【セキュリティ事件簿#2023-489】ミニストップ株式会社 「ミニストップオンライン」における個人情報漏洩に関するお詫び

平素よりミニストップをご愛顧受け賜りまして、誠にありがとうございます。

このたび、当社ＥＣサイト「ミニストップオンライン」におきまして、個人情報漏洩が発生いたしました。発生内容については、下記の通りとなります。

〈発生事実〉

日時 ：１２月１９日 １１時３０分～１８時３０分

事象 ：

ご自身の購買履歴を他のお客さまがログイン後閲覧できる状態およびご自身がマイページにログイン後、他のお客さまの注文履歴が閲覧できる状態

当該情報：

購入商品、お名前、住所、電話番号、メールアドレス、クレジットカード下３桁

対象者 ：

ご自身の情報について他のお客さまが閲覧できる状態 １０名

他のお客さまの情報が閲覧できる状態 １１名

上記事象が重複している状態 ９名

個人情報漏洩の範囲： １名

※他のお客さまの情報を閲覧できる状態の方のログイン情報を確認した結果

原因 ：

店頭受取商品の受注確定時におけるデータ加工ミス。

上記発生確認以降、ＥＣサイトを即時閉鎖し対応しておりました。特定した対象者３０名のお客さまには１２月１９日、２０日に個別に電子メールにてお詫びとお知らせをご連絡しております。

弊社では、今回の事態を厳粛に受け止め、再発防止のための対策を講じてまいります。

お客さまにおかれましては、多大なるご迷惑、ご心配をおかけする事態となりましたことを重ねて深くお詫びを申し上げます。

現在、該当事象の復旧作業も完了したため、一部のページの公開を再開させていただきます。再開ページについては、お客さまのマイページのみとなります。商品の購入については、恒久的なシステム対応が完了したのち再開させていただきます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-487】IT導入補助金事業 事務局における個人情報を含むIT導入支援事業者情報の流出についてのお詫びとご報告

今般、TOPPAN株式会社が2023年8月1日より事務局として運営しております令和4年度第二次補正予算「サービス等生産性向上IT導入支援事業費補助金」（IT導入補助金2023後期事務局）におきまして、個人情報を含むIT導入支援事業者情報およびITツール情報等の本事業への登録情報が、外部からの操作で閲覧・取得されたことが判明いたしました。

本件につきまして、関係者の皆さまに多大なるご迷惑とご心配をおかけいたしますこと、深くお詫び申し上げます。

なお現在はシステムを改修し、個人情報の閲覧・取得はできないようになっております。

■発生した事象の概要

「サービス等生産性向上IT導入支援事業費補助金」（IT導入補助金2023後期事務局）ホームページにおいて、ホームページ上で公開されていない個人情報を含むIT導入支援事業者情報およびITツール情報を外部からの操作により閲覧・取得されました。事務局としましては、本状態を認識できておらず、外部からの指摘によりこの度の事象が判明しました。

■発生原因

「サービス等生産性向上IT導入支援事業費補助金」（IT導入補助金2023後期事務局）ホームページで使用されるプログラムの設計不備により、IT導入支援事業者情報およびITツール情報を外部から閲覧・取得可能な状態にあったため。

■発生期間

2023年8月1日～2023年12月12日 1時35分

■閲覧・取得された可能性のある個人情報数

38,269人分

■閲覧・取得された可能性のある 情報項目

①IT導入支援事業者の一部個人情報を含む、事業者の皆様に入力いただいた登録情報

※該当する個人情報の項目：役員氏名、担当者氏名、担当者メールアドレス

②ITツールの価格や一部個人情報を含む、事業者の皆様に入力いただいた登録情報

※該当する個人情報の項目：

・ITツール登録担当者氏名、メールアドレス

・実施者/販売者 氏名、メールアドレス

■二次被害について

現在、個人情報を含む事業者情報およびツール情報を利用した二次被害の報告は受けておりませんが、引き続き影響調査を進め、必要が生じた場合は速やかに対応してまいります。

■今後の対応と再発防止策について

既に、対象者の方々には個別にメールにてご連絡をさせていただいております。また、当該プログラムについては、厳重に総点検及び改修を実施し、現在は当該データの閲覧・取得ができないことを確認しております。

今後は、システム設計段階におけるセキュリティ機能の検証を強化し、再発防止を図ってまいります。

今後とも「サービス等生産性向上IT導入支援事業費補助金」へのご理解とご協力の程、何卒よろしくお願い申し上げます。

改めまして、この度の事象におきまして皆様にご迷惑をおかけしましたこと、謹んでお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-422】Suishow 株式会社 当社運営の「NauNau」をご利用いただいているお客様への 重要なお知らせとお詫びについて

2023 年 10 月 23 日付「Suishow 株式会社に関する報道について」にてお知らせいたしましたとおり、当社が運営する「NauNau」において、一時、少なくとも 200 万人以上のユーザの位置情報やチャットなどが外部から閲覧可能な状態が生じていたとの報道があり、これを受け、個人情報漏洩の可能性を含め第三者機関による調査を進めてまいりましたが、調査が終了いたしましたので、お知らせいたします。

調査の結果、セキュリティ設定の不備により、特定の手順を踏むことで個人情報の一部が不正に閲覧可能であったことが判明いたしましたが、第三者機関による調査で確認した範囲において情報流出の事実は確認されませんでした。調査結果等は下記のとおりです。

「NauNau」の利用者および関係者の皆さまには多大なご迷惑とご心配をおかけしましたことを、心よりお詫び申し上げます。現時点ではセキュリティ設定の見直しを行い、当該情報の不正な閲覧を行うことはできませんが、調査結果を踏まえ、再発防止策を策定し、セキュリティ向上に取り組んでまいります。なお、サービスの再開時期は、再発防止策（情報セキュリティ体制の見直しを含みます。）の策定と合わせて検討しておりますので、確定次第公表いたします。

■ 調査結果概要

「NauNau」が利用しているクラウドサービスにおいて、当社のセキュリティの設定に不備がある状態でサービスが運用されていたため、不正にデータベースにアクセスできる状態でした。

＜個人情報などにアクセスするための手段＞

上記状況において、ユーザの位置情報やチャット履歴などを取得するためには、クラウド上のデータベースへのアクセス情報を入手し、様々なリクエストを送信する必要があります。

第三者機関による調査の結果、これを実行するためには、SSL/TLS を利用したモバイルアプリの通信を傍受し解析する知識と、クラウドサービスの API へのリクエストを組み立てるための知識が必要であることがわかりました。

＜上記手段によりアクセス可能な情報と期間＞

2022/09/29～2023/05/08：ユーザの現在地：推定 304 万ユーザ分

2022/09/29～2023/03/02：チャット内容/画像：推定 167 万ユーザ分

2022/09/29～2023/10/20：生年月日：推定 283 万ユーザ分

2022/09/29～2023/10/20：個人情報を含まないその他のユーザ情報

(アプリの起動回数等)：推定 380 万ユーザ分

2022/10/22 20:34～20:58：ユーザの過去の位置履歴 ：6,753 ユーザ分

2023/06/13～2023/10/20：カップル・家族グループに所属しているユーザ：53,457 ユーザ分

2023/10/06～2023/10/20：特定アプリのインストール状況※1：38,070 ユーザ分

※1 「NauNau」には恋人がマッチングアプリ等をインストールしているか分かる機能があり、当該アプリ等のインストールの有無に関する情報

■ 本件の原因

「NauNau」が利用しているクラウドサービスにおいて、当社のセキュリティの設定に不備

がある状態でサービスが運用されていたため。

■ 経緯及び対応

2023 年 10 月 20 日(金) 当社に対し、報道機関から「NauNau」における個人情報漏洩の可能

性について指摘

2023 年 10 月 20 日(金) 当社にて状況調査、第三者機関への相談開始

2023 年 10 月 21 日(土) 「NauNau」のサービスを停止しアクセスを遮断

2023 年 10 月 23 日(月) 総務省及び個人情報保護委員会へ報告

2023 年 11 月 10 日(金) 第三者機関としてデジタルデータソリューション株式会社に個人情報

の流出の有無に関する調査を依頼し、調査開始

2023 年 11 月 20 日(月) 第三者機関として GMO サイバーセキュリティ by イエラエ株式会社

に表 1 記載の期間において「NauNau」上の情報に第三者がアクセスす

るための方法について調査を依頼し、調査開始

2023 年 12 月 4 日(月) 第三者機関による調査が完了

■ 再発防止策

専門機関である第三者機関の診断を受けた上で、再発防止策の検討を進めております。

改めまして、「NauNau」の利用者および関係者の皆さまに多大なるご迷惑とご心配をおか

けしましたことを、深くお詫び申し上げるとともに、再発防止に努めてまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-476】一般社団法人JBRC 情報管理不備についてのお詫びとご報告

この度、ＪＢＲＣホームページの「お問い合わせ」フォーム（https://www.jbrc.com/contact/input/）からいただいた問い合わせメールに添付されていた一部の資料が、インターネット上で閲覧可能な状態になっていることが判明いたしました。関係の皆様に、多大なご迷惑及びご心配をおかけしましたこと、心より深くお詫び申しあげます。

本件に関し、現段階で判明している事実と弊法人の対応についてご報告いたします。

１．経緯

本年11月6日、弊法人の関係先（排出事業者様等）に関する情報がインターネット上で閲覧可能な状態になっているとのご連絡を受けました。弊法人においてかかる状態を確認し、調査の結果、弊法人ホームページ上の「お問い合わせ」フォームから弊法人宛に送信された添付ファイルが閲覧可能な状態であることが判明しました。閲覧可能な状態にあった期間は、2018年6月1日0時頃から2023年11月10日11時頃まで（下記の対応完了時点）となり、かかる期間に送信された添付ファイル数は、約1,100件となります。

２．原因と対応

弊法人ホームページ上の「お問い合わせ」フォームの仕様において、送信された添付ファイルが、外部アクセスのリスクのあるフォルダに保存される状態に設定されていたことが判明しました。弊法人では、即座に添付ファイルが当該フォルダに保存されないように設定を変更しました。また、当該フォルダに保存されていたデータを全件確認し、「お問い合わせ」フォームにより送信された添付ファイルを含む約1,100件のデータを当該フォルダから削除する対応を実施し11月10日11時頃、完了しました。

また、閲覧されたことが確認された添付ファイルの送信者様には、11月17日に「お問い合わせメール情報管理不備についてのお詫び」と題する書簡を送付いたしました。

３．現在の状況とお願い

上記対応により、対応完了時点からの新たな情報流出は確認されておりません。また現時点では、今回の問題による二次被害等の報告は受けておりませんが、お気付きの点やお問い合わせがございましたら、下記のお問い合わせ窓口までお願いいたします。

４．再発防止について

弊法人は今回の事態を重く受け止め、今後は、職員一同、情報管理及び運営に関する意識をより一層高め、情報セキュリティー対策の強化徹底により、再発防止に全力で取り組んでまいります。多大なご迷惑とご心配をおかけしておりますこと重ねてお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-473】大阪市コミュニティ協会 Googleフォームズからの個人情報漏えいについて（お詫びとご報告）

当会が住吉区役所からの委託事業・つながりの場づくり推進事業（子ども文化事業）において受付フォームの設定ミスにより参加者の個人情報が閲覧できる状態となりました。参加者の方をはじめ関係者の皆様に多大なご迷惑をおかけし、市民の皆様の信頼を損ねてしまいましたことを深くお詫び申しあげますとともに、今後このようなことがないよう再発防止に努めてまいります。

１．概要

住吉区役所からの委託事業・つながりの場づくり推進事業（子ども文化事業）において、Googleフォームズからの申込受付を行った。その際使用したGoogleフォームズの設定画面において「結果の概要を表示する」がONになっていることに気づかず運用したため、送信ボタンを押した後に表示される画面内の「前の回答を表示」というボタンを押した場合に、当該フォームにすでに申込していた参加者および保護者の個人情報を含む回答結果の一覧が閲覧できる状態にあったということが、令和5年11月8日（水）、弊支部協議会インスタグラムのダイレクトメッセージに参加申込をした保護者よりコメントがあった。令和5年12月2日（土）に、インスタグラムを確認したところ、当該コメントを発見し、事実を認識したものである。

２．判明日時

　令和5年12月2日（土）午前5時

３．流出した個人情報（10組27名）

　参加者氏名、学年、性別

　保護者氏名、電話番号、メールアドレス

４．判明後の対応

　令和5年12月2日（土）午前5時10分　「結果の概要を表示する」をOFF

　　　　　　　　　　　  午後4時19分　支部協議会事務局長へ報告

　令和5年12月3日（日）午前11時50分　住吉区役所教育文化課へ口頭で報告

　　　　　　　　　　　  午後1時00分　事業開始時に出席者7組18名に状況を説明し、謝罪

　　　　　　　　　　　  午後5時00分　欠席者3組9名に電話で個別に状況を説明し、謝罪

５．原因

　フォームを作成した際、職員が回答完了後の動作確認を行っていなかったため

　「結果の概要を表示する」がONになったことが確認できなかった。

６．再発防止策

• フォームを作成後、業務責任者を含め複数名の職員によるダブルチェック等、入力から回答完了後までの動作確認を行う。
• チェックリストを用いたチェック体制の構築・運用を行う。
• 今後、同様の事象が発生した際には、速やかに発注者への報告を行う。
• 個人情報保護の研修を実施し、職員一人一人が個人情報の大切さを認識し、個人情報を適切に取扱う。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-471】株式会社クロックワークス 【映画『カンダハル 突破せよ』感想投稿キャンペーンにおける個人情報の漏洩に関するお詫びとお知らせ】

このたび、当社配給映画『カンダハル 突破せよ』の公式X（旧Twitter）アカウントで実施した【映画『カンダハル 突破せよ』感想投稿キャンペーン】において当選者の個人情報が閲覧できる状況にあったことが判明しました。本件に関する概要につきまして、下記の通りご報告いたします。

ご迷惑をおかけした当選者の皆様には、個別にお詫びのご連絡をいたしました。

お客さまには多大なご迷惑とご心配をおかけしておりますことを、深くお詫び申し上げます。個人情報の適切な管理及び取扱の徹底を行い、再発防止に努めてまいります。

1）個⼈情報漏えいが発⽣した項⽬

当選された25名様のＸアカウント名、氏名、住所、電話番号、映画をご覧になった劇場名

※同キャンペーンの当選者33名に対して、11月24日（金曜日）午後3時49分よりダイレクトメッセージで景品送付先に関する情報入力の依頼を行い、11月28日（火曜日）午後2時8分までに入力を行った25名の方の情報が相互で閲覧可能な状態にありました。

2）原因

当社が設置した応募入力フォームにて、Googleフォームの機能である「前の回答を表示」の設定を誤ったことが原因で入力した方の個人情報が閲覧できる状態になっておりました。

3）経緯と対応状況

11月24日

・公式Xアカウントにて、該当の入力フォームを当選者へ随時送付

11月28日

・フォームを入力したお客様から当社公式WEBサイト経由でお問い合わせいただき、ほかのお客様の情報が閲覧できるようになっているとご連絡（この時点までで25名が回答）

・お問い合わせメールを確認し、直ちに第三者が他人の申込情報を閲覧できないよう設定を変更。同様のご指摘を公式XへのDM返信でもいただいていたことを確認。

現在の対応

・当選者様全員に、本件についてのご説明とお詫びのご連絡。

・本お知らせをHPにて公表。

4）再発防止策

・同様の事態が今後発生しないよう、フォーム作成と公開時のルール確立、複数名でのチェック体制の原則化、各社員に対して個人情報保護の重要性をはじめとした教育の徹底など、再発防止策を実施します。

この度の事態についてご指摘いただくまでの長期間、状況を認識できなかったことを重く受け止め、今後の運用体制についても検討・改善してまいります。

改めまして、本件について、多大なるご迷惑とご心配をおかけする事態となりましたことを、心より深くお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-452】株式会社Geolocation Technology 採用応募者様の個人情報が閲覧できる状態になっていたことに関するお詫び（第２報）

2023年11月11日付「採用応募者様の個人情報が閲覧できる状態になっていたことに関するお詫び」(https://ssl4.eir-parts.net/doc/4018/tdnet/2360564/00.pdf)にて公表いたしました件について、その後の調査を通じて確認した事実関係及び再発防止策等をご報告いたします。  

2023年11月8日に、当社コーポレートサイトの設定不備により、2019年5月1日から2023年4月14日までの間、当社のコーポレートサイトの採用応募フォーム(変更前の応募サイト)から中途採用に応募いただいた、履歴書および職務経歴書が閲覧可能となっている可能性があることを確認いたしました。直ちに対処を行い、2023年11月10日に、これらの書類は閲覧できない状態であることを確認しております。現時点において、履歴書および職務経歴書の不正利用等は報告されておりません。   

本事案について、一般財団法人 日本情報経済社会推進協会(JIPDEC)に報告いたしました。  

対象となられた皆さまには多大なご迷惑とご心配をお掛けいたしましたこと、深くお詫び申し上げます。 

1.本事案の概要と経緯   

2023年11月８日に、インターネット上で履歴書および職務経歴書のファイルが閲覧可能となっている旨のご連絡をいただきました。   

これを受け、直ちに調査を開始したところ、当該資料が、当社コーポレートサイトのフォルダに格納されておりましたが、そのフォルダが誤って「公開」の設定になっていることを確認し、直ちに対処するとともに、2023年11月10日に、これらの書類がすべて閲覧できない状態であることを確認いたしました。   

今回問題となった採用応募フォームは、2019年5月1日から2023年4月14日までの間、運用されており、この期間に応募いただいた履歴書および職務経歴書が閲覧可能となっている可能性があることを確認いたしました。

（１）閲覧を確認した又は閲覧のおそれがある情報     

a）応募者様の数       

閲覧のおそれがある応募者様の数（※106名） 

※2023年11月11日付公表の108名の中に、2名の重複がありました。     

b）情報の内容       

履歴書および職務経歴書に記載された応募者様の情報、職務経歴など。 

（２）発生原因   

今回問題となった採用応募フォームは、外部ツールを利用して、制作していました。本外部ツールは、採用応募フォームに添付して送信したファイル（履歴書および職務経歴書のファイル）をフォルダに配置するようになっており、外部ツールの仕様の理解不足から、このフォルダが誤って「公開」の設定になっていました。さらに、外部公開されているフォルダにファイルを保管し続けておりました。   

この結果、インターネット上で履歴書および職務経歴書のファイルが閲覧可能となっていました。

2.再発防止策と今後の対応 

（１）再発防止策   

今後、ウェブサイト制作において、以下のルールを周知徹底するとともに、ルールが厳守されていることを監視・点検し、今回のような事案が決して再発しないよう、取り組んでまいります。

・外部ツールの利用の有無、利用目的の明確化、責任者による利用承認 

・制作したウェブサイトから入力された取扱情報および格納場所の明確化 

・取扱情報の公開・非公開の確認および、責任者による妥当性の承認   

当社内部における、採用応募の手順を見直し、当社コーポレートサイトからの応募書類（履歴書・職務経歴書など）は、直接メールで受け取るようにいたします。コーポレートサイト以外からの応募書類については、指定のツールやサイトを介し、受け取るようにします。受け取った応募書類は、人事関係者だけが非公開の場所で取り扱うように徹底し、採用活動が完了した応募書類は、直ちに破棄するとともに、責任者が監視・点検してまいります。 

（２）閲覧を確認した又は閲覧のおそれがある応募者様への対応 

現在までに閲覧を確認した又は閲覧のおそれがある応募者様につきましては、書面にてご連絡を差し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-446】OLTA 【INVOY】顧客情報流出に関するご報告とお詫び（続報2 影響範囲について）

平素よりOLTAおよびFINUX（INVOY）のサービスをご利用いただき誠にありがとうございます。

2023年11月7日（火）に判明した、弊社関連会社（FINUX）が提供するクラウド請求書プラットフォーム「INVOY」において特定の条件に該当した一部のユーザー様の顧客情報が他のINVOYユーザー様から閲覧できる状態になっていた事象について、影響範囲ついて調査した結果をご報告いたします。

本事象の解消に向けて2023年11月7日（火）18時10分より緊急メンテナンスのためサービスを一時停止しておりましたが、2023年11月8日（水）2時58分に復旧し、現在は通常通りご利用いただけます。

ユーザー様および関係者の皆様には、大変なご迷惑とご心配をおかけしましたことを改めてお詫び申し上げます。

1. 発生事象

＜概要＞

今回判明したのは、2名以上のユーザーがほぼ同じタイミングでINVOYにログインした際、一方のユーザーの情報が他方に表示されてしまう（以下、誤表示）可能性がある、という不具合です。詳細については、後述の＜具体的な誤表示の箇所＞をご参照ください。

なお、本事象はインターネットブラウザ上の表示に関する不具合に限られ、発行した請求書に誤った情報が記載されたり、他ユーザーによって登録情報が書き換えられるといった問題が発生することはございません。

＜対象となるユーザー様＞

調査の結果、2名以上のユーザー様がほぼ同時、具体的には100ミリ秒（0.1秒）以内にINVOYにログインした際（以下、同時ログイン）に、上記事象が発生した場合があるとの推定に至りました。

2023年8月7日（月）13時頃から2023年11月07日（火）18:10までの期間（以下、当該期間）に行われた全てのログイン5,656,686回のうち、同時ログイン（可能性がある最大数）は40,854回と全体の約0.72％が発生の上限だったと推定しています。また、当該期間中に同時ログインを行ったユーザー様（可能性がある最大数）は6,501アカウントが上限であったと推定しています。このうち、実際に他ユーザー様によって閲覧がされた数は、誠に遺憾ながら詳細なログデータが残っていないため確認が難しい状況です。

ただし、同時ログインが行われても必ずしも他ユーザー様の情報が表示されたわけではないことや、当該期間におけるユーザー様からの本事象に関する障害報告が2件のみであったことからも、実際に閲覧がされた数は非常に少ないものと考えております。

＜対象の顧客情報（更新あり）＞

他ユーザー様が閲覧できる状態にあった可能性がある情報は、以下の通りです。

　・ご登録のメールアドレス

　・ユーザー名

　・ユーザーの種別と権限（管理者か否か）

また、調査の結果、第一報の段階で対象の可能性がある情報としていたもののうち、以下については対象外であると判明しました。

　・ユーザーID

　・登録日時

　・契約プラン

　・パートナーコード（登録経路）

　・請求書の発行枚数

なお、第一報よりお伝えしている通り、クレジットカード情報やパスワードなど金銭的被害に繋がる情報は含まれておりません。

＜具体的な誤表示の箇所＞

当該ログイン時、他ユーザー様の画面上に表示された可能性がある具体的な内容と場所の組み合わせは以下の２つです。

①【通常の利用方法で発生するもの】ログイン直後※1、ホーム画面サイドバーに表示されるユーザー名※2　

　※1 請求書作成機能など別の画面に遷移すると正しいユーザー名に戻ります

　※2 INVOY登録時に設定いただく表示用ユーザー名で、請求書用の氏名等とは異なります

②【通常の利用方法では発生しないもの】デベロッパーツール※3を表示した際に関連情報として出る各種情報※4

　※3 開発者用の管理画面。通常の使用方法で表示されることはありません

　※4 メールアドレス、ユーザー名、ユーザー種別・権限。詳細は＜対象の顧客情報（更新あり）＞をご参照ください

2. 原因

＜概要（既報）＞

2023年8月7日（月）に行った「INVOY」のアップデート対応において、当該不具合を引き起こすコードが含まれていたこと、また当該アップデートを本番環境に適用する前に実施すべきチェックが不十分であったことが原因です。

＜詳細＞

INVOYの画面表示の処理において、2名以上のユーザーより同時ログインがあった場合に当該事象が発生する可能性のあるバグが見つかりました。同時ログインの影響の調査不足によるものです。

3. 今後の対応

• 他のINVOYユーザー様から顧客情報が閲覧できる状態になっていた可能性のあるユーザー様には、メールにてご連絡いたします。
• 本事象に関して引き続き調査を実施し、新たな事項が判明した場合には可及的速やかに弊社ウェブサイトにてお知らせいたします。
• 既に本事象が再発しないよう暫定措置を行いましたが、来週を目途に恒久対応を完了し、再発防止策についてもあわせて報告いたします。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-446】OLTA 【INVOY】顧客情報流出に関するご報告とお詫び（続報1 サービス復旧）

平素よりOLTAおよびFINUX（INVOY）のサービスをご利用いただき誠にありがとうございます。

弊社関連会社（FINUX）が提供しておりますクラウド請求書プラットフォーム「INVOY」におきまして、特定の条件に該当した一部のユーザー様の顧客情報が他のINVOYユーザー様から閲覧できる状態になっていたことが判明いたしました。

ユーザー様には、大変なご迷惑とご心配をおかけしましたことを、深くお詫び申し上げます。

本事象の解消に向けて、2023年11月7日（火）18時10分より緊急メンテナンスのためサービスを一時停止しておりましたが、2023年11月8日（水）2時58分に復旧し、現在は通常通りご利用いただけます。詳細な原因や影響範囲の調査を継続しており、今後新たな情報が判明する可能性がございますが、2023年11月8日2時時点で確認できている情報は以下の通りです。

1. 発生事象

＜対象ユーザーと事象＞

2名以上のユーザーがほぼ同じタイミングでINVOYにログインした際、一方のユーザーの情報が他方に表示されてしまう可能性がある不具合。

＜対象の顧客情報＞

他ユーザー様が閲覧できる状態にあった可能性がある情報は、以下の通りです。

・ユーザID

・ご登録のメールアドレス

・ユーザ名

・登録日時

・契約プラン

・パートナーコード（登録経路）

・請求書の発行枚数

・ユーザの種別と権限（管理者か否か）

なお、クレジットカード情報やパスワードなど金銭的被害に繋がる情報は含まれておりません。

＜経緯＞

10月4日（水）

・20時頃、本事象に類似の事象と思われる内容について、ユーザー様より問い合わせを受ける。調査を試みたものの当該事象に関する詳細な情報がなかったこと、問い合わせいただいたユーザ様と連絡がつかなかったことから、問題の確認など具体的な対応を実施せず。

11月7日（火）

・11時頃、対象ユーザー様より問い合わせ受け、調査を開始。

・14時頃、当該事象が再現することを確認。

・18時10分、緊急メンテナンスのためサービスを停止。

11月8日（水）

・2時58分、事象の解消を確認。サービスを復旧。

＜対象サービス＞

・INVOY（クラウド請求書プラットフォーム）

＜サービスサイトURL＞

https://www.invoy.jp/

2. 原因

2023年8月7日（月）に行った「INVOY」のアップデート対応において、当該不具合を引き起こすコードが含まれていたこと、また当該アップデートを本番環境に適用する前に実施すべきチェックが不十分であったことが原因です。

3. 今後の対応

本事象に関しまして引き続き調査を実施し、該当ユーザーの詳細情報が判明し次第、可及的速やかに弊社ウェブサイトにてお知らせいたします。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-446】OLTA 【INVOY】顧客情報流出に関するご報告とお詫び

平素よりOLTAおよびFINUX（INVOY）のサービスをご利用いただき誠にありがとうございます。

2023年11月7日（火）、弊社関連会社（FINUX）が提供しておりますクラウド請求書プラットフォーム「INVOY」におきまして、特定の条件に該当した一部のユーザー様の顧客情報が他のINVOYユーザー様から閲覧できる状態になっていることが判明いたしました。

他ユーザー様に閲覧できる状態にあった可能性がある情報は、以下の通りです。

・ユーザID

・ご登録のメールアドレス

・ユーザ名

・登録日時

・契約プラン

・パートナーコード

・請求書の発行枚数

・ユーザの種別と権限（管理者か否か）

なお、クレジットカード情報やパスワードなど金銭的被害に繋がる情報は含まれておりません。

本事象の解消のため、2023年11月7日（火）18時10分より緊急メンテナンスのためサービスを一時停止しております。

復旧の見通しについては、現時点では未定です。このリリース以後、原因の究明、問題解消および再発防止が完了するまで随時状況をお知らせ致します。

ユーザー様には、大変なご迷惑とご心配をおかけしますことを、深くお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-443】東京大学情報基盤センター管理のサーバにおけるユーザ情報の一部が、学内端末の一部から閲覧可能となっていた件について

東京大学情報基盤センターが管理するサーバの設定ミスにより、本学構成員向けGoogle Workspace for Educationのパスワードハッシュ値(*)を含む利用者情報(†)が、学内に設置された、学内利用者用の端末の画面で閲覧できる状態であったことが判明しました。

現在はその設定を修正し、上記の状態は解消しています。利用者情報が実際に閲覧されたかどうかは不明で、現時点ではこれによる不正ログインなどの被害も確認されておりません。閲覧されたとしてもパスワードハッシュ値から直ちにパスワードがわかるわけではありませんが、以降の被害を防ぐために本日時点で有効なアカウントを有する全ての利用者に連絡を行い、パスワードの変更作業を行なうこととしました。

閲覧可能であった情報が万一悪用される可能性を減らすため、これ以上の詳細については全ての利用者のパスワード変更作業が行われた後に、利用者に対して開示する予定です。

このような事態が発生し関係の皆様には多大なご迷惑をおかけすることになりましたことを、深くお詫び申し上げます。

今後、システム構築時および構成変更時の設定内容の確認を徹底するなど、再発防止に努めてまいります。

(*) パスワードハッシュ値: パスワードを暗号化したもので、ハッシュ値からもとのパスワードを復元することは、パスワードの長さや複雑さにもよりますが、多くの計算を要します

(†) 端末の画面で閲覧可能であった情報

● 名前

● Google のEmailアドレス

● 大学の他のサービスで用いる共通ID

● 学生証番号

● パスワードのハッシュ値

● その他管理上必要な, 個人の属性と直接結びつかない情報

リリース文（アーカイブ）

【セキュリティ事件簿#2023-438】東京医科歯科大学 学園祭ＨＰ上で個人情報が一時的に閲覧可能な状態になっていた事例について

この度、東京医科歯科大学の学園祭である第 72 回お茶の水祭（2023 年 10 月 14 日～15日開催）の特定のイベント 1 件への参加申し込みフォームに不備があり、個人情報延べ 44名分の漏えいが発生しました。44 名の皆様には既に事情説明と謝罪を済ませておりますが、関係者の皆様にご迷惑とご心労を与えてしまったことを深くお詫び申し上げます。

１．概要

今般、お茶の水祭の高校生向け企画「診療体験」について、google forms にてご応募くださった方々におかれまして、参加情報を送信した後の画面に表示されるリンク先 URLをクリックした場合に、他の参加者の個人情報が閲覧できる状態になっておりました。

本件は、募集に使用したgoogle formsの設定に誤りがあったことが原因でございます。現在は、設定を変更し他の参加者の個人情報を閲覧できない状態にした上で、google forms での応募ページを閉鎖しております。

他の参加者の個人情報が閲覧できた期間は 2023 年 9 月 19 日 17 時頃から同 10 月 3 日11 時頃まででした。閲覧できた情報は、氏名とふりがな、学校名、メールアドレス、イベント内での呼び名（ニックネーム）、個人情報の取扱いについての同意の有無などです。個人情報が google forms 上で閲覧状態になってしまった延べ 44 名の皆様には、東京医科歯科大学お茶の水祭実行委員会委員、及び東京医科歯科大学学生支援事務室より事情説明と謝罪の連絡を取りました。

２．再発防止

以下の対応を行うことで、本事故の再発防止とし、情報の適切な取り扱いの徹底を図ります。

• 本事案について次期東京医科歯科大学お茶の水祭実行委員会委員への引き継ぎに記載し、来年以降の実行委員会委員となる学生に必ず確認させることとします。
• 学生がお茶の水祭において個人情報の収集を行う場合は、担当部署である東京医科歯科大学学生支援事務室に収集目的・収集項目・管理方法・破棄方法を報告及び相談を行い、学生支援事務室が認めた場合に限り、申請フォームを作成・公開することとします。
• 全学生、及び職員に対し、個人情報の正しい取り扱いについて、再周知を徹底します。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-435】東京海上日動火災保険株式会社 保険代理店向けシステムの参照範囲設定誤りによる情報漏えいに関するお詫び

東京海上日動火災保険株式会社（取締役社長：広瀬 伸一、以下「当社」）は、保険の募集・管理で利用するために保険代理店向けに提供しているシステム（以下「代理店システム」）において、適切な参照範囲の設定を行っていなかったことにより、当社の一部の代理店が本来はアクセスしてはならない他保険会社や当社のお客様情報にアクセスできる状態となっていたことが判明いたしましたのでご報告いたします。

当社および各保険会社のお客様、代理店・各保険会社の皆様に大変なご心配、ご迷惑をおかけいたしましたことを深くお詫び申し上げます。

１．事案の背景

当社は、勤務型代理店制度という、二つの代理店が共同してお客様対応を行う仕組みを設けております。一つの代理店を「統括代理店」、もう一方の代理店を「勤務型代理店」と称し、統括代理店が勤務型代理店を教育・指導・管理することとしております。

この統括代理店と勤務型代理店は共同してお客様対応を行うことから、代理店システム上において取り扱いのある生命保険および損害保険のお客様情報を共有しております。一方、勤務型代理店が関与することのない、統括代理店が取り扱うお客様情報について、勤務型代理店がアクセスできないよう、代理店システム上制限をかけることとしておりました。

２．事案の概要

今般の事案は、当社による事務ミスによって参照範囲が適切に制限されていなかったため、勤務型代理店が以下のお客様情報にアクセスできる状態となっていたことが代理店から当社への参照制限に関する照会により判明したものです。

＜アクセス可能となっていたお客様情報＞

お名前、ご住所、お電話・FAX 番号・メールアドレス、ご生年月日、性別、ご契約内容、証券番号、保険種類、保険金を受け取られる方のお名前、保険始期・満期、保険料、ご契約変更の有無、保険事故の有無など

＜参照範囲が適切に制限されていなかったことにより発生した事象＞

① 勤務型代理店がお取り扱いしていない契約も含め、統括代理店がお取り扱いする他保険会社（※1）のお客様情報にアクセスできる状態となっていたもの

（※1）保険会社共同ゲートウェイというデータ通信サービスを通じ、データ提供を行っている他保険会社の保険契約等の情報を代理店にて一元管理することが可能となっております（当社が他保険会社のお客様情報を見ることができるものではありません）。

② 当社からの代理店委託のない勤務型代理店が、代理店システム上で当社から送信される統括代理店宛ての通知や契約事務のペンディング状況等に関する配信（※2）を通じて、統括代理店扱いの当社のお客様情報にアクセスできる状態となっていたもの。

(※2)当社からの代理店委託がない勤務型代理店においても、東京海上日動あんしん生命保険（以下、あんしん生命）の委託があれば当社の代理店システムを活用しております。

③ あんしん生命の委託のない勤務型代理店においても、②と同様に、あんしん生命のお客様情報にアクセスできる状態となっていたもの。

３．対象代理店

それぞれの事象における対象代理店は以下のとおりです。

① 他保険会社のお客様情報

統括代理店 214 店

② 当社のお客様情報

統括代理店 11 店

③ あんしん生命のお客様情報

統括代理店 165 店

４．対応について

判明した参照制限の設定誤りについては是正対応を完了しており、現在は不適切なアクセスができない状態となっております。また、アクセス履歴が確認できたものから、勤務型代理店へのヒアリング等の確認を進めており、現時点で情報の不正使用は確認されておりません。引き続き、残存するアクセス履歴の調査を継続し、勤務型代理店による情報への不適切なアクセスが確認されたお客様に対しては、順次個別にお知らせしてまいります。

本件を真摯に受け止め、今後かかることのないよう、参照範囲の設定誤りが発生しない体制構築およびチェック体制の徹底強化により、再発防止を図ってまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-431】鎌倉市 鎌倉版フォルケホイスコーレ事業における個人情報の流出について

内容

令和５年10月20日、鎌倉版フォルケホイスコーレ事業運営業務として、業務を委託しているアカデミック・リソース・ガイド株式会社（以下「受託事業者」という。）が作成した事業への参加申込画面において、38名（申込者19名、緊急連絡先19名）の個人情報が閲覧可能の状態であったことが判明しました。

関係者の方々には、御心配、御迷惑をおかけいたしましたことを、深くお詫び申し上げます。

経過

令和５年10月20日午後１時３０分、鎌倉版フォルケホイスコーレ事業のホームページを閲覧していた方から市に連絡があり、ホームページにリンクされた事業への参加申込画面において、参加申込者等の申込受付時の回答内容（個人情報を含む）が閲覧可能な状態となっていたことが判明しました。

閲覧可能となっていた情報は、本事業への参加申込を行う際に記載を求めた項目で、申込者の氏名、メールアドレス、生年月日、性別、住所、電話番号、緊急連絡先の氏名、緊急連絡先電話番号、緊急連絡先のご本人との続柄、健康上の留意点、プログラムへの質問内容の11項目でした。

対応

通報後、速やかに市から委託事業者に連絡し、参加申込画面の設定を変更し閲覧ができない状態にするとともに、令和５年10月20日から23日にかけて市及び受託事業者から38名の方に対し、謝罪及び今後の対応をお伝えいたしました。

再発防止対策

今回の事故の原因は、受託事業者において、Google社が提供するオンラインフォーム作成ツールを用いて参加申込画面を作成した際、回答の概要を表示しないよう設定するべきところを誤って「回答の概要を表示する」と設定していたことによるものです。同社からは、今後はオンラインフォーム作成にあたりダブルチェックを行い、再発防止の徹底に努める旨の報告を受けています。 また、市としても職員がオンラインフォームの確認を徹底することで再発防止に努めます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-430】株式会社マイナビ 応募者管理ツールにおける個人情報漏洩に関するお詫び

当社が運営する就職情報サイト「マイナビ」に付随する、応募者管理システム「MIWS」において、企業が応募者データを取得する際に、別の企業の応募者データが取得されてしまう事象が発生しました。

対象となった企業を特定し、現在までにデータの削除を依頼し、了承をいただいております。また、不具合発生の原因となったシステムは改修を完了しており、再発防止策を講じております。

対象となった皆様には深くお詫び申し上げます。今後より一層、個人情報管理の厳格化をはかり、再発防止に向けて取り組んでまいります。

＜概要＞

【発生期間】

2022年2月17日～2023年9月13日

【対象となった方】

就職情報サイト「マイナビ2023」「マイナビ2024」「マイナビ2025」にご登録いただいた方のうち、当該サイト上で企業へ応募をされた一部の方　計1,662名

※対象となった方には、ご登録いただいたメールアドレス宛に個別でご案内をしております。

【対象となった企業】

本来は取得できないデータが取得できた企業　計15社

【個人情報の項目】

氏名、メールアドレス、住所、電話番号、所属学校、他

※企業が取得時に指定したデータ形式によって、個人情報の項目が異なります。

【原因】

企業が応募者データを応募者管理システムからCSV形式でダウンロードする際に、テンポラリデータ（処理中に一時的に保存するファイル）を作成し、その後にCSVファイルを生成するという処理を行っています。この処理中にミドルウェア障害などが発生し、他社のCSV出力処理の内容が混在しました。

【対応状況】

• 2023年8月28日（月）：特定１社においてシステム障害が発覚し、調査を開始
• 2023年9月13日（水）：事故原因の特定に関する調査を完了しシステムを修正
• 2023年10月4日（水）：追加処置としてCSVファイルの作成・取得後に行われる出力前（ダウンロード直前）に対象データが要求した企業のものであることを担保する処理を厳格化
• 2023年10月11日（水）：過去全件のダウンロードファイルのログを調査し、ごく稀にシステム障害が発生していたことが判明
• 2023年10月25日（水）：個人情報が閲覧された可能性のある方に、就職情報サイト「マイナビ」にご登録いただいたメールアドレス宛に連絡

なお、本来の応募企業へは応募情報が正しく送信されております。

改めて、対象となった皆様には深くお詫び申し上げます。本件の事態を重く受け止め、今後このような事がないよう、より一層、情報管理を徹底してまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-427】京都精華大学 個人情報が閲覧できる状態になっていたことに関するご報告とお詫び

この度、在学生の学費納入に関する手続きにおきまして、一部申請者の個人情報が申請フォーム上で閲覧できる状態になっていたことが判明しました。原因は手続きに用いたGoogleフォームの設定を誤ったことによるものです。関係者の方々には、深くお詫び申し上げます。

 

閲覧された可能性がある申請情報の件数：134件（134名分）

期間：2023年9月1日（金）15時頃　～　2023年10月13日（金）17時30分頃

閲覧可能であった個人情報：申請者氏名、学籍番号、学生氏名、学費支弁者氏名

（その他、申請者の属性等について統計データのみの表示が閲覧可能状態でした）

個人情報を閲覧可能であったのは、当該フォームでの申請を完了させた134名の方であり、これ以外に外部から当該の個人情報にアクセスできる状態ではありませんでした。

当該フォームを利用された対象の皆様には、 10月19日に「個人情報が閲覧できる状態になっていたことに関するご報告とお詫び」という文書をお送りいたしました。

今後はこのような事態を起こさないよう、諸手続きに利用するフォームの公開時におけるテスト確認とチェック体制の強化をはかり、再発防止に努めてまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-419】豊田市 市内中学校における生徒の個人情報の漏えいについて

 

豊田市立豊南中学校（生徒数：692人／水源町）において、3年生の生徒214人分の進路希望調査のデータが、令和5年10月10日（火曜日）から15日（日曜日）午後11時頃まで、特定のクラスの生徒（31人）の学習用タブレットから閲覧できる状態であったことが発覚しました。

発覚日

令和5年10月15日（日曜日）

経緯

10月15日（日曜日）午後10時頃

データを閲覧した生徒の保護者から、「他のクラスの子の進路希望調査のデータを見ることができるが大丈夫か。」という連絡が担任教諭に入り、3年生の生徒214人分の進路希望調査（志望校など）のデータが閲覧できる状態であったことが発覚した。

同日午後11時10分頃

事態を把握した同校の教諭が当該データを削除。

10月16日（月曜日）

学校長が担当教諭及びその教諭が受け持つクラスの生徒に事実確認を行い、特定のクラスの生徒のみが当該データを閲覧できる状態であったことを確認。また市教育センターによる調査の結果、当該データは10月10日（火曜日）に掲載されたことを確認。同日学年集会を開き、3年生の生徒に説明及び謝罪を行った。

原因

教諭が本件とは無関係のデータを学習用タブレットからアップロードしようとした際、誤って本来共有してはいけないデータをアップロードしてしまったことによるもの。

再発防止策

個人情報を扱うデータの保存場所についてのルールを徹底するとともに、アップロード前に複数の教諭でチェックする体制を強化する。

今後の対応

10月18日（水曜日）午後6時から保護者説明会を開催し、謝罪及び経緯、再発防止策について説明を行う。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-243】株式会社WOWOW お客さまの個人情報漏えいに関するWOWOWの対応について(10/4)

 

いつもWOWOWをご利用いただきありがとうございます。

WOWOWオンデマンドにおいて個人情報漏えい等の可能性を確認いたしました。

現在WOWOWでは、漏えいによりご迷惑をおかけしているお客さま、

漏えいの可能性のあるお客さまへ、以下のとおり対応を進めておりますことをご報告させていただきます。

■メールでのご連絡

・6月30日（金）

　個人情報漏えいの可能性がある方へ第一報　メール①

　件名：【重要】お客さまの個人情報漏えいに関するお知らせとお詫び

・7月7日（金）～7月14日（金）

　個人情報漏えい可能性がある方への対応ご案内　メール②

　件名：【必ずお読みください】個人情報漏えいについての調査結果

・7月24日（月）～25日（火）

　メール②の再送（未開封の方への注意喚起のため） メール③

　件名：再送【必ずお読みください】個人情報漏えいについての調査結果

・7月25日（火）

　問題と思われるお手続きをされた方への個別ご案内　メール④

　件名：【必ずお読みください】個人情報漏えいに関する個別のご連絡

・8月29日（火）、9月4日（月）

　問題と思われるお手続きをされた方への個別ご案内　メール⑤

　件名：【重要】お客様のご契約解除と返金について

・10月4日（水）

　上記メールがエラーによりお届けできていない方にショートメッセージ（SMS）でご案内

・10月6日（金）～（予定）

　上記メールがエラーによりお届けできていない方に書面でご案内

■電話でのご連絡

　6月30日（金）以降、お問い合わせをいただきましたお客さまや、

　WOWOWの調査により漏えいが疑わしい契約状況を確認できたお客さまには、

　WOWOWカスタマーセンター総合ダイヤル（0120-580-807)より、

　ご登録の電話番号にご連絡をさせていただいております。

　

■ご注意

・WOWOWからのメールや電話でのご連絡を詐欺やフィッシングと懸念されるお客さまから、

　お問い合わせをいただくこともございます。ご面倒をおかけして誠に申し訳ございません。

　上記の内容、番号からのご連絡はWOWOWからのご連絡となりますのでご安心ください。

・WOWOWからのお電話で、お客さまに直接決済情報をお伺いすることはございませんが、

　お客さまからWOWOWへお電話いただいた際には、ご本人の特定のため、決済情報をお伺いする場合がございます。

■お客さまご自身でご確認をいただく場合

WOWOWオンラインの「My WOWOW」にて、以下の項目の記載内容に誤りがないかご確認ください。

・契約状況

　　契約形態が、ご自身の意向と異なる内容になっていないか。

（例：解約のお心当たりがないのに「契約なし」と表示されている 等）

・お支払い方法

　　　月額視聴料のお支払い方法が、ご自身の意向と異なるお支払い方法になっていないか。

※また、ご登録いただいているお支払い方法（クレジットカード等）の明細をご覧いただき、6月・7月

のWOWOWからの請求の有無、およびその内容に問題がないか、などもご確認ください。

※請求の反映までに日数を要する場合がございますので、ご注意ください。

ＷＯＷＯＷオンデマンドのマイリストにて、登録内容をご確認ください。

　　　「お気に入り」に登録されている番組に問題がないか

　　　「視聴履歴」に見覚えのない履歴がないか

※MyWOWOW、WOWOWオンデマンド マイリストでの詳しいご確認方法は、こちらをご覧ください

お客さまには、ご迷惑とご心配をおかけしておりますことを重ねてお詫び申し上げます。

今回の事象の発生を厳粛に受け止め、再発防止に向けて全力で取り組んでまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-414】株式会社テイツー お客様の個人情報流出についてのお詫びとお知らせ

 

当社は、「ふるいち イオンモール幕張新都心店」のオープン（2023 年 10 月 19 日予定）に先立って、同店のグランドオープン記念として、トレーディングカードの web 事前抽選の受付を、当社の「ふるいち店舗情報サイト」（https://www.furu1.net/index.html）上で、2023 年 10 月 9 日 18:00 ごろから開始しました。

しかしながら、受付開始後複数の抽選申込者様から、抽選申込の入力内容確認画面において、抽選申込者様とは異なる個人情報が表示されるとのご指摘をいただき、20：00 ごろに抽選受付を停止しました。

本事案の発生を受け、当社内に同日中に「緊急対策本部」を設置し、影響範囲の調査を開始しました。現時点で上記の約 2 時間の間に抽選申込をされた抽選申込者様約 770 名の入力情報が、他の申込者様の入力内容確認画面に表示された可能性があることが判明しております。

また、ご指摘をいただいた抽選申込者様の他に同様の現象が発生していないかどうかを、「ふるいち店舗情報サイト」の保守委託先である株式会社サイト・パブリス（東京都千代田区九段南一丁目 4 番 5 号、代表取締役社長 二通 宏久）と共同で調査を行っております。

なお、流出した可能性のある個人情報は、氏名、生年月日、住所、電話番号、メールアドレスであり、クレジットカード情報等の決済に係る情報は含まれておりません。また、現時点で該当ページにおける抽選受付は停止しており、今後、上記の現象により新たな流出が生じる懸念はないものと考えております。

ご指摘をいただいた抽選申込者様をはじめとした本 web 事前抽選に関係する皆様に対し、多大なるご迷惑とご心配をおかけしておりますことをお詫びするとともに、当社の関係者の皆様に対してもご懸念を抱かせてしまいましたこと併せてお詫び申し上げます。上記調2査の進捗に応じて本 web 事前抽選に関係する皆様に個別に対応を行い、並びに調査結果及び再発防止策を速やかに取りまとめ、準備が整い次第改めて開示することをお知らせいたします。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-411】Microsoft、未保護のAzureストレージを通じて38TBのプライベートデータをお漏らし

 

MicrosoftのAI研究部門は、2020年7月から始まり、公開のGitHubリポジトリにオープンソースのAI学習モデルを共有する過程で、重大なデータ漏洩事件を引き起こしていました。この事実は、ほぼ3年後の最近になってクラウドセキュリティ専門企業Wizによって発見されました。Wizのセキュリティリサーチャーは、Microsoftの従業員が誤って漏洩情報を含むAzure BlobストレージバケットのURLを共有したことを明らかにしました。

このデータ漏洩は、過度に許容的なShared Access Signature（SAS）トークンの使用に関連しているとMicrosoftは述べています。このAzureの機能は、データ共有を可能にし、しかしWizの研究者によれば、この機能は監視と取り消しに難航すると説明されています。正しく使用される場合、SASトークンは、ストレージアカウント内のリソースへの委任アクセスを安全に許可する手段を提供します。これには、クライアントのデータアクセスに対する正確な制御、彼らが対話できるリソースの指定、これらのリソースに対する権限の定義、およびSASトークンの有効期間の決定が含まれます。

Wizは警告して、監視とガバナンスの不足のため、SASトークンはセキュリティリスクをもたらし、その使用はできる限り制限されるべきであると述べています。これらのトークンは非常に追跡が困難で、MicrosoftはAzureポータル内でこれらを管理するための集中化された方法を提供していないためです。さらに、これらのトークンは効果的に永続的に設定され、有効期限に上限がないため、Account SASトークンを外部共有に使用することは安全ではなく、避けるべきであるとも述べています。

Wizの研究チームは、オープンソースモデルの他に、この内部ストレージアカウントは38TBの追加のプライベートデータへのアクセスも誤って許可していたことを発見しました。漏れたデータには、Microsoft社員の個人情報のバックアップ、Microsoftサービスのパスワード、秘密キー、および359名のMicrosoft社員からの30,000以上の内部Microsoft Teamsメッセージのアーカイブが含まれていました。この事件に対するMicrosoft Security Response Center (MSRC) チームのアドバイザリーでは、顧客データは漏洩せず、他の内部サービスもこの事件のために危険にさらされていないとMicrosoftは述べています。

出典：Microsoft leaks 38TB of private data via unsecured Azure storage