【セキュリティ事件簿#2024-115】ワークスタイルテック株式会社 弊社サービスをご利用いただいているお客様への重要なご報告とお詫び 2024/3/29

このたび、弊社のサービス「WelcomeHR」におきまして、弊社のお客様の個人データが、限定された特定の条件下において外部から閲覧可能な状態にあり、これにより個人データが漏えいしていたことが判明いたしました（以下「本件」といいます。）。その内容と現在の状況について、下記のとおり、お知らせいたします。

お客様には大変ご心配をおかけする事態となりましたことを深くお詫び申し上げます。

1. 本件の概要

本来、お客様がストレージサーバーに保存するファイルの一覧は外部からアクセスできない仕様とすべきところ、当該サーバーのアクセス権限の誤設定により、閲覧可能な状態となっておりました。

当該誤設定により、ファイルの一覧の情報をもとに各ファイルをダウンロードすることも可能となっており、実際に第三者によるファイルのダウンロードが行われていたことが発覚いたしました。

2. 漏えいした個人データの項目と対象データに係る本人の数

個人データの項目：

　氏名、性別、住所、電話番号、お客様がアップロードした各種身分証明書（マイナンバーカード、運転免許証、パスポート等）、履歴書等の画像

対象データに係る本人の数：

162,830人（うち、第三者によるダウンロードが確認されたものは、154,650人）

なお、本件で漏えいした情報は、弊社と直接契約しているお客様環境のものです。OEM契約又は再使用権許諾契約に基づくお客様に関しては、別環境であるため、対象ではありません。

3. 期間

（1）ダウンロードが確認された期間　2023年12月28日から2023年12月29日

（2）閲覧が可能であった期間　2020年1月5日から2024年3月22日

4. 原因

サーバーのアクセス権限設定の誤りによるものです。

5. 経緯

2024年3月22日、セキュリティ調査を実施していたところ、サーバーのアクセス権限の誤設定が報告され、同日、直ちに是正いたしました。その後の調査の結果、2024年3月28日、上記期間において第三者によるダウンロードが確認されました。

6. 二次被害又はそのおそれの有無及びその内容

引き続き調査中ですが、現時点において二次被害が生じた事実は確認されておりません。

7. 現在の状況

点検を実施し、ストレージ上のファイルについて適切なアクセス権限設定への修正が完了しており、現在は外部からの閲覧が可能な状態にはございません。

また、情報が漏えいした事業者の皆さまに対して、個別にご連絡をさせていただいております。

8. 再発防止策

このたびの事態を厳粛に受け止め、従業員への教育を徹底するとともに、継続的にサーバーの設定状況を監視する仕組みを構築する等、再発防止を図ってまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-113】近畿大学 個人情報の流出について 2024/3/19

このたび、Googleフォームの設定ミスによる個人情報の流出が判明いたしました。

該当する方々、関係者のみなさまに、ご迷惑、ご心配をおかけしましたことを深くお詫び申しあげます。このような事態を招いたことを重く受け止め、今後、個人情報の取り扱いには厳重に注意し、再発防止に努めてまいります。

なお、本日までに、この個人情報の流出による被害の報告はありません。

１．事案の内容

令和6年（2024年）1月31日（水）から、 入学式パフォーマンスユニットKINDAI WELCOMES新入生メンバー募集の応募フォームを、近畿大学公式SNSおよび大学受験ポータルサイト「UCARO」で公開しました。2月28日（水）に、応募者から、応募済みの他者の回答内容が閲覧できる状況であるとメールで指摘を受け、確認したところ、Googleフォームの結果の概要を表示する設定をオンになった状態で公開する設定ミスにより、指摘のとおり個人情報が流出していたことが判明しました。

２．流出した情報

KINDAI WELCOMES新入生メンバーに応募した12人の氏名、入学予定の学部・学科、電話番号、メールアドレス、応募内容

３．対応

① 当該応募フォームにて回答内容を閲覧できないようすみやかに設定を変更しました。

② 対象者12人に状況を説明したうえでお詫びし、他者の個人情報を取得していた場合は削除するようお願いしました。

４．再発防止策

今後、このような事態を招くことがないよう、下記のとおり取り組んでまいります。

① Googleフォームを利用する場合は、設定について複数人でチェックを行い、登録テストを実施してから公開するように徹底する。

② 教職員の情報セキュリティ研修の受講を徹底する。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-103】株式会社アジャイルウェア 個人情報流出に関するお詫びとご報告 2024/3/7

この度、弊社お問い合わせページにおいて、一部のお客様の個人情報が他者から閲覧できる状態になっていたことが判明いたしました。

現在は原因の調査・対策は完了しております。

お客様の大切な個人情報をお預かりしているにも関わらず、このような事態に至り、深くお詫び申し上げるとともに再発防止に努めさせていただく所存です。

1.経緯

2021年9月28日（火）、Lychee Redmine Webサイトの表示速度改善のため、Webページのキャッシュ保持対策を行いました。それ以降、一部のお客様の情報について、他者から閲覧できる状態になっていたことが、2024年2月27日（火）にお客様からの問い合わせで発覚しました。

発覚後、お問い合わせフォームを閉鎖し、原因究明と経緯や対象範囲の確認を行いました。

現在は問題は解消されており、通常通りご利用いただけます。

時系列

2024-02-27

15:48 お客様から問い合わせ（「お問い合わせページを利用した際、他の人の情報が表示される」）

15:49 調査開始

16:00 原因究明、対策までの間、問い合わせフォームを一時的に閉鎖（問い合わせページを非公開にした）

16:32 原因判明後、ページキャッシュのクリア及び、該当ページでのキャッシュを無効化する

2. お客様の情報が第三者に表示されるケース

Lychee Redmine Webサイト上の対象ページにおいて、

お客様がフォームに入力後[送信する]ボタンを押した際に、

必須項目が未入力だったなどの入力エラーが発生した場合で、

且つ、入力エラー発生時点から30分以内に同ページに第三者がアクセスした場合。

対象ページ

オンプレミス30日無料トライアルお申し込み

 https://lychee-redmine.jp/onpre-enter_application/

アップグレードお申し込みフォーム

 https://lychee-redmine.jp/upgrade/

フリープラン グレードアップキャンペーン（現在はページ閉鎖）

 https://lychee-redmine.jp/free-campaign/

お問い合わせ

 https://lychee-redmine.jp/contact/

訪問デモ・説明依頼（現在はページ閉鎖）

 https://lychee-redmine.jp/demo/

3. 閲覧された可能性のある情報

・氏名

・メールアドレス

・会社名

・所属部署

・役職

・電話番号

・お問い合わせ内容

4. 入力された情報を他者に閲覧された可能性のあるお客様

2021年9月28日(火）〜 2024年2月27日（火）に対象ページから問い合わせ内容を入力したお客様 : 1,208人

※期間中に問い合わせいただいたお客様の人数を集計

5. 今後の対応について

個人情報を閲覧された可能性のあるお客様には、弊社より、メールにて個別にご連絡いたします。

現在、影響範囲の特定および再発防止策に関して検討中のため、詳しい内容につきましては、改めてご報告いたします。

今回、このような事態を発生させてしまいましたこと、お客様に多大なご迷惑とご心配をおかけしましたこと、重ねてお詫び申し上げます。

【2024/3/15　追記】

この度は、お客さまをはじめ多くの関係者の皆様に多大なるご迷惑とご心配をおかけいたしましたことを、深くお詫び申し上げます。

調査の結果、新たに判明した事項につきまして、下記の通りご報告いたします。

なお、本件はID・パスワードの漏洩、不正アクセス等により発生したものではなく、悪質な情報漏洩、データ改竄は確認されておりません。

Lychee Redmine 製品WEBサイト内のフォームのみ対象となり、弊社がお客様にご提供しているLycheeクラウドや、LycheeRedmineをご利用中のお客様専用お問い合わせシステムは対象外です。

調査の結果、WEBサイトの該当フォームにて情報が閲覧できる状態になっていた可能性のあるお客様は1,210人でした。

※期間中に問い合わせいただいたお客様の人数を集計した件数になります。

このうち、お客様情報が第三者に表示されるケースは、お客様がフォームに入力後、送信ボタンを押した際に、必須項目が未入力だったなどの入力エラーが発生した場合で、且つ、入力エラー発生時点から30分以内に同ページに第三者がアクセスした場合のみとなります。

入力された情報を他者に閲覧された可能性のあるお客様には、近日中に個別にご連絡させていただきます。

再発防止策といたしまして、お客様情報を入力するフォームを設置しているページはすべてキャッシュを無効化する設定を実施致しました。加えて、よりセキュリティレベルの高い代替サービスの利用やWeb アプリケーション診断等の外部機関による評価の実施も検討してまいります。

改めまして、多くのお客さまに多大なるご迷惑とご心配をおかけしたことをお詫び申し上げるとともに、お客さまのご不安の解消と今後の再発防止に努めてまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-098】株式会社Philo お客様の情報の漏洩可能性に関するお詫びとお知らせ 2024/3/7

弊社（株式会社Philo（旧社名：株式会社RIDENOW））は、カーシェアサービス「RIDENOW」（以下「弊社サービス」といいます。）を運営しておりましたが、この度、弊社システムへの不正アクセスにより、弊社サービスをご利用いただいていたお客様に関するデータが削除され、また、漏洩した可能性があることが判明いたしました。お客様には大変なご心配、ご迷惑をおかけすることとなり、心よりお詫び申し上げます。

漏洩の可能性があるのは、以下の各データの情報（合計約1700名分）でございます。なお、クレジットカードに関する情報は弊社システム内には保持しておりませんので、今回の不正アクセスによる漏洩の可能性はございません。

お客様の運転免許証及び車検証の画像

お客様の車両画像・車両キズ等の画像

お客様のプロフィール画像

お客様がトークルームにアップロードされた画像

お客様の操作等に関するログ情報

調査の結果、現時点で確認されているのは、お客様の個人情報が弊社システムから削除されたことのみであり、これが外部に漏洩した事実は確認されておりませんが、その可能性も完全には否定できない状況となっております。

データが漏洩した可能性のあるお客様には、順次、ご登録いただいているメールアドレスまたはご住所宛に、メールまたは文書を送付させていただき、お詫びと共に内容のご報告をさせていただいております。

また、弊社では、本件について、お客様からのご質問やご不安などにお答えするためのお問合せ窓口を設置いたしました。現状弊社にて把握している詳細とあわせてお知らせをさせていただきます。

＜経緯と対応＞

2024年2月2日、弊社サービスのデータ保管サーバー（Amazon Web Services S3。以下「AWS」といいます。）に対して、不正に侵入がなされている事実を確認いたしました。調査の結果、弊社サービスのリリース時から2024年2月2日までの間、単体利用可能なアクセスキーを利用することで、上記サーバーに保管されている情報にアクセスできる状態であったことが判明いたしました。

同日、直ちに上記サーバーのアクセスキーの変更を行った上、継続的に不正アクセスのモニタリング等の対応を実施しており、現時点で二次被害等は確認されておりません。

＜漏洩可能性が発生した原因＞

弊社は、2019年7月に弊社サービスのシステム開発を別会社から引き継ぎ、その後、弊社内で開発を行い弊社サービスをリリースしましたが、その際、当該別会社が発行した単体利用可能なアクセスキーを無効化または消去すべきところ、2024年2月2日まで、適切に処理されておりませんでした。

弊社として、お客様の個人情報を適正に取り扱うことは、企業の重要な社会的責務であることを改めて認識し、今後、お客様の個人情報の管理の徹底、セキュリティ機能の強化に向け、より一層尽力してまいります。

＜お客様へのお願い＞

現時点で本件に関わる個人情報の漏洩や不正利用等は確認されておりませんが、万が一お心当たりのない連絡等があった場合には、念のためご注意をお願いいたします。

なお、運転免許証の画像データが漏洩した可能性も否定はできない状況ではございますが、弊社としては、運転免許証の画像データだけで、本人確認手続を行い、例えば銀行口座を開設するといった悪用をすることは難しいものと考えております。

この度は、お客様に大変なご心配、ご迷惑をおかけしましたこと、重ねて深くお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-094】綾町 個人情報漏洩について 2024/3/2

 

この度、以下の２件の個人情報が漏洩する事案が発生しましたのでご報告いたします。

【１】町民の個人情報が、綾町ホームページ上で２月１６日から２月２９日までの間、閲覧できる状態になっていた件

【２】介護に関する個人情報１件を誤ったＦＡＸ番号に送信した件

対象者の皆様には、大変なご心配とご迷惑をおかけすることとなり、心からお詫び申し上げます。誠に申し訳ございません。

二度とこのような事が起こらぬように、全力で再発防止に取り組んで参ります。

なお、本件に係る問い合わせ及び不審な連絡等がございましたら、町民課税務係（電話：７７－１１１３）までご連絡いただきますようお願いいたします。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-086】大阪市 大阪市立中学校における個人情報の漏えいについて 2024/3/8

大阪市立中学校において、令和6年3月7日（木曜日）、学校内で使用するコミュニケーションツールアプリ（以下「アプリ」という。）上で、1年生119名分のテスト結果等が1年生の生徒の間で閲覧できる状況になっていたことが判明しました。

このたびの事案が発生しましたことにつきまして、関係者の皆様に多大なご迷惑をおかけし、市民の皆様の信頼を損ねることになったことを深くお詫び申しあげますとともに、再発防止に努めてまいります。

1 　概要と事実経過

令和6年3月5日（火曜日）13時頃、ある大阪市立中学校において実施した1年生数学科学年末テストの採点結果を、3月6日（水曜日）10時ごろ、当該テストを採点した教員がテスト結果等をアプリに保管する際、本来、教職員のみが閲覧できるフォルダに保管すべきところ、教職員と生徒が閲覧できるフォルダに誤って保管しました。

3月7日（木曜日）、1年生の4時間目の授業を行っていた別の教員が、ある生徒が学習者用端末で他の1年生生徒のテスト結果を閲覧していることに気付き、速やかに1年生学年担当教員に連絡しました。連絡を受けた1年生学年担当教員がアプリ上に作成された教職員と生徒が閲覧できるフォルダを確認したところ、1年生119名分のテスト結果等が閲覧できる状況であり、計12名の生徒がテスト結果等を閲覧していたことが判明しました。

2　文書に含まれる個人情報

1年生数学科学年末テスト結果等（学年、クラス、出席番号、氏名、解答内容、採点結果、点数）119名分

3　判明後の対応

令和6年3月7日（木曜日）12時頃、速やかにテスト結果等をフォルダから削除しました。また、同日6時間目に学年集会を行い、1年生の生徒に説明し、謝罪しました。

なお、今後、保護者説明会を開催する予定です。

4　原因

当該校の教員において、テスト結果等の保管時にフォルダ名の確認が不十分であったこと、教職員専用のフォルダに保管することを想定していたためパスワードを設定していなかったこと、アプリの使用にかかる理解及び個人情報を含む文書の取扱いにかかる認識が不十分であったことが原因です。

また、生徒と教職員が共有するフォルダの使用状況等について、管理職による指導や管理が不十分であったことも原因です。

5　再発防止について

教育委員会といたしましては、これまでも各校に対して個人情報の管理の徹底を指導していたにもかかわらず、このような事案を起こしたことについて深く受け止めております。

当該校に対しましては、再発防止策として、個人情報管理に関する校内規定を点検し、個人情報を含むデータについては、複数人で内容を確認するよう管理の徹底を指導してまいります。

各校に対して、今回の事案を共有するとともに注意喚起を図り、個人情報の管理の徹底と、さらなる意識の向上について指導し、再発防止に努めてまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-085】株式会社あわわ 子育て情報誌『ワイヤー』の企画における 個人情報漏えいの可能性に関するお知らせとお詫び 2024/3/9

弊社が発行する子育て情報誌『ワイヤー』のレギュラー企画『ベイビーデビュー』のウェブ申込フォーム内にて、申込入力した後に、他の申込者の個人情報が閲覧可能な状態となっておりました。

現時点において判明している事実経緯は以下のとおりであり、個人情報が漏えいした可能性がある申込者の方には順次個別にメールまたは郵送にて、ご連絡させていただきます。

関係者の方々に多大なるご迷惑とご心配をおかけしましたことを深くお詫び申しあげます。

[内容]

月刊子育て情報誌『ワイヤー』のレギュラー企画『ベイビーデビュー』で掲載する赤ちゃんの写真をGoogleフォームを活用し募集しておりましたが、弊社の設定ミスにより、申込入力完了者が以前の入力された回答をすべて閲覧できる状態となっておりました。

[漏えい状況]

・件数　

2023年2月に申込フォームをスタートして以来、入力されておりました95名分の回答結果

・期間　

2023年2月11日～2024年3月7日

・漏えいした可能性がある情報

申込フォームへご入力いただいた

①赤ちゃんの氏名　②続柄　③生年月日　④出生時の体重　⑤出産された産婦人科　⑥赤ちゃんへのメッセージ　⑦出産時のエピソード　⑧保護者の氏名　⑨住所　⑩電話番号  ⑪メールアドレス

※①～⑦はワイヤー本誌掲載情報　※⑧～⑪は紙面掲載されていない個人情報

現時点において、漏えいによる被害の発生は確認できておりません。

[漏えいの原因]

弊社のフォーム設定ミスにより、"前の回答を表示"というリンクが表示されるようになっておりました。

このことにより、そのリンクをクリックすると、過去の申込者の回答結果が閲覧できる状態となっておりました。

[事実経緯・対応状況]

2024年3月7日　

申込者の一人から(96番目の申込者)、他人の申込情報を閲覧できるようになっているとお電話いただく

　　　　　　　　　↓

直ちに設定内容を確認し、閲覧できない設定に変更

　　　　　　　　　↓

原因といつから閲覧できる状態になっていたかを社内で究明

2024年3月8日　

設定ミスがいつ発生したかが現時点で判明できなかったため、最長でフォームの活用をスタートした2023年2月から漏えいの可能性があると判断し、本日弊社ＳＮＳにて公表。

[今後の対応]

◎個人情報が漏えいした可能性のある申込者95名の方にメールもしくは郵送にて順次個別にご連絡させていただきます。

◎今後同様の事案が生じないよう、社内で申込フォーム公開のルールとチェック体制を見直します。さらに、社内の全スタッフで個人情報の重要性を再認識するための勉強会を実施いたします。

あらためて、本件において、多大なるご迷惑とご心配をおかけしましたことを深くお詫び申しあげます。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-061】鹿島アントラーズ お客様情報が誤って表示された可能性に関するご報告とお詫び 2024/2/22

この度、SÓCIO・ファンクラブ入会時にお申込いただいたユニフォームのネーム＆ナンバー変更受付フォームに設定不備があり、ご入力いただいたお客様の個人情報を第三者が閲覧できる状態になっていたことが判明いたしました。つきましては、発生した事象と今後の対応についてご報告いたします。

対象の皆様に大変ご迷惑をおかけしたことを深くお詫び申し上げます。

発生事象概要

SÓCIO・ファンクラブご入会時にお申込いただいたユニフォームのネーム＆ナンバーの変更受付フォームにおいて、お客様にご入力いただいた個人情報を第三者が閲覧できる状態になっておりました。

※個人情報の閲覧の可能性があるアクセス回数はのべ314回

発生期間

2024年1月8日（月・祝）15:00～2024年2月21日（水）10:08

対象件数と対象情報

・対象件数：16件

・対象情報：お客様にご入力いただいたメールアドレス、会員番号、会員種別、氏名、変更をご希望の選手名

発生原因

変更受付フォームの作成時に、誤って他の回答が閲覧できる状態に設定しておりました。また、当該設定についてダブルチェックを実施できておりませんでした。

現状確認されている被害

お客様より被害発生の報告は受けておりません。

今後の対応について

該当のお客様に対しては、本事象に関するご報告とお詫びをメールにてご案内いたしました。各種フォームの作成・設定時におけるダブルチェックを徹底し、再発防止に努めてまいります。

改めて、この度は多大なるご心配とご迷惑をおかけしたことを深くお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-056】株式会社ビザビ 「備中あんたび２」サイクリングイベント参加者募集における個人情報の漏えいに関するお詫び 2024/1/29

このたび、株式会社ビザビが倉敷市から受託した「備中あんたび２」サイクリングイベント参加者募集において、参加申込者様の個人情報が閲覧できる状態になっていたことが判明いたしました。

参加申込者様をはじめ、関係者の皆様に多大なご迷惑とご心配をおかけいたしましたこと、深くお詫び申し上げます。

現時点では本件による、当該個人情報の不正利用等の被害は報告されておりません。

弊社といたしましては、このような事態を招いたことを重く受け止め、再発防止の対策を講じてまいります。

お申込者様をはじめ関係者の皆様には重ねてお詫びを申し上げますとともに、本件に関する概要につきまして、下記の通りご報告いたします。

1.経緯

2024年1月19日、受託事業における専用の申込フォームを開設し、事業の参加申込を開始。

2024年1月22日、事業委託者より、株先会社ビザビに対し、外部から個人情報が閲覧可能になっているとの情報提供があったため、申込フォームの受付を至急停止するよう要請があり、速やかに、申込フォームの停止、削除を行い、その後は閲覧可能状態を是正した。

また、直ちに、32名のお申込者様へ電子メールとお電話にて謝罪と経緯の説明を行った。

2.対象の個人情報

お申込者様の氏名・住所・電話番号：32件

3.お申込者様への対応

個人情報が閲覧された可能性があるお申込者様には、電子メールとお電話にて、謝罪と経緯の説明を行いました。

4.再発防止に向けた対策

弊社ではこのたびの事態を厳粛に受け止め、全従業員を対象に、個人情報保護及び情報セキュリティ教育を徹底し、より一層の情報セキュリティ強化に取り組んでまいります。

改めて、お申込者様に多大なご迷惑とご心配をお掛けいたしましたこと、重ねてお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-055】株式会社ラック オンライン受講システムでの個人情報漏えいの報告とお詫び 2024/2/21

当社ラックセキュリティアカデミーのオンライン受講システムにおいて、コース申し込みをいただいた方1名への情報閲覧の権限設定の際に作業ミスがありました。その結果、2024年1月10日～1月15日の間、1名の方が、過去に他のコースを受講した19名の方々のお名前、メールアドレス、受講履歴などの個人情報を閲覧できる状態になっていました。

通報を受けた後、直ちに原因と影響範囲の調査、および設定ミスの修正を実施し、ご迷惑をおかけした皆様（合計20名）への連絡と謝罪をおこないました。さらに、オンライン受講システム上のすべての登録データを調査し、同様の問題が無いこと、通報いただいた1名の方以外に受講者情報が漏えいしていないことを確認し、一連の経緯を関係機関へ報告しました。

あらためて今回の設定ミスによりご迷惑をおかけした皆様へお詫びするとともに、今後このような事故が再び発生しないよう、業務運用手順と管理体制の継続的な改善に取り組んでまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-048】トヨタモビリティサービス株式会社 お客様のメールアドレス等の漏洩可能性に関するお詫びとお知らせについて

トヨタモビリティサービス株式会社が提供する社用車専用クラウドサービス「Booking Car」をご利用中、または過去ご利用いただいた企業・自治体の従業員・職員の方のメールアドレスおよびお客様識別番号（管理用の目的でお客様お一人お一人に割り振らせていただいている番号）、約25,000名分が漏洩した可能性があることが判明致しました。

「Booking Car」をご利用いただいている企業・自治体およびご登録いただいているお客様には大変なご迷惑、ご心配をおかけすることを、心よりお詫び申し上げます。

対象となるお客様は、2020年11月以降、「Booking Car」のご利用画面にてご自身のメールアドレスをご登録いただいた方となります。また、漏洩の可能性のある個人情報は以下のとおりでございます。なお、クレジットカードに関する情報は当システム内に保持しておりませんので、漏洩の可能性はございません。

1 写真アップロード操作で保存した写真データ（顔写真、車両キズ等）

2 車両登録でお客様が設定した車両の画像データ

3 車両・従業員登録に使用する一時ファイルやログ情報

調査の結果、お客様のメールアドレスおよびお客様識別番号が保管されているデータサーバーへの不正アクセスおよび保管データの削除が行われたことが判明いたしました。お客様の個人情報流出の事実は確認できておりませんが、完全には否定できない状況となっております。

メールアドレスおよびお客様識別番号が漏洩した可能性のあるお客様には、ご登録いただいているメールアドレス宛に、本日より、メールを送付させていただき、お詫びと共に内容のご報告をさせていただきます。加えて、お客様からのご質問やご不安などにお答えするための専用のコールセンターを設置致しました。

1. 経緯と対応

2024年2月2日、「Booking Car」のデータ保管サーバー（Amazon Web Services S3 以下「AWS」といいます。）に対して、システム開発以前から使用されていたアクセスキーを用いて、不正に侵入がなされている事実を確認いたしました。調査の結果、2020年10月～2024年2月2日までの間、システム開発以前から使用されていたアクセスキーを利用することで、データサーバーに保管されているメールアドレスおよびお客様識別番号にアクセスできることが判明致しました。同日、直ちにデータサーバーのアクセスキーの変更および継続的な不正アクセスのモニタリング等の対応を実施しており、現時点で二次被害等は確認されておりません。

なお、「Booking Car」のデータ保管サーバーは、「Booking Car」の運用および当社の提供する他のサービスとは別個独立したサーバーであり、「Booking Car」の運用および当社の提供する他のサービスに影響はございません。

2. 流出の可能性が発生した原因

2020年2月、「Booking Car」開発委託先企業が、過去のプロダクト開発に使用していたAWS保存領域を使用し、「Booking Car」の一部の開発を開始しましたが、その際、過去の別プロダクト用に設定したAWSアクセスキーを無効化または消去するべきところ、2024年2月2日まで、適切に処理されておりませんでした。

本件は、開発委託先企業におけるアクセスキーの不適切な取り扱いが原因であり、委託元企業として、改めて委託先企業とともに、お客様の個人情報取り扱いに関する管理の徹底、およびセキュリティ機能の強化に向けた取組みを進めてまいります。

弊社として、お客様の個人情報を適正に取り扱うことは、企業の重要な社会的責務であることを改めて認識し、お客様の個人情報保護・管理の徹底について、お客様から信頼を寄せていただけるサービスの実現に向け、より一層尽力してまいります。

お客様へのお願い

現時点で本件に関わる個人情報の不正利用は確認されておりませんが、差出人や件名に心当たりのない不審なメールを受信された場合は、ウイルス感染や不正アクセス等の危険がありますので、メール内に記載されたアドレス(URL)へのアクセスや添付ファイルの開封を行わず、メール自体を直ちに消去いただくようお願いいたします。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-045】東京テアトル株式会社 個人情報漏洩の可能性に関するお知らせとお詫び

このたび、一部のお客様がWEBサイト「マンション売却相談センター」（以下「当サイト」といいます。）内の無料相談、無料査定、お問い合わせのフォームに入力された個人情報が漏洩した可能性があることが判明いたしました。本件の経緯等について以下のとおりお知らせいたしますが、本件の原因は既に特定され、対応も完了いたしました。

お客様に多大なるご迷惑、ご心配をおかけしたことを、心よりお詫び申し上げます。

1.経緯

2024年1月17日9時から2024年2月5日13時までの間、過去にお客様が入力した情報が、当サイトのお問い合わせのフォームの入力画面上に表示されていた可能性があることが、2024年2月5日に判明いたしました。このため、情報を入力したご本人以外のお客様が、入力された情報を閲覧できる状態となっていて、個人情報が漏洩したおそれがあります。

当センターが、システムの状況を確認したところ、2024年1月17日に当サイトが新サイトに移行した際に、過去にお客様が入力した情報が、フォーム入力画面のキャッシュ（一度閲覧したページの情報を一時保存し、早く表示できるようにする機能）に保存される設定となっていたことが判明しました。

上記の状況が判明後、直ちに、お客様が入力した情報が保存されないよう、入力画面のキャッシュの設定を変更いたしましたので、現在は、お客様の情報が、情報を入力したご本人以外の方に閲覧されることはございません。

2.個人情報を閲覧された可能性のあるお客様

2024年1月17日9時から2024年2月5日13時までの間に、「マンション売却相談センター」の無料相談、無料査定、お問い合わせのフォームに情報を入力されたお客様55名

※本件の不具合は常に発生するわけではなく、アクセス環境などの特定の条件を満たした場合にのみ発生することを確認しております。

3.閲覧された可能性のある情報

・ご希望の査定方法

・ご希望の査定の種類

・売却予定時期

・お名前（ふりがな）

・ご希望の連絡方法

・電話番号

・電子メールアドレス

・ご住所

・売却希望物件の状況

・売却希望物件の住所

・そのほかお問い合わせのフォームの自由記入欄に記載いただいた内容

※お問い合わせのフォームに入力される情報に、人種や病歴などの要配慮個人情報やクレジットカード情報などの財産的被害が生じるおそれのある情報は含まれておりません。

4.原因と再発防止策

当サイトを新サイトに移行する際に、キャッシュプラグインの設定を変更いたしましたが、この設定に不備があったことが、本件の原因であることが判明いたしました。

当センターは、原因が判明後、フォームに入力された情報のキャッシュを保存しないよう、キャッシュプラグインの設定を修正いたしました。またキャッシュプラグインの自動更新設定をオフにし、プラグインの更新に伴いエラーが発生しないよう対処いたしました。

今後につきましては定期的に上記キャッシュプラグインの設定に不備がないかを確認してまいります。

5.今後の対応について

当センターは、個人情報を閲覧された可能性のあるお客様が、その情報を悪用されるなどの事象が発生した場合には、法令に従い、適切な措置を講じる所存です。

なお、システムの構造上、個人情報が漏洩したおそれのあるお客様を特定することができませんので、お手数をおかけして申し訳ありませんが、本件に関するお客様からのお問い合わせには、以下の窓口が対応させていただきます。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-020】オープンワーク株式会社 個人情報漏えいに関するお詫びとご報告

この度の「令和六年能登半島地震」によって、お亡くなりになられた方々のご冥福を心よりお祈り申し上げますとともに、被害にあわれた方々にお見舞い申し上げます。被災された地域の皆様の安全と、一日も早い復興をお祈り申し上げます。

当社が運営する転職・就職のための情報プラットフォーム「OpenWork」上で収集した個人情報について、弊社から配信するメールの設定不備により、一部ユーザー様の個人情報漏えいが起きていることが発覚いたしましたのでご報告いたします。

2024 年 1 月 22 日から 1 月 24 日にかけて弊社から配信した一部のメールについて、ユーザー様の「氏名」および「求人の閲覧履歴（最大で直近 5 件分）」が他のユーザー様に誤って送信されておりました。

本件発覚後、すみやかに該当メールの配信を停止しております。

本件の対象となるユーザー様には順次、ご連絡いたします。ユーザーの皆様および関係各位の皆様に多大なご迷惑とご心配をおかけしていることを、ここに深くお詫び申し上げます。

本件に関する概要と対応について、下記の通りご報告いたします。

1．概要および当社の対応について

2024 年 1 月 22 日に一部ユーザー様向けメールの設定を変更し、メールを配信いたしました。1 月 24 日に誤送信に関する問い合わせがあり、社内の調査によって、ユーザー様の個人情報が他のユーザー様に誤って送信されていることを確認し、同日、13 時 10 分に該当メールの配信を停止しております。

2．メール誤送信の詳細

■事象：

以下の期間に OpenWork から配信した一部のメールにおいて、ユーザー様（A）の「氏名」および「求人の閲覧履歴（最大で直近 5 件分）」を他のユーザー様（B）に送信しておりました。

■対象：

A に該当する人数：98 名

B に該当する人数：2,094 名

■期間：

2024 年 1 月 22 日～2024 年 1 月 24 日

3．ユーザーの皆様への対応について

2024 年 1 月 24 日 13 時 10 分に該当のメール配信を停止いたしました。また、本件の対象となるユーザー様には順次、ご連絡させていただきます。

4．再発防止策について

今回の事態を重く受け止め、今後このような事態が発生しないよう、個人情報保護の重要性等についての社内教育を徹底するとともに、個人情報取り扱いフローの見直しなど内部管理体制のより一層の強化とコンプライアンスの徹底に取組んでまいります。なお、本件は個人情報漏えいに該当致しますので、JIPDEC への報告を速やかに行います。

この度は、ユーザーの皆様および関係各位の皆様へ多大なご迷惑をおかけしますこと、重ねてお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-019】滋賀レイクス Googleフォーム誤操作による企画申込者の個人情報漏えいについて

1月23日に発信したフードメニューの購入事前予約受付において、WEBフォームの設定ミスにより、申込者22名の個人情報が一時的に他の申込者から閲覧できる状態となっておりました。

対象となった皆様に、多大なご迷惑をおかけしましたことを深くお詫び申し上げます。

概要

株式会社滋賀レイクスターズでは、1月31日のホームゲームで数量限定で販売予定のフードメニュー「ダンク3兄弟 トマホークステーキ」のオンライン時前予約の受付を、23日午後6時40分頃に一般公開いたしました。

その際、受付に使用したGoogleフォームの設定で「結果の概要を表示する」をONに切り替えた状態で公開しており、申込画面で記入事項を送信した後に画面表示される「前の回答を表示」というボタンを押すと、その時点で申込が完了している方の氏名、メールアドレス、電話番号が閲覧できる状態となっておりました。

弊社の公式WEBサイト問い合わせフォームより本件の指摘があり、事態を認識した弊社スタッフが同日午後10時30分頃に設定切り替えを行いましたが、その時点までに申込をいただいていた22名の個人情報が一時的に申込者から閲覧できる状態でした。

なお、設定切り替え以降は、閲覧可能な状態は解消されております。

弊社対応

24日に、対象となる22名へ電子メールと個別の電話により、事態のご説明とお詫びの連絡を行っております。

また、弊社がGoogleフォームで運用しているWEBフォーム受付を全社的に確認し、同様の誤設定はなかったことを確認しております。

原因 

Googleフォームで申込フォームを作成後、担当者が「結果の概要を表示する」をONにする誤操作を行っておりました。社内では質問項目のダブルチェックを行っておりましたが、デフォルト設定では当該設定はOFFであるため、全設定が正常であるかの確認は十分に行われておりませんでした。

再発防止策

再発防止に向けて、個人情報の収集および管理の際に遵守すべき事項を、改めて全社員に周知徹底してまいります。

また、今後も継続的に個人情報保護および情報セキュリティ教育を徹底し、情報管理への感度の引き上げを図るとともに、全社的な情報管理体制の強化に取り組んでまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-017】プラズマ・核融合学会 個人情報漏えいに関するお知らせとお詫び

このたび、本学会 2002 年当時の会員名簿ファイルが WEB にて検索可能となっていることが判明したため、当該ファイルの削除を行うと共に 2023 年 12 月 8 日に個人情報保護委員会へ報告しました。

2023 年 12 月 5 日に旧会員の方からの指摘があり、調査したところ、当時会員名簿電子化作業を行っていたサーバー機にデータが保存されたままとなっており、2023 年 7 月 29日に機種更新を行った際の設定不備により、2002 年時点での 3,262 名の会員情報 (旧会員を含む) に関して検索可能となっておりました。 会員情報として、 名簿作成当時の会員の氏名、連絡先、学会会員番号、 所属などの情報が含まれておりますが、クレジットカード情報などお金に関わる情報はございません。

本事案判明後、当日中に当該サーバー機をネットから切り離し、 当該ファイルの削除を行うと共に、 検索サイトへのキャッシュの削除依頼などを実施 し、 12 月 27 日までにキャッシュデータが削除されたことを確認しました。

対象となりました会員の皆様には多大なご迷惑をおかけいたしましたこと心からお詫び申し上げます。 本学会では、これまでも個人情報取扱いにあたり、 厳格な取扱いと管理に努めてまいりましたが、このたびの事態を厳斎に受け止め、 再発防止に向けて個人情報管理体制についてあらためて強化改善を図ってまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-016】「弥生のかんたん開業届」における個人情報漏えいに関するお詫びとご報告

弥生株式会社は、当社が提供する「弥生のかんたん開業届」サービスにおいて、入力いただいた情報が漏えいした可能性があることを確認いたしました。対象のお客さまをはじめ、関係者の皆さまに多大なるご迷惑とご心配をおかけしておりますことを深くお詫び申し上げます。なお、事象検知から現時点までにおいて、対象情報が不正利用された事実は確認されておりません。

現在、原因となったシステム不具合は改修を完了しており、以後、同事象は発生しておりません。今回の事象は、対象期間と対象条件(後述)において、「弥生のかんたん開業届」をご利用いただいた方に発生しました。対象数は152 ユーザーです。対象数には、ご自身の情報が他ユーザー1名に閲覧された、もしくはその可能性がある方、他ユーザー1名の情報を閲覧できてしまった、もしくはその可能性がある方が含まれます。

対象のお客さまへは、当社カスタマーセンターから、順次ご連絡を差し上げております。お忙しい中、誠に申し訳ございませんがご対応いただけますようお願い申し上げます。

なお、当事象は不正アクセス等に起因するものではなく、「弥生のかんたん開業届」のシステム不具合により発生しました。また、当社が提供する「弥生シリーズ」をはじめとした業務ソフトウエアおよび各サービスへの影響はございません。

現時点（2024年1月26日(金) 15時）での情報は下記のとおりです。今後も新たな事実が判明した場合は、当お知らせを随時更新し情報発信を行います。

1.事象の概要

(1)発生事象とシステム対応

以下「2」に記載する対象期間かつ対象条件において、「弥生のかんたん開業届」サービス利用者のみがダウンロードできる書類データ(PDF)*にて、入力した本人とは異なる別ユーザーの情報が反映された書類データがダウンロードされ、それを閲覧できた可能性**があることがわかりました。お客さま(以下、A様)からお問い合わせをいただき、当事象を検知しました。その後、調査を行い原因を特定、システム改修は2024年1月15日(月) 16時25分に完了しております。なお、事象検知から現時点までにおいて、対象情報が不正利用された事実は確認されておりません。

*書類データ(PDF)の書類数と情報内容は、お客さまの入力内容によって異なります。詳細は「3」をご確認ください

**「可能性」と記載している理由：調査の結果、対象数のうち、書類データに問題無いユーザーも含まれている可能性があることがわかりました。一方でそれ以上の特定がシステム上、難しいことも判明したため、当お知らせでは「可能性」と記載しております。今回は可能性のある方をすべて対象数とし、対応と公表をすることといたしました

2. 対象のお客さま

(1)対象サービス

「弥生のかんたん開業届」

• 個人事業主が事業を開始する際に必要な書類を作成できる無料のクラウドサービスです。サービスへのログイン後に使用することができます。

(2)対象期間と対象条件

• 2023年2月28日(火)～2024年1月15日(月)
• 「弥生のかんたん開業届」内にある書類データのダウンロードボタンを押下した際に行われるプログラムの内部処理の時刻が、同時刻(0～2秒以内)で2人同時に*行われた場合

*「2人」のうち、1人は本人(入力した自身)の情報、もう1人は自身が入力したものとは異なる情報が閲覧できる状態であった可能性。また、 3人以上が同時に押したケースは確認しておりません

(3)対象数と件数

①　対象数は152ユーザーです。以下が含まれます。

• ご自身の情報が他ユーザー1名に閲覧された、もしくはその可能性があるユーザー
• 他ユーザー1名の情報を閲覧できてしまった、もしくはその可能性があるユーザー

②　①のうち、閲覧された/したの関係性にある可能性がある件数は79件*

*関係性にある可能性という事実までは確認できておりますが、システム上、どちらが閲覧した/されたの特定はできておりません

3. 対象情報

(1)閲覧された可能性のある情報

「弥生のかんたん開業届」からダウンロードされた書類に記載されていた項目

• 氏名、生年月日、住所、電話番号、職種、事業概要、屋号、事業開始（予定）日、従業員がいらっしゃる場合は従業員数、従業員にご家族が含まれる場合はご家族の情報（続柄、氏名、年齢、従事する仕事内容、経験年数、従事の程度、保有資格、給与/賞与の支払時期・金額）
• 以下の書類に入力された項目（入力内容によってダウンロードされる書類が異なります）
• 個人事業の開業・廃業等届出書
• 所得税の青色申告承認申請書
• 青色事業専従者給与に関する届出書
• 源泉所得税の納期の特例の承認に関する申請書
• 給与支払事務所等の開設届出書

*お客さまが入力された情報、ダウンロードされた書類の種類により、該当する情報は異なります

当サービスへのログイン時に必要となる弥生ID（メールアドレス）および各種パスワードは含まれておりません。また、クレジットカード番号やマイナンバーは当サービスの利用において取得しておらず、含まれておりません。

4. お客さまへの対応

(1)当社からお客さまへの対応

• 2024年1月25日(木)に当お知らせを公開*
• 対象となるお客さま(前述「2」)へ個別連絡を随時実施しております**

*今後も新たな事実が判明した場合は、当お知らせアナウンスを随時更新し情報発信を行います

**前述1-(1)で当社へ問い合わせをいただいたA様に関連する事象については、A様が閲覧された先のB様を特定後、A様にて該当データの削除を完了いただいております。B様へも当社から個別連絡を行っております。

(2)当件においてご不安や確認事項があるお客さまへ

• 当件においてご不安を持たれた方
• 心当たりのない不審な電話、郵送物、電子メールが届くような事象が発生した方(応答や開封にご注意ください)
• そのほか、当件について確認事項等がある方

専用お問い合わせ窓口までご連絡ください。

5. 当事象の発生検知と原因、影響範囲

(1)発生検知と原因

発生検知

• 2024年1月15日(月) 9時47分、当社カスタマーセンターにて「弥生のかんたん開業届にて、書類をダウンロードした際、別ユーザーの情報が表示されている」とのメールお問い合わせを確認し、当事象を検知しました。

発生原因

• 検知後すぐに当サービスの開発委託会社とともに調査を行いました。事象の詳細としては、ダウンロードボタンを押下した際に行われるプログラムの内部処理の時刻が、同時刻(0～2秒以内)で2人同時に行われたことを起因として、当事象が起きる可能性があるというものでした。先に内部処理が完了したデータ（以下、データA）が、後に同処理が完了したデータ(以下、データB)に上書きされ、データAをダウンロードすべき対象者にデータBがダウンロードされた可能性があるという状態でした。

原因に対するシステム改修は、当事象を検知した当日中(2024年1月15日)に完了しており、以後は発生しておりません。

(2)影響範囲

• 当事象は不正アクセス等に起因するものではなく、「弥生のかんたん開業届」のシステム不具合により発生しました。また、当社が提供する「弥生シリーズ」をはじめとした業務ソフトウエアおよび各サービスへの影響はございません。

6. 今後の取り組み

当事象の検知後、原因の検証と改修を行ってまいりました。検証結果を踏まえ、再発防止に向けた議論と対応を当サービスの開発委託会社とともに継続的に取り組んでまいります。

このたびはご利用のお客さまおよび関係者の皆さまにご迷惑とご心配をおかけしておりますことを深くお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-009】LINEヤフー 当社が利用する外部サービスの設定不備に関するお知らせ

このたび、旧LINE社のIT資産管理に利用している外部サービスのAPI*1設定不備により、登録している役職員*2の情報が外部から取得できる状態にあったことが判明いたしました。

なお、原因となるAPI*1設定不備の修正はすでに完了しております。 

1.　発生した事象

旧LINE社の社内資産管理・社内問合せ管理を目的として利用している外部サービスにおいて、当社によるAPI*1の設定不備により、登録している役職員情報が外部から取得できる状態にありました。 

本事象は、特定の操作により外部からデータ抽出が可能となっていた設定不備を、LINE Security Bug Bounty Program*3を通じた報告により判明いたしました。

外部から取得できる状態にあった情報は以下の通りです。現在は外部からのアクセスによる役職員情報等の取得ができないように設定変更を完了しております。

〈役職員に関する情報〉

氏名、メールアドレス、役職名 

＜社内問い合わせに関する情報＞

添付ファイル名、問い合わせ対応満足度サーベイ名、サーベイの回答者　

※ユーザー情報および取引先情報は上記に含まれません。

2.本事象の経緯と対応時系列

■2023年10月18日

・LINE Security Bug Bounty Programの参加者より、事象の通知を受け発覚

・担当が報告を受けて調査を開始

・外部からアクセス可能な設定になっていた機能を外部からアクセスできないように設定変更

■2023年10月19日

・利用するすべての環境で設定変更したことを確認

■2024年1月18日　

・本事象に関する公表を実施 

3.対象者へのお知らせ

該当する役職員には個別に連絡します。退職等により個別にご連絡ができない方には、本発表を以て、通知とさせていただきます。

本件によるフィッシング被害等の増加を含む二次被害は現時点で確認されておりませんが、漏えいしたメールアドレス宛てに第三者が不審なメール・詐欺メールを送信するおそれがございます。十分にご注意くださいますようお願い申し上げます。

関係者の皆さまに多大なるご迷惑とご心配をおかけしておりますことを、深くお詫び申し上げます。発生させてしまった事象について深く反省し、再発防止に努めてまいります。

※なお、本件は11月27日に公表した「不正アクセスによる、情報漏えいに関するお知らせとお詫び」の事案との関連性はございません。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-004】株式会社イズミ ブランドショップ X-SELL 求人応募者に関する個人情報漏えいおよび漏えいの可能性に関するお詫び

この度、弊社が運営するブランドショップ X-SELL のホームページより過去に求人にご応募いただいた一部の方の個人情報が、インターネット検索サイトで検索した結果として閲覧できる状態にあることが判明いたしました。対象の皆様には、大変なご迷惑とご心配をおかけする事態となりましたことを、深くお詫び申し上げます。

早期対応にあたり、現在、個人情報は閲覧ができない状態に修正を完了しております。また、対象の皆様にはメールにてご報告後、ご連絡をさせていただいております。弊社といたしましては、今回の事態を重く受け止め、再びこのようなことがないよう、より一層の管理体制の強化に努めてまいります。対象の皆様には重ねてお詫び申し上げますとともに、本件に関する概要につきまして、以下の通りご報告いたします。

１．本件の経緯

2024 年 1 月 4 日に、ブランドショップ X-SELL のホームページより、過去に求人にご応募いただいた一部の方のご応募の際にご入力いただいた「個人情報（氏名、メールアドレス、電話番号、性別）」および「応募コメント」が、前述の個人情報のいずれかのキーワードにてインターネット検索サイトで検索を行った場合に、検索結果として閲覧できる状態になっておりました。

即時、web サイト作成の委託会社に調査を依頼し、翌 1 月 5 日 14 時頃、web サイトサーバー内のデータおよび検索履歴の削除が完了し、閲覧できない状態になっていることを確認いたしました。

２．発生事象

①対 象：2016 年 6 月 14 日～2022 年 8 月 28 日の期間に、ブランドショップ X-SELL のホームページより、求人にご応募いただいた方の一部

②項 目：応募者の氏名、電話番号、メールアドレス、性別、応募コメント

③件 数：41 名

３．原因

SEO 対策時における設定のミスによるものと判明いたしました。現在は、web サイトサーバー内のデータおよび検索履歴の削除が完了し、閲覧できない状態になっております。

４．対応

①対象の皆様へのお知らせ

2024 年 1 月 8 日に対象の皆様にメールにてご報告を行い、個別にお電話でご連絡をさせていただいております。

※対象の皆様におかれましては、不審な電話やメールがあった場合は、絶対に個人情報をお伝えしたり、web サイト等にアクセスされたりしないようご注意ください。弊社から、口座情報などの重要な個人情報をお聞きすることはございません。

②行政

2024 年 1 月 9 日に個人情報保護委員会へ報告しております。

今後は委員会からの指導等に従ってまいります。

５．再発防止

調査会社によるブランドショップ X-SELL のホームページのセキュリティ調査を実施し、個人情報を保有するページを制作・保持しない運用に変更いたします。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-499】株式会社エイチーム 個人情報漏えいの可能性に関するご報告とお詫び

当社グループが利用するクラウドサービス上で作成した個人情報を含むファイルがインターネット上で閲覧可能な状態にあったことが判明し、2023年12月7日に「個人情報漏えいの可能性に関するお知らせ（以下、既報）」を公表いたしました。この度、本事案に関して調査及び精査が完了いたしましたので、当該調査結果及び再発防止に向けた取り組みについてご報告いたします。

なお、既報の通り、本事案の判明後にクラウドサービス上のファイルへのアクセス制限を実施し、個人情報を閲覧できる状態は解消しております。お客様ならびに関係者の皆様には大変なご迷惑、ご心配をおかけすることを心より深くお詫び申し上げます。

概要

当社グループで利用しているクラウドサービス「Googleドライブ」で管理する一部のファイルにおいて、個人情報がインターネット上で閲覧可能な状態にあったことが2023年11月21日に判明いたしました。当該ファイルの閲覧範囲を「このリンクを知っているインターネット上の全員が閲覧できます」と設定したことから、リンクを知っていれば誰でも閲覧できる状態であり、端末識別番号・顧客管理番号・メールアドレス・氏名などを含む個人情報がインターネット上において閲覧できる状態でありました。要配慮個人情報や財産的被害が発生するおそれがある個人データは含まれておりません。

発覚の経緯は、グループ全体で導入を検討しているセキュリティ製品の精度を検証したレポートにより、リスクのあるファイルとして検知されたことによります。

1.個人情報漏えいの可能性がある対象者

① サービスご利用のお客様

￭ 当社グループで運営するサービス・アプリを過去にご利用いただいたことのある一部のお客様

② 取引先企業・法人のお客様

￭ 当社グループとご契約・お取引があった一部の取引先企業・法人のお客様

￭ 当社グループの担当者とメール等の対応があった一部の法人のお客様

③ 採用候補者

￭ 過去に当社グループの採用選考に応募いただいた一部の新卒採用及び中途採用の採用候補者

￭ 当社グループのインターンシップに参加した一部の学生

④ 当社グループ従業員

￭ 当社グループに在籍している従業員（退職者含む）

2.漏えいした可能性のある情報

詳細の調査及び精査の上、判明した個人情報の漏えいの可能性がある情報は以下の通りです。

￭ 個人情報を含むファイル数：1,369件

￭ 対象となる人数：935,779人

　※対象となる人数はユニーク数でカウントしております

■個人情報の漏えいの可能性がある人数

個人情報の漏えいの可能性がある人数は以下の通りです。

※ 個人情報保護委員会に報告書を提出した対象企業を記載しております

※ 「④当社グループ従業員」の人数の内訳の記載は省略しております

■漏えいした可能性がある項目

漏えいした可能性がある主な項目は以下の通りです。なお、要配慮個人情報や財産的被害が発生するおそれがある個人データは含まれておりません。

※ 個人情報保護委員会に報告書を提出した対象企業を記載しております

※ 対象ファイルによって記載項目が異なります

3.インターネット上で個人情報の閲覧が可能となっていた期間

2017年3月～2023年11月22日まで

※ 対象ファイルを調査した結果、ファイル作成日が最も古かった時期を閲覧可能期間として記載しております

※ 各ファイルの作成日により、閲覧可能期間は異なります

4.経緯

グループ全体で導入を検討しているセキュリティ製品の精度を検証したレポートにより、リスクのあるファイルとして検知されたことで本事案が発覚しました。当社グループで利用しているクラウドサービス「Googleドライブ」で管理するファイルを調査したところ、個人情報を含む一部のファイルがインターネット上で閲覧可能な状態にあったことが2023年 11月21日に判明いたしました。

本事案が判明後の2023年11月22日にクラウドサービス上のファイルへのアクセス制限を実施し、個人情報を閲覧できる状態は解消した上で詳細の調査及び精査を開始しました。

本事案が発覚した後、速やかに個人情報保護委員会に速報を提出し、調査状況のご報告といたしまして2023年12月7日に当社コーポレートサイトに「個人情報漏えいの可能性に関するお知らせ」を掲載しました。

グループ全体で詳細の調査及び精査が完了しましたので、2023年12月20日に個人情報保護委員会に確報を提出しました。

5.原因

当社グループで利用しているクラウドサービス「Googleドライブ」を利用して作成した個人情報を含む一部のファイルに対して、閲覧範囲の公開設定を「このリンクを知っているインターネット上の全員が閲覧できます」としており、閲覧範囲の設定が適切に行えていなかったことによるものです。

6.対象者の皆様への連絡について

個人情報が漏えいした可能性のある方で、ご連絡先が把握できた皆様には、本事案の調査及び精査が完了した2023年12月20日より順次、個別に電子メール等により本事案のご報告とお詫びのご連絡をさせていただいております。

また、当社グループ各社でのコーポレートサイトでも本事案についてお知らせを掲載しております。個人情報の漏えいの可能性に関連する皆様に向け、本事案のお問い合わせ窓口を設置し、本記事の末尾に記載しております。

7.二次被害の有無とその可能性について

本事案に関し、ご報告の現時点においては不正使用などの被害が発生した事実は確認されておりません。

情報の対象となった皆様には大変ご迷惑をおかけしますが、不審な問い合わせについては十分ご注意いただきますようお願い申し上げます。当社では、被害の拡大防止に取り組んでまいりますが、万が一、第三者の悪用を確認した場合は、末尾のお問い合わせ窓口へ連絡をお願い申し上げます。

8.再発防止策

今後の再発防止策として、①セキュリティツールによる監視強化、②ファイル共有設定・権限の見直しによる制御、③個人情報の取り扱いに関する役員及び全従業員の意識向上に取り組んでまいります。

①セキュリティツールによる監視強化

セキュリティツールを活用した監視の強化を図り、情報システム部門による厳格な管理によって情報漏えいのリスクを抑えます。

②ファイル共有設定・権限の見直しによる制御

「Googleドライブ」をはじめとしたファイル管理・共有を行うクラウドサービスにおいて、アクセス範囲設定を見直し、アクセス制限がない公開設定を無効化することにより外部共有の制御を実施しました。

③個人情報の取り扱いに関する役員及び全従業員の意識向上

個人情報に関する管理体制の強化、規程やルール等の見直し及び社内への周知徹底を行い、個人情報を含めた情報管理に関する意識の向上を図ります。また、役員及び全従業員の意識向上に向け、第三者である外部講師を招いた研修を実施予定です。

今回の事態を重く受け止め、今後このような事態が発生しないよう、再発防止に向けて個人情報の管理強化・徹底に努め、信頼回復に全力を尽くしてまいります。この度は、多大なるご迷惑とご心配をおかけいたしますこと、心より深くお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-494】立命館アジア太平洋大学 個人情報を含むExcelファイルの掲載について（お詫び）

このたび、学外の方からの問い合わせにより、本学Webサイトに掲載していたExcelファイルに特別な加工をすると、当該Excel ファイルには表示されていない過去に外部リンク機能で一時保存されていたデータが閲覧でき、そこから2018年度に在籍していた学生の氏名、所属、回生、学籍番号、学内メールアドレス等の個人情報が確認できることが判明しました。学生・卒業生の皆さまに多大なるご迷惑をおかけしましたことを深くお詫び申し上げます。

2023 年12 月4 日の事態判明後、ただちに当該ファイルは削除しました。また、現在のところ個人情報の不正利用等の二次被害は確認されておりません。

今回発生した事案の原因を究明するとともに再発防止に努めてまいります。なお、今回の事態にかかわって、ご相談やお問い合せがある場合には、下記までご連絡をお願いいたします。

リリース文（アーカイブ）