はこのたびの事態を厳粛に受け止め、調査結果を踏まえてシステムのセキュリティ対策および監視体制の強化を行い、再発防止を図ってまいります。現在、弊社は旧サイトとは完全に分離したシステムでオンラインショップ（新サイト）を運営しております。クレジットカード決済は現在のところ停止しており、再開につきましては決定し次第、改めて新サイト上にてお知らせいたします。

弊社は今回の不正アクセスにつきまして、2024年6月3日の時点で個人情報保護委員会に報告済みであり、また所轄警察署にも被害申告しており、今後捜査にも全面的に協力してまいります。

リリース文（アーカイブ）

【2024年6月11日リリース分】

リリース文（アーカイブ）

【セキュリティ事件簿#2024-515】株式会社RPA NEXT 重要なお知らせ 2024/11/22

 

お客様、関係者各位

平素より大変お世話になっております。

現在、弊社Webサイト (https:/rpanext.co.jp/ ) が、何者かの悪意ある攻撃によって、改ざんの被害を受けています。

現状確認されている改ざん箇所については以下の通りです。

・各ページのページタイトル、ディスクリプションの改ざん

・サイトマップファイルの改ざん

弊社サイト内には、機密情報に当たるものの配置はございませんので、情報漏洩等の可能性はさございません。

また、悪意あるサイトへのリダイレクトやリンクも確認されていません。

現在、弊社システム担当者が復旧に努めております。

ご心配とご迷惑をおかけいたしまして大変申し訳ございませんが、ご理解賜りますようよるろるしくお願い申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-514】サンエックス株式会社 サンエックスネットショップ不具合に関するお知らせとお詫び 2024/11/20

 

いつもサンエックスネットショップをご利用いただき誠にありがとうございます。

当サイトへのアクセス集中、かつ転売を目的とした不正アクセスの影響が続いており、正常にサービスをご利用いただけない状況が発生しております。

このため、ページの表示が遅くなる、またはサイトにアクセスができない状況が続いております。

復旧作業を進めておりますが、改善まで今しばらくお時間をいただく見込みとなっており、ご利用のお客様には引き続きのご迷惑をおかけしますが、何卒ご了承いただきますようお願い申し上げます。

11/18（月）10時より発売しました「Maison de FLEUR×コリラックマ」商品につきましては、

【お一人様1個まで】と個数制限をかけさせていただいております。

複数ご注文いただいたお客様につきましては

大変恐縮ではございますが、一部ご注文をキャンセル対応させていただいております。

■対象品

・RLK11494　バッグチャーム（Maison de FLEUR・コリラックマ）

・RLK11495　バッグチャーム（Maison de FLEUR・くまのぬいぐるみ）

・RLK11496　ぬいぐるみ（Maison de FLEUR・コリラックマ）

上記キャンセル分につきましては、改めて発売日を調整の上、再販売をさせていただきます。

再販売の方法及び時期につきましては、追ってサイト上で告知させていただきます。

ご利用のお客様には多大なご迷惑、ご心配をおかけしますこと、心より深くお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-441】株式会社JVCケンウッド YouTube チャンネル「MAGICAL JUKE BOX」の乗っ取り被害について 2024/11/20

 

当社は2024年10月2日に公表しました「YouTubeチャンネル『MAGICAL JUKE BOX』の乗っ取り被害について」の通り、2024年6月に主催したバーチャル音楽フェスイベント「MAGICAL JUKE BOX」で使用・管理するGoogleアカウントが第三者に不正アクセスされ、そのアカウントに紐づく公式YouTubeチャンネルおよび公式Xアカウントの乗っ取り被害が判明しました。その後、関係機関との連携のもと外部専門機関による詳細な調査を行ってまいりましたが、現時点で確認できた内容について以下の通りお知らせします。

1．確認された不正アクセス（既報）

2024 年 9 月 24 日に、当社が 6 月に主催したバーチャル音楽フェスイベント「MAGICAL JUKE BOX」の運営に関連するアカウントへの不正アクセスが発覚し、10 月 2 日時点で以下の状況が判明しておりました。

・「MAGICAL JUKE BOX」公式YouTubeアカウントが配信に利用された可能性がある状況が判明。

・「MAGICAL JUKE BOX」で使用・管理するGoogleアカウントに格納されていた個人情報にあたる可能性のある情報が閲覧できる状態になっていることが判明。

・「MAGICAL JUKE BOX」公式Xアカウントのダイレクトメールの内容にあった個人情報を含む情報が閲覧できる状態になっていることが判明。

２．流出可能性のある情報の範囲と内容

１）範囲：当該イベント用 Google アカウントに紐づく Google ドライブに格納されていた情報

２）内容：

・当該イベント開催時のアンケート回答情報（X アカウント 143 名分の性別、年齢層情報など）

・公式 X アカウント受信ダイレクトメールの内容にあった 1 件の個人情報

３．現在の対応

アンケート回答情報にある X アカウント 143 名、および公式X アカウント受信ダイレクトメールにあった個人情報に該当する 1名のうち、連絡可能な方には個別に連絡済みです。これまでに二次被害の報告はありません。また、外部専門機関による調査の結果、不正アクセス先は、Gmail、Maps、X、YouTube Creatorおよび YouTube サービスであることが判明し、二次被害の痕跡はありませんでした。

４．今後の対策と再発防止

当社は引き続き、再発防止に向けて当社のセキュリティに関するインシデント対応のチームおよび関係各所のセキュリティ責任者とともに、外部の専門機関とも連携し、セキュリティインシデントへの迅速かつ効果的な対応能力を高めてまいります。また、SNS アカウントをはじめとする個人情報取り扱い業務における管理体制の厳重化を全社員に向けて徹底していきます。なお、本件につきましては、今後お知らせすべき内容が判明した際には、速やかにお知らせいたします。関係各位には、多大なるご心配をおかけしましたこと、重ねて深くお詫び申し上げます。

リリース文（アーカイブ）

【2024年10月2日リリース分】

リリース文（アーカイブ）

【セキュリティ事件簿#2024-481】好奇心で企業のサーバーに不正アクセスした21歳男タイーホされる

 

広島県内にある企業のサーバーに不正にアクセスしたとして、広島県警は2日、神奈川県川崎市に住むアルバイト従業員の男（21）を不正アクセス禁止法違反などの疑いで逮捕しました。

警察によりますと、男は23年5月、広島県内の電気通信会社が使用しているメール配信ソフトの脆弱性をついて、サーバーに不正にアクセスするなどした疑いが持たれています。

調べに対し男は「間違いありません。ホームページの改ざんに興味があって好奇心でやりました」と容疑を認めているということです。

広島市では23年6月、複数の大学に爆破予告メールが送信される事件が発生。

警察が捜査していたところ、メールは、県外の福祉施設のサーバーを経由して送信されていることが判明しました。

この福祉施設のサーバーへ男がアクセスしていたことが分かり、その後の捜査で、広島県内の企業のサーバーへ不正アクセスしていた疑いが浮上したということです。

警察によりますと、男は同じ手口で福祉施設のサーバーへアクセスしている可能性があるといいます。

さらに、押収したパソコンの解析から、男はインターネットの掲示板で、特定の弁護士への中傷や、特定の弁護士を騙り爆破予告を繰り返す人たち「恒心教」に強い影響を受けているとみられ、警察は広島市内で起きた爆破予告に関与している可能性があるとみて捜査を進めています。

出展：企業のサーバーに不正アクセスした疑いで男を逮捕　複数の大学への爆破予告メールにも関与か　男は特定の弁護士を騙り爆破予告を繰り返す人たち「恒心教」に強い影響を受けているとみて警察が捜査（アーカイブ）

【セキュリティ事件簿#2024-440】株式会社双進 お詫びとご報告 X(旧Twitter)について 2024/10/2

 

弊社公式X（旧Twitter）アカウントの乗っ取り被害について

平素より弊社商品をご愛顧いただき、誠にありがとうございます。

2024年10月1日未明より、弊社のXアカウント「@RivalleyFishing」が第三者に不正ログインをされいることが判明いたしました。

この間に行われた不審なツイート・リツイート(RT)・ダイレクトメッセージ(DM)は当社とは関係がございませんことをご報告いたします。

また、皆様にはご不便とご心配をおかけいたしましたこと深くお詫び申し上げます。

再発防止のため社内のTwitter等のセキュリティに関する運用ルールやログインに関する設定を第三者から不正にアクセスされないよう強化いたしました。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-435】名古屋大学 情報流出の可能性についてのお詫びとご報告 2024/9/27

 

この度、令和 6 年 8 月 20 日に、外部からの通報により「東海国立大学機構 100 人論文」Web サイト（https://www.100nin.aip.nagoya-u.ac.jp/：現在遮断中）が改ざんされていることが明らかになりました。

それを受けて調査を行ったところ、サイト内に悪意のあるコードが埋め込まれたファイルが作成されていることが判明致しました。

ファイルの作成経緯は未だ判明しておりませんが、管理者ユーザーのログイン情報を使って管理画面にアクセスする攻撃が最も容易であると考えられます。仮に管理画面にログインできていた場合、データベースに保存されていた以下の情報にアクセスが可能となるため、これらの情報が漏洩した可能性が考えられます。

・「東海国立大学機構 100 人論文」参加登録内容：氏名、登録メールアドレス、所属機関（名古屋大学又は岐阜大学）、職階（職員の場合）又は学年（大学院生の場合）

・研究紹介内容

・研究紹介に対する参加者のコメント

現時点で情報漏洩の事実は確認されておりませんが、「100 人論文」参加者の皆様には、個別にご連絡をしております。

今回の件により、関係者の皆様に多大なご迷惑とご心配をおかけしておりますこと、深くお詫び申し上げます。

現在、東海国立大学機構内の関係部門と共に対策に当たっており、当面の対応として当該Web サイトと学内外の通信を遮断しております。また、引き続き本件の調査を行い、悪意あるコードを除去するとともに、当該 Web サイトのセキュリティ強化作業を実施する予定です。

これまでも Web サイトの運営に当たっては、個人情報の取り扱いに際して管理の徹底に努めてまいりましたが、このような問題が発生したことを踏まえ、今後も更なる管理の厳格化とセキュリティ強化を図り、再発防止に全力で取り組んで参ります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-433】スマートニュース株式会社 当社Facebookアカウントのセキュリティ侵害について 2024/9/28

 日本時間9月27日（金）の午後11時頃、当社の米国Facebook公式アカウントに不正アクセスが行われ、当社に関する虚偽の情報が投稿されました。当該投稿は削除し、セキュリティ措置を実施するとともに、経緯と原因の詳細を調査中です。

当社では、今後このような事態の再発防止のため、セキュリティ体制の見直しを図る考えです。皆様には、ご心配をおかけしたことをお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-414】国立環境研究所サーバにおける迷惑メール送信について 2024/9/17

 

国立環境研究所がクラウドサービス事業者と契約をしていたWebコンテンツ開発用サーバにおいて、メールサービスへの外部から不正なアクセスがあり、所外の方へ迷惑メールが送信されたことが判明しました。

当該メールを受け取られた方々には深くお詫び申し上げます。

なお、当該サーバにおいては機微な情報の取り扱いは無く、迷惑メール送信へ悪用されたのみで情報漏洩等の被害はありませんでした。

事案の概要等は、次のとおりです。

1.概要

令和6年8月21日（水）16時頃から令和6年8月23日（金）17時30分頃までの間に、国立環境研究所がWebコンテンツ開発用として契約をしていたクラウドサーバで稼働していたメールサービスに不正なログインが行われ、所外の方へ迷惑メール送信が行われました。

送信メールの内容は、オランダ語とみられる言語で記載された、ベルギーで利用されているカードサービスを装ったフィッシングメールであり、海外のメールアドレスを中心に 約25000通 のメール送信が行われたことを確認しています。

なお、当該サーバにおいては機微な情報の取り扱いは無いため、情報漏洩等の被害はありませんでした。

2.原因

メールアカウントのパスワードが推測されやすいものになっていたため、メールサービスに不正なログインが行われたことが原因と考えられます。

3.対応状況

迷惑メールの送信が行われた事案が判明した後、ただちに当該サーバへのアクセスを遮断する等、必要な措置を実施しています。

4.再発防止策

国立環境研究所では、今般の事案に対し、技術的・システム的な情報セキュリティ対策の更なる強化を実施するとともに、職員に対する研修・訓練等の情報セキュリティ教育を徹底してまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-413】横浜国立大学 本学研究室が所有するサーバへの不正アクセスについて 2024/9/17

 

本学の研究室で所有している、数値計算等を行うために運用しているサーバが不正アクセスを受け、外部への攻撃の踏み台となっていたことが判明いたしました。

2024年9月5日（木）、当該サーバのIPアドレスからの不正な通信について外部機関より通報を受けて調査をしましたところ、当該サーバが外部からの不正アクセスにより攻撃の踏み台となっていたことが判明したため、ただちにネットワークから遮断しました。

本事案は、当該サーバの運用にあたり、リモート接続に使用していたSSHサーバが不正にアクセスされたもので、詳細については現在調査を進めております。なお、当該サーバに機密情報や個人情報は保存されておりませんでした。

ご関係の皆様にご迷惑とご心配をおかけしたことを深くお詫び申し上げます。

早急に調査を進め、今後、この様な問題が発生しないよう、再発防止に努めてまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-408】公益財団法人福島イノベーション・コースト構想推進機構 ロボテスフェスタ2023ホームページについて 2024/9/13

昨年度当所で開催された、ロボテスフェスタ2023の公式ホームページですが、現在当所と一切関係のないサイトに繋がる状況になっております。

つきましては、クリック等行っていただきませんよう、お願いいたします。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-407】関東学院大学 不正アクセスによる迷惑メール送信のお詫びについて 2024/9/13

 

このたび、本学教員1名のメールアカウントが不正にアクセスを受け、迷惑メールが送信されるという事案が発生しました。

現在、本件につきましては、公的外部専門機関および県警と連携し、原因の特定、被害状況の確認等の調査を実施しております。

関係者の皆様に大変なご迷惑をおかけすることになり、深くお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-398】ヤマトホールディングス株式会社 海外子会社サーバーへの不正アクセスの発生について 2024/9/12

 

ヤマトホールディングス株式会社（本社：東京都中央区、代表取締役社長：長尾裕、以下「ヤマトHD」）は、シンガポールヤマト運輸株式会社（本社：シンガポール共和国、代表取締役社長：梨本祐児、以下「YTS」）が、9月4日（水）に、同社のサーバーが第三者による不正アクセスを受けたことを確認しましたので、お知らせいたします。

YTSでは、不正アクセスの確認後、速やかに外部からのアクセスを制限するなど必要な対策を講じるとともに、関係当局への報告を行っています。

また、現在、セキュリティ専門機関の協力を得て、原因および影響範囲の調査を進めるとともに、情報セキュリティの強化および再発防止策の検討を進めています。

なお、今回の不正アクセスはYTSのサーバーにとどまり、ヤマトHDを含む他のヤマトグループのサーバーやネットワークへの影響がないことを確認しています。

関係する皆さまに多大なるご迷惑とご心配をおかけしていることを、深くお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-416】個人情報保護委員会 株式会社 NTT マーケティングアクト ProCX 等における 不正持ち出し事案に対する個人情報の保護に関する法律 に基づく行政上の対応について 2024/9/11

 

個人情報保護委員会は、本日、株式会社 NTT マーケティングアクト ProCX 等における不正持ち出し事案に対する個人情報の保護に関する法律（平成 15 年法律第 57号）に基づく行政上の対応について、以下資料のとおり、取りまとめましたので、お知らせいたします。

第１ 事案の概要

１ 株式会社 NTT マーケティングアクト ProCX（西日本電信電話株式会社（以下「NTT 西日本」という。）が 100％出資する子会社。以下「ProCX 社」という。）は、多数の民間事業者及び地方公共団体等から委託を受け、商品販売等や健康診断等の行政上の通知に係るコールセンター業務（以下「コールセンター業務」という。）を行っている。

２ 本件は、平成 25 年７月頃から令和５年２月頃にかけて、ProCX 社のコールセンター業務に関するシステムの提供及び保守運用を行っている NTT ビジネスソリューションズ株式会社（NTT 西日本が 100％出資する子会社。以下「BS 社」という。）の元従業者（派遣会社から BS 社に労働者派遣されていた派遣社員。以下「Ｘ」という。）が、委託元である民間事業者 30 社、独立行政法人１機関及び地方公共団体 38 団体（以下まとめて「本件委託元」という。）の顧客又は住民等に関する個人データ等合計約 928 万人分を不正に持ち出したことにより漏えいが発生し、Ｘが名簿業者に売却した事案である。

第２ ProCX 社及び BS 社に対する対応状況

１ これまでの経緯

⑴ コールセンター業務を ProCX 社に委託していた本件委託元のうちの１社（以下「Ａ社」という。）は、令和４年１月から３月に、同社の顧客から、「不審な投資の勧誘電話があり、Ａ社から自身の個人情報が流出しているのではないか。」との問合せを複数回受け、顧客情報の漏えいの可能性が高いと認識した。そこで、社内調査、県警察への相談及び捜査依頼を行った。しかしながら、社内調査ではＡ社からの漏えいの事実は確認されなかったため、令和４年４月、大量に個人データ等の取扱いを委託する外部企業からの漏えいの疑いがあるとして、コールセンター業務の委託先であったProCX 社に調査を依頼したところ、ProCX 社は、BS 社と共に調査（以下「本件過去調査」という。）を実施したが、同年７月に、Ａ社に対し、個人データの漏えいは確認されなかった旨を報告している。

⑵ 個人情報保護委員会（以下「当委員会」という。）は、令和５年 10 月 20 日、ProCX社及び BS 社に対し、個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「法」という。）第 146 条第１項の規定により、漏えい事態の詳細、両社の安全管理措置の実施状況、本件過去調査等について報告等を求め、これについて、同年 11 月10 日、両社から報告書を受領した。しかしながら、同報告書では、ProCX 社及び BS社は、本件過去調査において不適切な調査報告が行われていたことは確認できているものの、不適切な調査報告が行われた経緯及び原因の解明には至っていないとして、明らかにしなかった。

⑶ 当委員会は、令和６年１月 24 日、ProCX 社及び BS 社に対し、本件過去調査における不適切な調査報告の経緯及び原因を未だに明らかにできていないことは、両社の組織的安全管理措置（個人データの取扱状況の把握及び安全管理措置の見直し）について不備があり、法第 23 条に違反していると認定し、法第 148 条第１項の規定により当該違反行為を是正するために必要な措置をとるよう勧告した。また、その他に確認された ProCX 社及び BS 社の安全管理措置等の不備については、問題点を改善するよう法第 147 条の規定により指導を行った。

⑷ ProCX 社及び BS 社は、当委員会に対し、令和６年２月 29 日に、本件過去調査における不適切な調査報告に至った経緯及び原因に関する報告書を提出し、同年３月 29日に、再発防止策の実施状況に関する報告書を提出した。

２ 勧告に対する是正状況

ProCX 社及び BS 社は、当委員会が、本件過去調査においてＡ社に事実とは異なる内容を回答した経緯及び原因を調査し、問題点を明らかにするよう勧告したことに対し、令和６年２月 29 日付け報告書において、本件過去調査を検証し、複数の問題点があったものの、漏えいに繋がる端緒を意図的に隠蔽したものではなかったと結論付けている。また、発覚した複数の問題点についても、両社は、NTT 西日本が設置した調査委員会からの再発防止策の提言を受け、計画どおり同再発防止策を実施しており、ProCX 社及び BS 社における勧告に係る措置は現時点において一定の取組が認められるものである。

勧告に対する是正状況（一部）

３ 指導に対する改善状況

ProCX 社は、当委員会からの人的安全管理措置（従業者の教育）及び委託先の監督（ProCX 社と BS 社との取り決め）の不備に関する指導に対して、再発防止策を実施しており、改善が認められた。

BS 社は、当委員会からの組織的安全管理措置（自主点検及びログの分析）、人的安全管理措置（従業者の教育）、物理的安全管理措置（USB メモリの利用）及び技術的安全管理措置（システム管理者アカウントのアクセス制御・システム管理者アカウントの共用・保守端末への個人データのダウンロード）の不備に関する指導に対して、再発防止策を実施しており、改善が認められた。

第３ 本件委託元に対する対応状況

１ これまでの経緯

当委員会は、令和６年４月 26 日から同年５月 10 日にかけて、本件委託元に対し、法第146 条第１項又は法第 156 条の規定により報告等を求め、本件委託元による ProCX 社及び BS 社に対する監督状況を調査してきた。

２ 本件委託元への対応

調査の結果、事案発生当時の本件委託元には、ProCX 社との間の委託契約書における取り決め及び ProCX 社の個人データ取扱状況の把握について、個人情報の保護に関する法律についてのガイドライン（通則編）及び個人情報の保護に関する法律についての事務対応ガイド（行政機関等向け）で求める委託先の監督措置と比較し、不十分な点があることが判明した。

本件事案におけるＸによる不正持ち出しは、所属組織である BS 社においても長年気付けずにいたものであるため、本件委託元による委託先の監督措置の不備が原因で不正持ち出しの未発覚に至ったとまではいえないものの、本件事案による気付きを個人データの取扱いの委託を行う委託元全般に注意喚起することにより、委託先の取扱実態も含めて適切に監督を行うことへの意識を高めてもらえることに期待する。

委託元に対する調査結果について

第４ 名簿業者に対する対応状況

１ これまでの経緯

Ｘが持ち出した個人データの提供先について情報収集に努めてきたところ、岡山県警察及び ProCX 社からの情報提供、令和６年５月 23 日に開かれた岡山地方裁判所津山支部での公判時のＸの供述等により、持ち出した個人データが株式会社中央ビジネスサービス及びネクストステージ合同会社に売却されたことが明らかとなったため、当委員会は、同年６月 19 日に株式会社中央ビジネスサービス、同月 20 日にネクストステージ合同会社に対し、法第 146 条第１項の規定による立入検査を行った。

２ 名簿業者への対応

当委員会は、株式会社中央ビジネスサービス及びネクストステージ合同会社に対する立入検査を実施し、両社共に、Ｘから個人データを取得していた事実を確認した。

また、当委員会は、両社に対し、Ｘから取得した個人データの削除を求めたところ、両社は既に消去済みである旨を説明し、当委員会において両社の個人情報データベース等から当該データの残存を確認することはできなかった。

両社には、Ｘからの個人データの取得、提供等に関して法違反が認められたため、以下のとおりの対応を実施した。

⑴ 株式会社中央ビジネスサービス

ア 以下のとおり、法違反が認められたため、法第 147 条の規定による指導及び法第146 条第１項の規定による報告等の求めを実施することとし、今後１年間、３か月ごとに、個人データの第三者提供を受けた状況及び個人データの第三者提供をした状況を報告させることによって、株式会社中央ビジネスサービスの法遵守状況を注視していくこととする。

① 不適正取得（法第 20 条第１項の規定違反）

Ｘから大量の個人データを取得するに当たり、Ｘによる個人データの提供が法第 27 条第１項の規定に違反すること（第三者提供についての本人同意を得ていない等）を知り、又は容易に知ることができるにもかかわらず、Ｘから個人データの提供を受けて個人情報を取得していた行為は、法第 20 条第１項の規定に違反する。

② 第三者提供を受ける際の確認義務（法第 30 条第１項第２号）違反

Ｘから個人データの提供を受けるに際し、Ｘから当該個人データの取得の経緯の確認を行っていなかった。

イ 当委員会が法第 146 条第１項の規定により実施した報告等の求めに対し、虚偽の報告をした事実が確認されたため、刑事告発を実施する。

⑵ ネクストステージ合同会社

以下のとおり、法違反が認められたため、法第 147 条の規定による指導及び法第146 条第１項の規定による報告等の求めを実施することとし、今後１年間、３か月ごとに、個人データの第三者提供を受けた状況及び個人データの第三者提供をした状況を報告させることによって、ネクストステージ合同会社の法遵守状況を注視していくこととする。

① 不適正取得（平成 27 年改正法1第 17 条第１項の規定違反）

Ｘから大量の個人データを取得するに当たり、Ｘによる個人データの提供が平成 27 年改正法第 23 条第１項の規定に違反すること（第三者提供についての本人同意を得ていない等）を知り、又は容易に知ることができるにもかかわらず、Ｘから個人データの提供を受けて個人情報を取得していた行為は、平成 27年改正法第 17 条第１項の規定に違反する。

② 第三者提供の制限（法第 27 条第１項）違反

令和４年４月以降、法第 27 条第２項本文の規定（オプトアウト規定）により、Ｘから法 20 条第１項の規定に違反して取得した個人データを第三者に提供することは禁止されており（同項ただし書2）、本人同意を得ることなく当該個人データを第三者に提供していた行為は、法第 27 条第１項の規定に違反する。

③ 第三者提供を受ける際の確認義務（平成 27 年改正法第 26 条第１項第２号）違反

Ｘから個人データの提供を受けるに際し、Ｘから当該個人データの取得の経緯の確認を行っていなかった。

⑶ 詳細は、別紙３「株式会社中央ビジネスサービス及びネクストステージ合同会社に対する個人情報の保護に関する法律に基づく行政上の対応について」参照。

リリース文（アーカイブ）

【2024年1月24日リリース分】

リリース文（アーカイブ）

【セキュリティ事件簿#2024-397】東本願寺出版 旧ホームページの使用について 2024/9/10

 

平素より、東本願寺出版ホームページをご利用いただきありがとうございます。

2023年10月の東本願寺出版ホームページリニューアルに伴い、旧ホームページの使用を終了いたしましたが、

現在、旧ホームページにアクセスした場合、

東本願寺出版とは関わりのない団体のホームページが表示されております。

これは、新ホームページ開設の際に旧ホームページのサーバーを解約しドメイン（※）を東本願寺出版から手放した後に、

第三者の方が、ドメインを取得し、新たなサーバーでWEBサイトを立ち上げていることによるもので、

弊部にて内容を変更することはできません。

つきましては、あらためて東本願寺出版のリニューアル後のホームページをご利用いただけるよう周知に努めてまいります。

また、お手数ではございますが、お気に入り登録をされている方は、

リニューアル後のＨＰ　 https://books.higashihonganji.or.jp/

を再度ご登録いただきますようお願いいたします。

引き続き東本願寺出版をよろしくお願い申し上げます。

※ドメイン・・・インターネット上の住所

リリース文（アーカイブ）

【セキュリティ事件簿#2024-241】株式会社KADOKAWA サイバー攻撃による犯行声明にかかる 当社グループの見解と対応について 2024/9/11

 

株式会社 KADOKAWA（本社：東京都千代田区、取締役 代表執行役社長 CEO：夏野剛）は、本年 6 月 8 日に発覚した当社グループへのサイバー攻撃（以下「当該攻撃」といいます。）にかかり、現在も、外部の大手セキュリティ専門機関（以下「外部専門機関」といいます。）の支援を受けながら業務の完全復旧と再発防止に向けた取り組みを鋭意進めておりますが、関係するすべての皆様に多大なるご心配とご迷惑をおかけしておりますことを深くお詫び申し上げます。

当社は、当該攻撃を行ったと名乗る組織が当社グループ保有の情報の一部を追加的に公開したという旨の主張を行っていること（以下「本件」といいます。）を確認したことから、捜査当局との情報連携および外部専門機関の支援を得ながら本件への対応を行っておりますが、現時点において当社グループが新たなサイバー攻撃を受けた痕跡は検知されておりません。

したがって当社は、現時点において本件は当社グループから新たに漏洩した情報ではないものと推測しておりますが、引き続き、外部専門機関にも追加調査を依頼しております。

当社は今後も引き続き、当該攻撃により漏洩した可能性のある情報について精査を継続しながら業務の完全復旧と再発防止に向けた取り組みを進め、関係するすべての皆さまの利益を守るため、適宜適切に対応してまいります。

リリース文（アーカイブ）

【2024年8月5日リリース分】

リリース文（アーカイブ）

【2024年6月28日リリース分】

リリース文（アーカイブ）

【2024年6月27日リリース分】

リリース文（アーカイブ）

【2024年6月14日リリース分】

リリース文（アーカイブ）

【2024年6月9日リリース分】

リリース文（アーカイブ）