【セキュリティ事件簿#2024-179】全国公立文化施設協会 全国公文協を装った迷惑メールについて 2024/5/7

 

この度、全国公文協のメールアドレスを装った迷惑メールが5月4日（土）深夜（早朝）および6日（月）午前にメールマガジン登録者宛に発信され、ご迷惑とご心配をお掛けしています。

この発信元（info@zenkoubun.jp・karasawa@zenkoubun.jp）は、公文協と似たメールアドレスを使用しておりますが、当会とは一切関係ございません。

6日（月）メールの「爆破予告」については、警視庁より迷惑メールであり、削除対応し、いたずらに騒ぎ立てる必要はないとの見解をいただいています。

メールマガジン配信を委託している事業者で用いている配信用のメーラーのバージョンが最新ではなかったため脆弱性を突かれて不正アクセスがなされ管理画面の設定ファイルが書き換えられました。

そのことにより、メールマガジン登録先等に向けて、迷惑メール2通が配信されました。

事業者より配信のアクセスログ等を提出いただき、警視庁や複数の県警に提出し調査をお願いしました。

併せて、配信用のメーラー及び事務所内で使用しているPCのアプリケーションを最新バージョンに更新し、ウイルス対策ソフトにてスキャンを実行しました。

しかしながら、今回の不正アクセスにより、メールアドレスが流出し、今後、スパムメール、フィッシング詐欺メールなどが送付される可能性があります。

不審と思われるメールを受け取った場合は、差出人アドレス・電話番号・文面などをご確認頂き、添付されているファイルの開封や、記載されているURLへのアクセス、誘導偽サイトの入力フォームへのID/パスワードの変更などの入力等は行わずに、直ちに消去していただけますようにお願い申し上げます。

ご不明な場合は、公文協にお電話にてお問い合わせをください。

ご迷惑とご心配をお掛けしましたことをお詫び申し上げます。

リリース文①（アーカイブ）

リリース文②（アーカイブ）

【セキュリティ事件簿#2024-178】国立研究開発法人情報通信研究機構 外部利用サービス提供事業者への不正アクセスについて 2024/5/16

 

NICTのセキュリティ講習「実践サイバー演習 RPCI」において使用しているDropbox社が運営する電子署名システム「Dropbox Sign」において、ユーザー情報に不正なアクセスを受けていたことが判明しました。

この情報には、「実践サイバー演習 RPCI」の令和３年度から令和５年度の受講者524名のDropbox Sign のユーザー名*、メールアドレスが含まれておりました。

Dropbox社の調査によると、署名を求めるメールを受け取った方のDropbox Sign のユーザー名*とメールアドレスが流出したとのことです。

　*受講証明書発行時にDropbox Sign または HelloSign アカウントを作成又は同アカウントでログインされた方が対象（なお、RPCI受講証明書発行に際しアカウント作成は必須ではありませんでした）。

なお、同社にて不正アクセスを把握した時点で、同社がフォレンジック解析の専門家を招集し調査を行い、事態の把握とユーザーへのリスク低減の取り組みを開始したとの報告を受けております。

この状況から、個人情報漏えいの可能性を否定できないものとして、同15日に個人情報保護委員会へ報告いたしました。

現時点では情報の不正使用などの事実は確認されておりません。また、対象となる受講者へはメールにて説明を行っています。

今回の事案を踏まえ、より一層の情報管理の徹底を図るとともに、Dropbox社と引き続きタイムリーな情報共有に努めて参ります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-166】フェニックスリゾート株式会社 不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ

 

この度、フェニックスリゾート株式会社（以下、当社）が属する、セガサミーグループ内の株式会社セガ フェイブ Toysカンパニー（以下、セガ フェイブ）が利用するメールシステムの一部のアカウントが外部からの不正アクセスを受け、当社が保有する個人情報の一部が外部に漏えいした可能性があることが判明いたしました。

なお、漏えいの可能性がある個人情報にはクレジットカード情報は含まれておりません。また、現時点において本件に関わる個人情報の不正利用等は確認されておりません。

お客様をはじめ多くの関係先の皆様にご迷惑とご心配をおかけいたしますこと、深くお詫び申し上げます。

本件の経緯

2024年4月4日、当社のグループ会社であるセガ フェイブのメールシステムアカウントのセキュリティを管理するセガサミーホールディングス株式会社が第三者による不正アクセスを検知いたしました。その後の調査から、不正アクセスを受けたアカウントを保有する従業員は過去に当社に従事しており、当該アカウントが保有する情報のなかに当社のお客様情報等が含まれることが同17日に判明いたしました。この状況から、個人情報漏えいの可能性を否定できないものとして、同23日に個人情報保護委員会へ報告いたしました。

外部流出した可能性のある個人情報（2024年4月23日現在）

 ・当社のお客様情報

　以下に該当するお客様の氏名、電話番号 等

　　- 2012年9月15日～2013年2月16日にご宿泊いただいた一部のお客様（約1,300件）

　　- 2012年9月15日～2012年9月18日をプレー日として当ゴルフ施設を予約された一部のお客様（約100件）

・2012年時点における当社の一部のお取引先様情報（約1,000件）

　-氏名、会社所在地、メールアドレス、電話番号 等

・当社従業員情報（約140件）

　-氏名、会社携帯番号

今後の対応

当社ならびに当社グループ会社では今回の事態を重く受け止め、今まで以上に厳重な情報セキュリティ体制の構築と強化徹底、再発防止に取り組んでまいります。

お客様に、多大なるご迷惑とご心配をおかけしておりますこと、重ねて深くお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-161】株式会社 エンドレス 弊社サーバーのマルウェア感染に関する お詫びとお知らせ 2024/4/23

 

この度、本社サーバーがコンピュータウイルス「LockBitランサムウェア 」に感染しました。

今回の不正アクセスの直接の原因は、セキュリティ強化の一環で FortiGate(統合型セキュリティアプライアンス)の設置を昨年に依頼しましたスターティア株式会社（https://www.startia.co.jp/）が設置の際に使用していた test アカウントを削除せずそのまま放置し、悪意のある第三者が test アカウントを使用して弊社のサーバーに侵入した事によるものとなります。

なお、現時点では、社内情報の流出の事実は確認されておりません。また、被害サーバーにはお客様情報は入っておりません。

関係する皆さまには、多大なご迷惑とご心配をおかけすることとなり、心よりお詫び申し上げます。

対応としましては、感染が判明した当該サーバーをすべてネットワークから遮断する対策を講じるとともに、弊社全部署で使用しているすべてのパソコンの検査を進めております。また、外部の専門機関の助言を得ながら、データ流出の有無を確認して参ります。詳細が判明しましたら改めてお知らせいたします。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-115】株式会社Leaf NxT 個人情報漏えいに関するご報告とお詫び 2024/4/22

このたび、株式会社LeafNxT（以下「当社」といいます。）において、当社が個人情報の取扱いを委託していたワークスタイルテック株式会社が提供するクラウドサービス「WelcomeHR」から、当該個人情報が漏えいした事実（以下「本件」といいます。）が判明しました。当社において本件の発生を把握した後、速やかに、対象となるご本人様に順次個別に連絡を差し上げ、お詫びとご説明をさせていただいておりますが、ご本人様にご連絡が取れないケースが生じておりますため、本ページにてお知らせいたします。

ご本人様および関係先の皆様には多大なるご迷惑、ご心配をお掛けしておりますことを深くお詫び申し上げます。

本日現在、当社において判明している事実は以下の通りです。

本件の発生経緯

当社が、2020年7月1日から2023年9月30日の間、ご本人様によるスタッフ登録または求職申込手続き書類の回収に使用していた、ワークスタイルテック株式会社（ https://workstyletech.com/ ）が提供するクラウドサービス「WelcomeHR」において、ご本人様からアップロードされた個人データが外部から閲覧可能な状態にあり、実際に第三者によってダウンロードが行われていた事実が判明しました。

漏えいした個人情報

以下の期間に「WelcomeHR」を使用して派遣スタッフ登録または求職申込手続きを行われた際に、登録フォームに入力・アップロードされた情報の一部

【対象登録期間およびご本人様の個人情報を取得した各法人】（※）

2020年7月1日〜2020年10月31日 株式会社スタッフサポーター

2020年11月1日〜2021年9月30日 株式会社ツナグ・スタッフィング

2021年10月1日〜2022年2月28日 株式会社ツナググループHC

2022年3月1日〜2023年9月30日 株式会社LeafNxT

（※）上記の各法人はいずれも当社または当社が現在事業を承継している当社のグループ会社となります。株式会社ツナグ・スタッフィングは2020年11月1日付で株式会社スタッフサポーターを吸収合併し、株式会社ツナグ・スタッフィングは2021年10月1日付で人材派遣・有料職業紹介事業を株式会社ツナググループHCに事業承継しました。当社は2022年3月1日付で株式会社ツナググループHCから人材派遣・有料職業紹介事業を事業承継しております。

【漏えいした個人データの項目】

ご本人様が「WelcomeHR」を用いて入力またはアップロードされた、氏名、性別、電話番号、住所、ご本人様がアップロードされた各種画像データ（本人確認書類、マイナンバー確認書類等）

【対象となる個人データに係る本人の数】

 26,829人

本件の発生原因

当社がマイナンバーを含む個人情報の取扱いを委託していた「WelcomeHR」の運営元であるワークスタイルテック株式会社において、サーバのアクセス権限を誤って設定していた結果、外部から閲覧可能な状態となっていたことが原因であると同社から報告を受けております。

なお、「WelcomeHR」から個人情報の漏えいが発生した時点において、当社とワークスタイルテック株式会社間における「WelcomeHR」利用に関する契約は終了していましたが、同契約の終了後も「WelcomeHR」において、本件に係る個人情報が保存されていたため、本件が発生するに至りました。

詳細につきましては以下のワークスタイルテック株式会社による公表内容もご参照下さい。

ワークスタイルテック株式会社「弊社サービスをご利用いただいているお客様への重要なご報告とお詫び」（2024年3月29日）

当社の対応

対象となるご本人様には、当社より順次個別にご連絡を差し上げ、お詫びとご説明をさせていただいております。

行政手続における特定の個人を識別するための番号の利用等に関する法律第29条の４および個人情報の保護に関する法律第26条第１項に基づく個人情報保護委員会への報告（速報）は2024年４月２日付で行っております。

再発防止策

当社として、今回の事態を厳粛に受け止め、個人情報の取扱いに関する委託先の選定および監督を厳格化するとともに、社内においても個人情報の取扱いの周知徹底を行い、再発防止に取り組んでまいります。

本件に関するお問い合わせ先

本件に関するお問い合わせは、ワークスタイルテック株式会社にて承っております。

ワークスタイルテック株式会社

メールアドレス： support@workstyletech.com

専用ダイヤル： 050-1808-4985

受付時間： 月曜から金曜日 9時から12時および13時から17時

リリース文（アーカイブ）

【セキュリティ事件簿#2024-157】ソラーレ ホテルズ アンド リゾーツ株式会社 不正アクセスによるお客様の個人情報流出の可能性と、 フィッシングサイトに誘導するメッセージの配信についてのお詫びとお知らせ 2024/4/22

この度、雨庵 金沢 において利用している Expedia 社（本社：シアトル（米））の 宿泊 予約情報管理システム（以下、管理システム）が不正アクセスを受け、一部のお客様の個人情報が 流出した可能性を否定できない事態が発生いたしました。 また、悪意のある人物により一部のお客様に対してフィッシングサイト（※）へ 誘導するメッセージが 配信されたことが確認されました。 詳細についてはいずれも調査中でございますが、お客様にはご迷惑とご心配をおかけしますこと、深くお詫び申し上げます。

※「フィッシングサイト」とは、不正な手法を用いて個人情報や金融情報を詐取するために、実在のウェブサイトを装った偽のウェブサイトのことを指します。

1. 事象の経緯：

2024 年 4 月 22 日、Expedia 管理システムが悪意のある人物により不正アクセスを受けたことが判明いたしました。 これを受けて、当社は直ちに管理システムへのログインパスワードの変更を行うとともに、Expedia 社経由の 新たな宿泊予約の受付を停止する対応を行いましたが、管理システムに保存されているお客様の個人情報が 第三者により閲覧された可能性を否定できない状況です。 また、Expedia 社経由で宿泊を予約された一部のお客様に対して、管理システムのチャット機能を使用してフィッシングサイトへ誘導する URL リンクが付されたメッセージが配信されたことも確認されました。 お客様におかれましては、そのようなメッセージの配信を受けた場合、貼付された URL リンクへのアクセスをされないよう、お願い申し上げます。

不正アクセスの原因等については、現在当社及び関係機関において調査中です。なお、Expedia 以外の宿泊予約情報管理システムからご予約いただきましたお客様の個人情報の流出等は確認されておりません。

２．お客様への対応：

上記に該当するお客様へは、フィッシングサイトへの流入を防ぐため注意喚起の連絡を随時行 っております。

３．今後の対応と再発防止策：

現在、関係機関と連携を取りつつ原因調査を進め、必要な対策を実施することにより再発防止に万全を期してまいります。 また、詳細が明らかになりましたら随時報告させていただきます。この度は、お客様には多大なご迷惑とご心配をおかけしますこと、重ねて深くお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-156】株式会社ホロニック Expedia不正アクセスについてのお知らせ 2024/4/13

この度、セトレならまちにおいて利用しているExpedia社（本社：シアトル（米））が提供し、弊社で管理する宿泊予約情報管理システム（以下、管理システム）が不正アクセスを受け、一部のお客様の個人情報が流出した可能性を否定できない事態が発生いたしました。

また、悪意のある人物により一部のお客様に対してフィッシングサイト（※）へ誘導するメッセージが配信されたことが確認されました。

詳細についてはいずれも調査中でございますが、お客様にはご迷惑とご心配をおかけしますこと、深くお詫び申し上げます。

※「フィッシングサイト」とは、不正な手法を用いて個人情報や金融情報を詐取するために、実在のウェブサイトを装った偽のウェブサイトのことを指します。

１．事象の経緯

2024年4月13日、Expedia社経由で宿泊を予約された一部のお客様に対して、管理システムのメッセンジャー機能を使用してフィッシングサイトへ誘導するURLリンクが付されたメッセージが配信されたことが判明し調査をしたところ、管理システムが悪意のある人物により不正アクセスを受けたことが判明しました。

これを受けて、Expedia社経由の新たな宿泊予約の受付を停止しました。また管理システムに保存されているお客様の個人情報が第三者により閲覧された可能性も否定できない状況です。

お客様におかれましては、そのようなメッセージの配信を受けた場合、貼付されたURLリンクへ

のアクセスをされないよう、お願い申し上げます。

2．不正アクセスの原因

原因は現在調査中であり、Expedia社以外の管理システムからご予約いただきましたお客様の個人情報の流出等は確認されておりません。

３．事象の内容

・事象①

Expedia社経由の宿泊予約情報（宿泊日を2022年4月14日から2024年8月15日とするもの）に含まれるお客様の個人情報（住所・氏名・電話番号）が流出した可能性があります。

・事象②

事象①のお客様の一部（宿泊日を2024年4月13日チェックアウトから2024年8月15日とするもの）に、Expedia社の管理システム内のメッセンジャー機能を通じて、フィッシングサイトへ誘導するURLリンクが付されたメッセージが配信されました。

４．お客様への対応

上記事象②に該当するお客様へは、フィッシングサイトへの流入を防ぐため注意喚起連絡を既に実施済みです。またお問い合わせについては、個別にご返答しております。

５．今後の対応と再発防止策

現在、関係機関と連携を取りつつ原因調査を進め、必要な対策を実施することにより再発防止に万全を期してまいります。

また、詳細が明らかになりましたら随時報告させていただきます。

この度は、お客様には多大なご迷惑とご心配をおかけしますこと、重ねて深くお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-152】国土交通省 個人情報流出のおそれがあったことに関するお詫びとお知らせ 2024/4/12

 

中部地方整備局管内の事務所発注業務を受注した株式会社オリエンタルコンサルタンツ（以下「受注者」）の業務補助を担当していた株式会社ラグロフ設計工房（以下「補助業務担当企業」）が、ランサムウェアによるサイバー攻撃を受けたことで、個人情報を含む資料が外部に流出したおそれがありました。事案の概要等は次のとおりであり、現時点において個人情報の漏えいは確認されておりません。

皆様にはご心配をおかけしましたことをお詫び申し上げます。今後、再発防止に向け、個人情報の適切な管理・取扱いを徹底してまいります。

１．事案の概要

（１）対象業務

「令和３年度 豊橋河川施工計画検討業務」豊橋河川事務所発注

「令和４年度 安倍川水系砂防堰堤詳細設計業務」静岡河川事務所発注

「令和４年度 富士砂防事務所砂防施設設計業務」富士砂防事務所発注

「令和４年度 越美山系砂防事務所管内砂防施設詳細設計業務」越美山系砂防事務所発注

「令和４年度 越美山系松後谷砂防堰堤詳細設計業務」越美山系砂防事務所発注

（２）経緯

令和５年２月９日に補助業務担当企業の社員が、社内共有ファイルサーバーの異変を確認。

社内共有ファイルサーバーを社内ネットワークから切断するとともに、警察に相談しました。同日午後に警察による調査が行われ、ランサムウェアによるサイバー攻撃を受けていることが判明しました。

また、補助業務の遂行に必要な資料に個人情報が含まれていることが発覚したため、中部地方整備局において受注者及び補助業務担当企業へ聞き取り調査を行い、漏えいしたおそれのある情報の内容や件数等の確認を行いました。

補助業務担当企業は、同年２月１５日に自社の共有サーバーに対してサイバー攻撃による被害が発生した旨を、２月２２日に事案に関する経緯と今後の対策の詳細を、４月２６日に外部へ情報が流出した事実は見られない旨及び再発防止策について、それぞれホームページ上で公表しております。

同年６月９日、ＶＰＮ機器の脆弱性をついたＶＰＮアカウントの窃取によるＮＡＳへのランサムウェア感染が原因と判明しております。

本事案につきましては、発生後速やかに個人情報の保護に関する法律第 68 条第 1 項の規定により、個人情報保護委員会へ報告を行っており、同法第 68 条第 2 項の規定に基づき、令和６年４月１０日までに連絡先が特定できる方について通知を行うとともに、今般、事案について公表をするものです。

２．漏えいが発生したおそれがあった個人情報

補助業務の遂行に必要な資料に含まれていた次の情報

＜豊橋河川事務所＞

平面図（豊田市秋葉町地先）に記載された地番・氏名 ５６名分

会社の社員の氏名 １０名分

＜静岡河川事務所＞

公図（静岡市葵区梅ヶ島地先・有東木地先・ 入島地先）に記載された氏名 ２５名分

会社の社員の氏名 ６９名分

＜富士砂防事務所＞

公図（富士市大淵字丸尾東地先）に記載された氏名 ２１名分

会社の社員の氏名 １４名分

＜越美山系砂防事務所＞

公図（本巣市根尾高尾地先・根尾板所地先、揖斐郡揖斐川町日坂地先・坂内川上地先）に記載された氏名 １１８名分

会社の社員の氏名 ８９名分・メールアドレス ３２名分

土地登記簿（本巣市根尾板所地先） １９名分

計 ４５３名分（内、連絡先が特定できる２１０名の方には通知をいたしました）

３．二次被害又はそのおそれの有無

現時点において、外部へ情報が流出した事実は確認されていません。今後も監視を継続して実施し、個人情報の漏えいが発覚した場合は、受注者及び補助業務担当企業から速やかに報告を受けることとしています。

４．再発防止策

保有個人情報の漏えいの防止その他の安全管理の一層の徹底を図ってまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-131】東芝テック株式会社 不正アクセスによる個人情報漏えいのお知らせとおわび 2024/4/5

 

当社が利用しているクラウドサービスが外部からの不正アクセスを受け、お取引先様、当社及びグループ会社の従業員等の一部の個人情報が、外部者により不正に閲覧された、または閲覧されたおそれがあることが判明しました。現在、専門の調査会社及び弁護士を含め調査を進めておりますが、既に侵入経路を特定し、新たな攻撃が起きないよう対応しています。なお、現時点で個人情報の不正利用などの二次被害は確認されていません。

関係者の皆さまに多大なご迷惑とご心配をお掛けすることになり深くおわびいたします。

【漏えいのおそれのある個人情報】

お取引先様、当社及びグループ会社の従業員の一部（委託業務従事者を含む）の氏名、メールアドレス、会社名、部署名、役職名、メールその他の文書の内容

2024年3月20日、当社が利用しているクラウドサービスで不審な動作を認知後、個人情報保護委員会へ報告を行うとともに、専門の調査会社および弁護士に被害状況の調査協力を依頼しております。調査の結果、判明した被害状況を当社ウェブサイトで広報するとともに、個人情報が漏えいした、またそのおそれがある対象の方に対し、メール等でも個別に連絡いたします。

これらの個人情報を悪用した不審なメールを受け取られた場合は注意して対応していただくようお願いいたします。

今回の事態を重く受け止め、今後もセキュリティー対策の強化に取り組んでまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-101】梅小路ポテル京都 不正アクセスによるお客様の個人情報流出の可能性とフィッシングサイトに誘導するメッセージの配信について 2024/4/10

Booking.com社が提供し、梅小路ポテル京都において管理・利用する宿泊予約情報管理システム（以下、管理システム）が不正アクセスを受けログインをされたこと、また一部のお客様に対してフィッシングサイトへ誘導するメッセージが配信されたことにつきまして、お客様・関係者の皆様にご心配をおかけしており深くお詫び申し上げます。前回（2024年 3月6日）のお知らせ以降、調査により判明しました事実につきまして、以下のとおりご報告いたします。

調査結果

事象①（管理システムへの不正ログインによる個人情報の流出の可能性について）

管理システム内の宿泊予約情報（宿泊日を2023年3月6日から2024年12月31日とするもの）に含まれるお客様の個人情報（住所・氏名・電話番号・クレジットカード情報含む）が流出した可能性につきましては、システム提供元のBooking.com社へ調査を依頼し、確認を行った結果、情報の閲覧及び流出を含め、管理システム内の個人情報が侵害を受けた形跡は確認されなかったとの報告を受けております。

事象②（フィッシングサイトへの誘導メッセージが一部のお客様に配信された影響について）

管理システム内のメッセンジャー機能を通じて、フィッシングサイトへ誘導するURLリンクが付されたメッセージが一部のお客様（162名）に配信された件につきましては、クレジットカード番号の入力を促す内容が確認されたものの、お客様への直接的な金銭被害は確認されませんでした。

今後の対応と再発防止策

今回の事象を踏まえ、従業員に対する教育等を再度実施しました。今後も引き続き、更なる対策の強化を行ってまいります。また、今後万が一、個人情報流出やフィッシングによるお客様の被害が確認された場合には、関係先に速やかに連絡し、必要な対応をいたします。

リリース文（アーカイブ）

【2024/3/6リリース分】

リリース文（アーカイブ） 

【セキュリティ事件簿#2024-118】日本ボディビル・フィットネス連盟 個人情報の漏出に関するお詫びとお知らせ 2024/3/29

益社団法人日本ボディビル・フィットネス連盟（以下、「JBBF」といいます。）が運用する会員管理システム（開発・保守：株式会社インターナショナルスポーツマーケティング 以下、「ISM」といいます。）において、個人情報の漏出が発生いたしました。

関係者の方々にご迷惑をお掛けしたことを深くお詫び申し上げます。

１．経緯

（１）3 月 22 日（金）

13 時に ISM において修正した会員管理システムのアップデート版をリリースしたところ、21 時頃、一部の会員から、請求メールの URL から決済システムを利用しようとすると会員情報の一部が閲覧可能な状態になるとの情報をメールで入手しました。

（２）3 月 23 日（土）

① 8 時には、JBBF において上記の手順を行うと会員情報が閲覧可能であることを確認し、直ちに ISM の担当者へシステムの遮断と調査を要請しました。

② 10 時にシステムが遮断されていることを確認しました。

２．漏出した個人情報

（１）個人情報の項目

 氏名、電話番号、住所

（２）対象となる会員様の件数

 399 件

（３）漏出した個人情報を閲覧できた可能性のある会員

 10名（上記の時間内に請求メールのURLから決済システムに進んだ会員様のみ）

３．原因

ISM の修正したアップデート版におけるシステム設定の不具合が原因であると同社より報告を受けております。

４．対応状況

直ちにシステムを遮断した上、個人情報の閲覧の可能性があった会員 10 名を特定し、個別にご連絡のうえお詫び申し上げ、万一、個人情報を取得されている場合には削除していただくことをお願いし、二次被害の発生を防止しました。また、個人情報が漏出した可能性のある全ての会員様に対しては、事実関係をご説明し、お詫び申し上げました。

５．再発防止のための対応

JBBF では今回の事態を重く受け止め、今後このような事態が発生しないよう、システムの不具合に関するチェック体制の強化を ISM へ強く申し入れるとともに、定期的なシステムのチェックや検証を行わせるなど体制を強化してより厳格かつ適正な個人情報の取り扱いに努めてまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-117】TMT神津株式会社 当社システムへの不正アクセスについて 2024/3/26

 

このたび、当社システムが、２０２４年３月１８日に外部からの不正アクセスを受けたことが判明しました。

現在、専門組織とともに調査し原因特定や被害情報の確認を行っております。

なお、現時点で、本件に関わる外部への情報流出は確認されておりません。

詳細が判明次第、影響のあった関係各位への報告を行ってまいります。

お客様をはじめ、関係者の皆様にご迷惑およびご心配をおかけする事態となりましたこと、深くお詫び申し上げます。

本件が当社業務に与える影響は精査中です。

今後、調査を進める中で開示すべき事項が発生すれば、速やかに開示を行います。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-117】株式会社CFC デザイン システムへの不正アクセスについて 2024/3/28

このたび、弊社の親会社である TMT マシナリーのシステムが、2024 年 3 月 18 日に外部からの不正アクセスを受けた事が判明しました。

弊社は親会社システムの傘下に置かれていることから、その影響を受けております。

現在、専門組織により原因特定や被害情報の確認が行われておりますが、現時点では本件による外部への情報流出は確認されておりません。

お客様をはじめ、関係の皆様にはご心配およびご迷惑をお掛けする事となり、深くお詫び申し上げます。

尚、かかる状況ではありますが、C/Cコンポジット製品の製造は継続しており、お客様とのお取引については影響を最小とするべく対応中です。

今後開示するべき事柄が発生した場合は、速やかに開示を行って参ります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-107】日本eモータースポーツ機構 不正アクセスによるデータ流出の可能性に関するご説明とお詫び 2024/3/13

 

このたび、一般社団法人日本eモータースポーツ機構（以下、「弊機構」）が2024年2月25日に開催したイベント「UNIZONE EX Match ~ Powered by SUPER FORMULA ~」のご来場者の容ぼうを含む写真データ等が第三者に閲覧可能な状況になっていたことが判明しました。ご来場いただいた皆様には多大なるご迷惑、ご心配おかけいたしますことを深くお詫び申し上げます。

なお、現時点で本件に起因する二次被害に関する報告は受けておりませんが、ご注意いただきますようお願い申し上げます。

経緯

・2月27日 弊機構がイベントの運営業務等を委託したNGM株式会社が保有・管理するGmailアカウントが、第三者によって、不正にアクセスされている状態となっていることが発覚しました。

・3月5日 NGM株式会社が当該Gmailアカウントを利用したGoogleドライブに、当該イベントへのご来場者の容ぼうを含むイベントの様子を写した写真データ等が保管されていたことが判明しました。

閲覧可能になっていた可能性のあるデータ

(1)写真データ等

イベントの記録目的で撮影されたご来場者の容ぼうを含む写真データ等

※なお、当該写真データ等は、不正アクセスを受けたGoogleドライブから既に退避・削除済みです。

(2)対象となる方

2024年2月25日に開催の「UNIZONE EX Match ~ Powered by SUPER FORMULA ~」にご来場いただいたお客様

※なお、上記に限らず弊機構において個別にご連絡先が把握できているお客様に対しては既にご連絡させていただいております。

今後の対応

本件については、すでに個人情報保護委員会への報告を行い、原因の確認、警察への相談等を行っております。今後も引き続き調査を行うとともに、再発防止に向け取り組んでまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-096】株式会社オートバックスセブン JEGT公式XおよびYouTubeアカウント乗っ取り被害について 2024/3/1

 

このたび、当社が主催するeモータースポーツ「AUTOBACS JEGT GRAND PRIX」（以下、JEGT）を運営委託しているNGM株式会社（以下、NGM）が使用・管理するGoogleアカウントが何者かに不正アクセスされ、JEGT公式X（旧Twitter）およびYouTubeの乗っ取り被害が判明しました。

現在、二次被害は確認されておりませんが、万が一JEGTや当社を装ったダイレクトメッセージなどが届いた場合はお取扱いにご注意いただきますよう、お願いいたします。

現在、鋭意調査を続けておりますが、現時点で判明している事実およびNGMと弊社の対応につきまして、以下のとおりご報告いたします。

関係者の皆さまに多大なるご迷惑とご心配をお掛けすることとなり、深くお詫びいたします。

１．概要（2024年3月1日18時現在）

JEGT公式Xアカウント：

JEGTや当社とは無関係の投稿およびリポストをされてしまっている状態。なお、2024年2月25日以降のリポスト等を含むアカウントの操作は第三者によるものであり(※)、当社によるものではございません。リンク先へのアクセスやダイレクトメールへの反応等は行わないよう、ご注意ください。

JEGT公式YouTubeアカウント：

アカウント名、プロフィール写真、YouTubeチャンネルバナーが変更されている状態。また、JEGT公式動画が一部非公開および削除されています。

（※）2024年2月25日午後5時35分の「新着記事情報」という投稿は、乗っ取り被害を受ける前に設定した予約投稿です

２．現在の対応

現在、警察への相談、個人情報等情報漏えいの可能性を含む被害状況の確認、原因の調査、アカウント凍結・復旧に向けた対処を進めております。引き続き調査を進め、お知らせすべき内容が判明した場合は、速やかにお知らせいたします。

３．今後の対策と再発防止

当社では今回の事態を重く受け止め、外部専門機関の協力も得て原因究明を進めるとともに、今まで以上に厳重な情報セキュリティ体制の構築と強化徹底を図り、再発防止に取り組んでまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-416】西日本電信電話株式会社 お客さま情報の不正流出に関するお詫びとお知らせ 2024/1/26

 

株式会社NTTマーケティングアクトProCXおよびNTTビジネスソリューションズ株式会社からのお客さま情報漏えいに関し、弊社（西日本電信電話株式会社）のお客さまに関わる情報が含まれていることが判明いたしました。お客さまの情報漏えいといった、決してあってはならないことを起こしてしまい、お客さまに多大なご迷惑とご心配をおかけすることになったことについて、心より深くお詫び申し上げます。

弊社の調査の結果、対象となるお客さまへは、順次、ダイレクトメールにてご連絡させていただきます。ご不安な点やご不明な点がございましたら弊社のお問い合わせ窓口までご連絡ください。

なお、現時点までに、お客さまの情報が不正に利用された等の二次被害は確認されておりませんが、今後、公的機関とも連携し、お客さまの被害が拡大することがないよう努めてまいります。

1. 本件の概要

（1）本件の発生経緯

弊社が2014年4月～2022年3月に実施した新サービスやオプションサービス等をご案内するテレマーケティング業務を委託する過程において、お客さまの情報漏えいが発生いたしました。具体的には、テレマーケティング業務を委託していた株式会社NTTマーケティングアクトProCXが利用しているコンタクトセンタシステムを提供するNTTビジネスソリューションズ株式会社において、同システムの運用保守業務従事者（元派遣社員）が、弊社のお客さま情報を不正に持ち出していたことが判明いたしました。

（2）不正に持ち出されたお客さま情報の内容

氏名/住所/電話番号/生年月日/メールアドレス/サービス種別・回線ID等

（クレジットカード情報および金融機関口座情報等の決済関連情報、各種パスワードは含まれておりません）

2. 再発防止策について

弊社は今回の事案を厳粛に受け止め、同様の事態を再び発生させることがないよう、お客さま情報を取り扱う全業務について、業務委託先を含めて再点検を実施するとともに、個人情報管理体制の一層の強化を図ってまいります。また、弊社の従業員に対しても、これまで以上に情報の取り扱い・保護に関する教育の充実を図り、個人情報保護の重要性に関わる当事者意識の醸成を図ってまいります。

お客さまには多大なご迷惑とご心配をおかけいたしますこと、重ねて深くお詫び申し上げます。

3. お客さまへのご連絡について

弊社の調査の結果、本件の対象と特定されたお客さまへは、順次、ダイレクトメールにてご連絡させていただきます。

また、本件に関してご不安な点やご不明な点がございましたら、下記のお問い合わせ窓口までご連絡をお願いいたします。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-030】関東ITソフトウェア健康保険組合 委託事業における個人情報漏えい事案について

 

関東ITソフトウェア健康保険組合（以下「当組合」という。）が健康診断等業務を委託している慈恵医大晴海トリトンクリニック（以下「受託者」という。）において、下記のとおり受託者が健診結果データを他の事業所に誤送付した事案が判明しました。

関係者の皆様にはご迷惑とご心配をおかけしますことを、深くお詫び申し上げます。

受託者に対しては、健診結果データの作成・送付に関し、データの取扱いとヒューマンエラーを起こさないシステムの構築及び運用変更後の実効性の確認などの再発防止策を講じるよう指示しており、更なる安全性の確保に努めてまいります。

1. 令和5年12月8日（金）、同年10月受診分の健診結果データを、受託者がA事業所にCD-Rで送付したところ、当該事業所以外に所属の13社117名の健診結果データが収録されていたことが、令和6年1月5日（金）、受託者より当組合に報告され情報漏えいが判明した。（A事業所から受託者への連絡も同日）
   
   
2. 当該CD-Rについては、A事業所担当者１名、限定された者にて管理され、当該データ及びCD-Rは速やかに破棄されており、個人情報漏えいの二次被害がないことを確認した。
   
   
3. 関東信越厚生局及び個人情報保護委員会に本事案について、当組合より令和6年1月9日（火）報告済みである。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-500】株式会社丹青社 業務委託先からの個人情報漏洩に関するお詫びとお知らせ

当社がIRニュースメールの配信業務を委託していた外部委託会社のサーバーが不正アクセスを受けたことにより、当社保有の個人情報の一部が漏洩していることが判明しました。関係者の皆さまには、多大なるご迷惑とご心配をおかけしましたことを深くお詫び申し上げます。既に10月30日付で当社コーポレートウェブサイトにお知らせ「当社からのメールを装ったなりすましメールにご注意ください」を掲載しておりますが、その後の対応と再発防止策について以下のとおりお知らせします。

当社におきましては、今回の事実を厳粛に受け止め、同様の事態が再び発生しないよう、業務委託先の管理監督を含め個人情報管理体制の一層の強化を図ってまいります。

1．経緯

2023年10月30日、当社従業員および取引先が、送信元情報を当社ドメイン（@tanseisha.co.jp）のメールアドレスに偽装した「なりすましメール」を多数受信しました。同時に警視庁サイバー犯罪対策課から、業務委託先のサーバーが乗っ取られている可能性を指摘され、本事態を把握しました。

同日中に業務委託先のサーバーへのドメイン許可を停止し、当社ドメインからメールが送信されることがないように対処しました。あわせて当社コーポレートウェブサイトのお知らせにて社外への注意喚起を行い、二次被害拡大の防止に取り組みました。

なお、本件については、個人情報保護委員会および一般財団法人日本情報経済社会推進協会へ適時報告を行っております。

2．漏洩した個人情報

（1）個人情報の項目

　　当社IRニュースメールに登録されているメールアドレス。

　　※銀行口座番号、クレジットカード番号等の情報は一切含まれておりません。

（2）対象者と件数

　　株主、投資家、顧客、従業員のメールアドレス641件。

3．発生原因

当社の業務委託先のサーバーに対して第三者からの不正アクセスがあったことが原因と認識しております。

4．二次被害またはそのおそれの有無

漏洩したメールアドレス宛に、送信元情報を当社ドメイン（@tanseisha.co.jp）のメールアドレスに偽装した「なりすましメール」が複数件送信されたことを確認いたしました。

なお、既にサーバーへのドメイン許可を停止しているため、現在は同事象の発生はありません。

5．再発防止策

当該委託会社への業務委託を2023年11月で停止し、現在は適格性を確認できた新たな委託先へ契約変更しています。

また、従業員への教育や業務委託先の適格性の審査・確認、継続的な管理監督を実施し、当社の個人情報管理体制の一層の強化を図ってまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-492】千葉市 委託事業者による個人情報の流出した可能性のある事案の発生について

千葉市が事業を委託する事業者が利用するサービスに、第三者からの不正アクセスがありましたので、お知らせします。

このたびは、対象事業の参加者の皆様にご迷惑をおかけしたことを心よりお詫び申し上げるとともに、今後、個人情報のさらなる厳正な管理の徹底に努めてまいります。

なお、このことに関して、便乗した詐欺等のご連絡に十分ご注意ください。

１　対象事業

（１）委託事業名　令和５年度千葉市特定保健指導（ＩＣＴ機器活用型）業務委託

（２）委託事業者　株式会社Ｙ４．ｃｏｍ

２　事案の概要

１２月１８日（月）、事業者から本市に、事業者が利用するアプリサービスの一部に対し、第三者から不正アクセスがあり、本市のＩＣＴ機器活用型特定保健指導参加者の情報（氏名、住所、電話番号、性別等）が外部に流出したとの報告がありました。

不正アクセスは１２月１０日（日）に行われ、１２月１１日（月）に事業者が本事案を確認した。その後、事業者により詳細な調査が開始され、１２月１５日（金）に本市に第１報を受けました。

なお、直ちに被害のあったサービスをシステムから隔離するなどの処置がとられており、現時点で、不正に公開されたり悪用されたり等の被害の発生等は確認されておりません。

〈参考〉特定保健指導（ＩＣＴ機器活用型）について

４０歳から７４歳までの国民健康保険被保険者を対象に生活習慣病予防を目的に実施している特定健康診査受診者のうち、特定保健指導の対象となった者に対し、ウェアラブル端末を活用し保健指導を行うもの。

３　サービスに記録されていた情報

氏名、住所、電話番号、性別、生年月日、メールアドレス、被保険者番号、健診結果（身長、体重、腹囲、血圧、血液検査記結果、尿検査結果、問診項目）　２５人分

４　対応状況等

・１２月１８日（月）午後、事業者のホームページに本事案を公表しております。

　※事業者が問い合わせ窓口（電話・メール）を開設しています。

　　　株式会社Ｙ４．ｃｏｍ　個人情報お問い合わせ窓口

　　　電話番号　０９２－４０６－３８３３（受付時間　１０時～１７時、土日祝日を除く）

　　　メール　　info@y-4.jp

・同日、市における個人情報の流出可能性事案に関して、個人情報保護委員会に報告しました。

・今後、参加者本人への通知とお詫びを実施する予定です。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-492】伊丹市 委託事業者による個人情報の流出事案の発生について

伊丹市が事業を委託する事業者が利用するシステムに、第三者からの不正アクセスがありましたので、お知らせします。

このたびは、対象事業の参加者の皆様にご迷惑をおかけしたことを心よりお詫び申し上げるとともに、今後、個人情報のさらなる厳正な管理の徹底に努めてまいります。

なお、このことに関して、便乗した詐欺等のご連絡に十分ご注意ください。

1 対象事業

（1）委託事業名 令和5年度伊丹市特定保健指導（ICT機器活用型）業務委託

（2）委託事業者 株式会社Y4．com

2 事案の概要

12月18日（月曜）、事業者から本市に、事業者が利用するアプリサービスの一部に対し、第三者から不正アクセスがあり、本市のICT機器活用型特定保健指導参加者の情報が外部に流出したとの報告がありました。

不正アクセスは12月10日（日曜）に行われ、12月11日（月曜）に事業者が本事案を確認しました。その後、事業者により詳細な調査が開始され、12月14日（木曜）に本市に流出の可能性があることの第1報を受けました。

なお、直ちに被害のあったサービスをシステムから隔離するなどの処置がとられており、現時点で、不正に公開されたり悪用されたり等の被害の発生等は確認されておりません。

〈参考〉特定保健指導（ICT機器活用型）について

40歳から74歳までの国民健康保険被保険者を対象に生活習慣病予防を目的に実施している特定健康診査受診者のうち、特定保健指導の対象となった者に対し、ウェアラブル端末を活用し保健指導を行うもの。

3 サービスに記録されていた情報

20人分の氏名、住所、性別、生年月日、被保険者番号、健診結果

4 対応状況等

・12月18日（月曜）午後、事業者のホームページに本事案を公表しております。

※事業者が問い合わせ窓口（電話・メール）を開設しています。

株式会社Y4．com 個人情報お問い合わせ窓口

電話番号 092－406－3833（受付時間 10時～17時、土日祝日を除く）

メール info@y-4.jp

・今回の流出事案に関して、国の個人情報保護委員会に報告しました。

5 本市の対応状況

漏洩が確認された方に対し、市と事業者より、電話連絡等でお詫びと状況報告を実施いたしました。

6 再発防止策

事業者側において、影響を受けたシステムのセキュリティ強化と、パスワードの変更により対応します。今後の調査で、脆弱性が判明した際には、さらなるセキュリティレベルの向上と再発防止策を実施予定です。

リリース文（アーカイブ）