ラベル 最終報告 の投稿を表示しています。 すべての投稿を表示
ラベル 最終報告 の投稿を表示しています。 すべての投稿を表示

【セキュリティ事件簿#2024-244】株式会社銀時 弊社が運営する「銀時公式通販サイト」への不正アクセスによる 個人情報漏えいに関するお詫びとお知らせ 2024/11/25

銀時
 

このたび、弊社が運営する「銀時公式通販サイト」(以下、「本件サイト」といいます。)におきまして、第三者による不正アクセスを受け、お客様の個人情報(17,171件)、クレジットカード情報(2,162件)が漏えいした可能性があることが判明いたしました。

お客様をはじめ、関係者の皆様に多大なるご迷惑およびご心配をおかけする事態となりましたこと、深くお詫び申し上げます。

なお、クレジットカード情報及び個人情報が漏えいした可能性のあるお客様には、本日より、電子メールにてお詫びとお知らせを個別に順次ご連絡申し上げております。電子メールがお届けできなかったお客様、ご登録の無いお客様には、書状にて個別に順次ご連絡させて頂きます。

弊社では、今回の事態を厳粛に受け止め、再発防止のための対策を講じてまいります。お客様をはじめ関係者の皆様には重ねてお詫びを申し上げますとともに、本件に関する概要につきまして、下記の通りご報告いたします。

1. 経緯

2024年5月28日、警察より本件サイトがサイバー攻撃に遭っている可能性があるという連絡を受け、2024年6月3日、本件サイトでのクレジットカード決済を停止し、第三者機関(外部のセキュリティ企業)のフォレンジック調査を実施いたしました。

2024年7月29日、第三者機関による調査が完了し、調査の結果、2021年6月28日~2024年5月30日の期間に本件サイトにてご注文時に入力されたお客様のクレジットカード情報が漏えいした可能性があることを確認いたしました。

2. クレジットカード情報及び個人情報漏えい状況

(1)原因

弊社が運営する「銀時公式通販サイト」のシステムの一部の脆弱性をついたことによる第三者の不正アクセスにより、ペイメントアプリケーションの改ざんが行われたため。

(2)クレジットカード情報の漏えいの可能性があるお客様

2021年6月28日~2024年5月30日の期間中に本件サイトにおいてクレジットカード決済をされたお客様は1,850名で、漏えいした可能性のある情報は以下のとおりです。

  • クレジットカード番号
  • 有効期限
  • セキュリティコード

上記に該当する1,850名のお客様については、別途、電子メールにて個別に順次ご連絡申し上げます。電子メールがお届けできなかったお客様、ご登録の無いお客様には、書状にて個別に順次ご連絡させて頂きます。

(3)個人情報が漏えいした可能性のあるお客様(計17,171名〔内クレジットカード情報の漏えいの可能性がある方1,850名を含む。)

①2012年2月21日~2024年5月30日の期間中に本件サイトにおいて会員登録されたお客様で、漏えいした可能性のある情報は以下のとおりです。

  • 氏名
  • 住所
  • 電話番号
  • メールアドレス
  • 本件サイトのログインパスワード
  • 生年月日(*1)
  • その他(職業等)(*1)

(*1)会員登録時に当該情報を入力されたお客様のみが対象となります。

②2012年2月21日~2024年5月30日の期間中に本件サイトにおいて商品の購入者として記録されていたお客様(*2)で、漏えいした可能性のある情報は以下のとおりです。

  • 氏名
  • 住所
  • 電話番号
  • メールアドレス など。

(*2)商品の購入に際し決済画面に移行したものの、途中でキャンセルとなったお客様情報も含みます。

③2012年2月21日~2024年5月30日の期間中に本件サイトにおいて商品の送り先として記録されていた方で、漏えいした可能性のある情報は以下のとおりです。

  • 氏名
  • 住所
  • 電話番号 など。

④2017年8月26日~2020年12月30日の期間中 に、弊社原宿本店において限定商品(タイアップ商品)に関するイベント(お渡し会)の予約票に、以下の情報をご記入いただいたお客様で、漏えいした可能性のある情報は以下のとおりです(*3)。

  • 氏名
  • 住所
  • 電話番号
  • メールアドレス など。

(*3)予約票に当該情報を記載されたお客様のみが対象となります。

上記①~④に該当する17,171名 のお客様については、別途、電子メールにて個別にご連絡申し上げます。電子メールがお届けできなかったお客様、ご登録の無いお客様には、書状にて個別に順次ご連絡させて頂きます。

3. お客様へのお願い

(1)クレジットカード不正利用のご確認のお願い

既に弊社では、クレジットカード会社と連携し、漏えいした可能性のあるクレジットカードによる取引のモニタリングを継続して実施し、不正利用の防止に努めております。お客様におかれましても、誠に恐縮ではございますがクレジットカードのご利用明細書に身に覚えのない請求項目がないか、今一度ご確認をお願いいたします。万が一、身に覚えのない請求項目の記載があった場合は、たいへんお手数ですが同クレジットカードの裏面に記載のクレジットカード会社にお問い合わせいただきますよう、併せてお願い申し上げます。

なお、お客様がクレジットカードの差し替えをご希望される場合、クレジットカード再発行の手数料につきましてはお客様にご負担をお掛けしないよう、弊社よりクレジットカード会社に依頼しております。

(2)他のサイトにおけるログインパスワード変更のお願い

本件サイトは現在停止しておりますが、他のサイトで本件サイトと同一の値のパスワードを使用されている場合には、念のため、当該他のサイトにおいてもパスワード変更のお手続をしていただきますよう、併せてお願い申し上げます。

4. 再発防止策ならびに弊社が運営するサイトの再開について

弊社はこのたびの事態を厳粛に受け止め、調査結果を踏まえてシステムのセキュリティ対策および監視体制の強化を行い、再発防止を図ってまいります。現在、弊社は旧サイトとは完全に分離したシステムでオンラインショップ(新サイト)を運営しております。クレジットカード決済は現在のところ停止しており、再開につきましては決定し次第、改めて新サイト上にてお知らせいたします。

弊社は今回の不正アクセスにつきまして、2024年6月3日の時点で個人情報保護委員会に報告済みであり、また所轄警察署にも被害申告しており、今後捜査にも全面的に協力してまいります。

リリース文アーカイブ

【2024年6月11日リリース分】

リリース文アーカイブ

【セキュリティ事件簿#2024-513】株式会社ダンダダン 電子メール誤送信によるメールアドレス漏洩に関するお詫び 2024/10/31

 

この度、肉汁餃子のダンダダン公式アプリの一部の会員様に対して電子メールを送信する際、不手際により同報者にメールアドレスが表示される形で一斉送信し、当該会員様のメールアドレスが他会員様に対して流出する事故が発生いたしました。誠に申し訳ございません。

関係者の皆様に、多大なるご迷惑とご心配をおかけしましたことを深くお詫び申し上げます。

このような事態を招いたことを重く受け止め、個人情報の取扱いに対して厳重に注意するとともに運用及び管理体制について再度見直し、再発防止に努めてまいります。

1. 経緯

2024年10月31日(木)11:09~12:01の間に17通

”【肉汁餃子のダンダダン】景品発送のお知らせ”として217名の会員様へ電子メールを送信。

本来、「BCC」にて送信すべきところ、49件のメールアドレスを「To」に記載した状態で送信してしまいました。

2.流出した情報

メールアドレス49件

3.会員様への対応

当該電子メール送信先の49名の会員様に、内容報告及びメールアドレス流出に関するお詫びとともに当該電子メールを受信した217名の会員様へ削除をお願いしております。

4.発生の原因

当社からの電子メールを一斉送信する際に、宛先の入力先の確認作業に不備が生じた事が原因です。

5.再発防止策

当社はこの事態を重く受け止め、電子メールを一斉送信する際の運用フローを見直すとともに、送信前に「BCC」送信で設定されているか複数の従業員によるチェックを徹底いたします。

また、担当部署において個人情報保護の重要性についての教育を再度徹底し、当社全体の情報管理体制の一層強化に取り組み、再発防止に努めてまいります。

リリース文アーカイブ

【セキュリティ事件簿#2024-512】岡垣町職員の懲戒処分について 2024/11/12

 

1 事案の概要

令和6年5月から10月にかけて、居住地の届出変更を行うことなく通勤手当を受給していた。(令和6年5月から10月分:計60,000円)

令和6年7月、金融業者の要求に応じて、緊急連絡人として、職員の個人情報(氏名及び携帯電話番号:2人分)を漏洩した。

令和6年9月の出張について、事前に上司から注意を受けていたにもかかわらず、出張命令に反し私的な理由で延泊し、旅費を過大に受給していた。(帰路に係る交通費分:16,640円)

令和6年9月、市町村職員共済組合の普通貸付を申し込むにあたり、貸付金の一部を貸付対象外である借金の返済に充てようとしていた。また申請書の借入状況欄に借入無しと虚偽の申請を行った。

令和6年10月、私的な理由(借金相談及び返済目的)でパソコン端末を利用し、職員の個人情報(2件)を収集した。

令和6年10月、金融業者から本町役場へ督促の電話やファクスが送信され、一部業務に支障をきたすとともに、職員へ精神的な苦痛を与えるなど、職場を混乱させた。

令和6年10月、金融業者から町内の事業所へ督促のファクスが送信され、事業所の業務に支障をきたすとともに、町の信用を失墜させた。

令和6年10月、事実の聞き取りを行う際、繰り返し虚偽の報告を行った。

2 処分の内容

停職6月

3 処分年月日

令和6年11月12日

4 被処分者の所属、職名、年齢及び性別

企画政策室付 主任 40歳 男

5 その他

当該職員は同日付で依願退職をしています。

町長コメント

この度、職員の非違行為につきまして、上記のとおり処分を行いました。

本事案は、公務員の信用を失墜させるとともに、町民の皆様の町行政に対する信頼を失墜させることとなり、深くお詫び申し上げます。

今後、二度とこのようなことが起こらないよう一層の公務員倫理の確立と服務規程の遵守に向け、職員への指導を徹底するとともに、町民の皆様の信頼回復に努めてまいります。

リリース文アーカイブ

【セキュリティ事件簿#2024-217】株式会社東海信金ビジネス 「業務委託先への不正アクセスによる個人情報漏えい」 に関する調査結果と再発防止策等について 2024/11/15


2024 年 7 月 5 日に公表いたしました、業務委託先(以下「イセトー社」)への不正アクセスによる個人情報漏えい事案につきまして、お客様及び委託元信用金庫様に多大なるご迷惑とご心配をおかけしましたことを改めて深くお詫び申し上げます。

イセトー社が複数のセキュリティ専門会社に委託して行った調査等により明らかになった原因及び再発防止策、並びに今後の当社対応につきまして、下記のとおりご報告申し上げます。

当社としては、今般の事案の反省を踏まえ、改めて個人情報の取扱いにかかる社内教育を強化するとともに、今後の業務委託先管理になお一層の万全を期し、お客様や委託元信用金庫様の負託に応えてまいります。

1.本事案の概要(2024 年 7 月 5 日公表済)

2024 年 5 月 26 日に当社がダイレクトメールの印刷・発送を委託しているイセトー社のサーバーやパソコンがランサムウェアに感染し、同年 7 月 1 日には委託元信用金庫のお客様の個人情報が漏えいしたことが確認されました。

(1) 漏えいしたデータの種類

2023 年 9 月時点のダイレクトメール作成時に出力されるログデータ

(2) 含まれる個人情報

氏名
※なお、ダイレクトメール自体の内容の漏えいはありません。

(3)対象件数

69,403 件(委託元信用金庫が公表した名寄せ後件数合計) ※延べ 77,202 件

2.個人情報漏えいの原因と再発防止策の概要

(1) 
イセトー社では、受託業務にかかる個人情報については一般事務に使用するネットワークとは異なる閉域のネットワーク内のみで処理を行い、作業終了後に速やかに削除するルールとなっています。しかしながら、受託業務に付随する一部の事務処理が本来個人情報を取り扱ってはならないネットワーク上で行われ、かつ当該個人情報の一部が処理終了後も削除されないまま残存していました。この理由について、イセトー社では、受託業務に伴って付随的に発生するデータの処理がルール化されておらず、全社的な統制がとれていなかったためとしています。

直接的な原因はランサムウェア被害によるネットワークへの侵害ですが、上述のような個人情報の取扱いの結果、不正アクセスによって個人情報が窃取されることとなりました。

なお、7 月 5 日付で公表した内容以外の情報が漏えいした事実は確認されておらず、これまでお客様における二次被害も確認されておりません。

(2) 
上記原因を踏まえ、イセトー社では概要以下のとおり再発防止策に取り組んでい
るほか、特別調査委員会を設置して調査結果の検証等を進めています。

 

① ランサムウェア侵害に関する再発防止策
  • いわゆる「ゼロトラスト」を前提とした体制への移行(VPN を使用しない体制とし、認証強化を図るとともに、不正アクセスが起こらない環境を構築)等
② データ保管に関しての再発防止策
  • 預託データを一般事務に使用するネットワーク内に移送できない仕組みを構築し、今後は、閉域のネットワークのみでデータを処理(認証強化)
  • 削除ルール、保管期限を明確に定め、個人情報の削除とチェックを徹底し、監査で確認
③ 社員の意識に関する再発防止策
  • 個人情報を含む情報セキュリティに関する教育、業務プロセス変更に伴うルール遵守に関する教育を実施 
  • 業務執行体制の変更ならびに行動規範に関する教育など、定期的な教育を継続
④ 内部統制を管轄する部門の創設
  • 承認プロセスの明確化、事務フローの再構築、リスク評価基準の再設定などを行う内部統制部門を創設等
(3)
 当社では、イセトー社に対し引き続き再発防止策の実行計画に基づく着実な実施と品質保証を強く求めるとともに、個人情報の取扱いの適切性、ネットワークの安全性等を確認した上で同社から報告書を受理し、当面の業務委託を継続しています。 
なお、当社は報告書の受理に際し、イセトー社に以下の点を申し入れており、進捗の都度、報告を受けることとしています。

 

① 原因に関し、現在実施中の特別調査委員会の調査等によって今後新たな事実が判明した場合には、速やかに報告するとともにその概要を公表すること

 

② 再発防止策に関し、当面の間、その進捗状況を毎月報告すること

 

③ 品質保証に関し、再発防止策の有効性とネットワークの安全性が客観的に確認できるよう早急に外部専門家によるシステム監査を受検し、その結果を報告すること

 

④ 事業継続計画に関し、まとまり次第その概要を報告するとともに、引き続き財務情報を継続的に開示すること

(4) 
今後の業務委託について、当社としては、イセトー社が講じる再発防止策の有効性やネットワークの安全性、事業継続計画の妥当性等を検証するとともに、業務委託先の変更など他の選択肢を含め引き続き検討してまいります。

3.委託先管理にかかる今後の当社対応

(1) 
当社では、イセトー社を含めた個人情報を取り扱う業務委託先に対して、業務委託契約に基づき定期監査や必要に応じ実地調査等を行っていますが、今後これまで以上に臨時監査や実地調査を機動的に実施するとともに、業務委託先が実施する外部専門家によるシステム監査や各種認証等の状況を随時確認し、必要に応じて改善を求めるなど委託業務の安全性と品質の向上に努めてまいります。

 

(2)
また、上記業務委託先に対して、金融庁と日本銀行が金融機関のサイバーセキュリティ管理態勢の強化を促すために整備・公表しているサイバーセキュリティセルフアセスメント(CSSA)点検票に準じた再点検を要請するなど、委託先管理を強化することといたします。

 

(3) 
更に、業務委託先における事業継続に懸念がないかを定期的に確認するため、全ての業務委託先に対して財務情報の継続的開示を求めてまいります。

 

(4) 
現在の業務委託契約の内容については、現時点では概ね妥当なものと考えていますが、今後必要が生じた場合には速やかに見直しを行うなど、適切な委託先管理に努めてまいります。


【2024年7月5日リリース分】

【セキュリティ事件簿#2024-217】静清信用金庫 個人情報漏洩に関するお詫びとお知らせ  2024/11/18

イセトー
 

平素は格別のご高配を賜り厚くお礼申し上げます。

当金庫が業務委託している株式会社東海信金ビジネスの再委託先である株式会社イセトー(以下「イセトー社」)において、ランサムウェア感染により一部お客さま情報が漏えいした件につきまして、7月4日付で当金庫ホームページに公表いたしましたが、その後の調査により詳細が明らかになりましたので、調査結果と再発防止策についてお知らせいたします。

なお、7月4日付で公表した内容以外の情報が漏えいした事実は確認されておらず、これまでお客さまにおける二次被害も確認されておりません。

お客さまに多大なご迷惑とご心配をおかけいたしましたこと、改めて深くお詫び申し上げます。 

1.事案の概要(令和6年7月4日公表済)

令和6年5月26日にダイレクトメールの印刷・発送を委託しているイセトー社のサーバーやパソコンがランサムウェアに感染し、同年7月1日に当信用金庫の一部のお客さまの個人情報が漏えいしたことが確認されました。

(1) 漏えいしたデータの種類

ダイレクトメール作成時に出力されるログデータ

(2) 含まれる個人情報

氏名

※なお、ダイレクトメール自体の内容の漏えいはありません。

(3) 対象顧客件数

2,702 件

※詳細調査の結果、7月4日付で公表した件数(2,713 件)から 11 件少なくなっております。

2.調査結果と再発防止策

業務委託先である東海信金ビジネスのホームページ内に掲載されております。

大変お手数をおかけしますが、以下のリンクよりご確認ください。

【東海信金ビジネス HP】https://shinkin-tokai.co.jp/news20241115.pdf 

リリース文アーカイブ

【2024年7月4日リリース分】

【セキュリティ事件簿#2024-430】リコージャパン株式会社 業務委託先に対する不正アクセスによるお客様情報の流出のおそれについて 

 

リコージャパン株式会社は、9月24日にお知らせいたしました「業務委託先に対する不正アクセスによるお客様情報の流出のおそれについて」につきまして、このたび、業務委託先である株式会社倉業サービス(以降、倉業サービス)より、調査結果として、「お客様情報が流出したおそれは否定できないものの、現時点では具体的な情報流出の事実は確認できていない」との報告を受けましたので、お知らせいたします。このたびは、お客様には多大なるご心配、ご迷惑をおかけし、深くお詫び申し上げます。

お客様情報流出のおそれについての概要 (これまでの経緯)

9月12日(木)にシステム障害が発生し、原因を調査した結果、外部からの不正アクセスを受け、お客様情報が流出したおそれがあると、同19日(木)に、倉業サービスから中間委託業者に報告があり、当社は同20日(金)に情報を入手しました。

お客様情報流出の有無については、倉業サービスによる調査結果にて詳細が分かり次第、お知らせさせていただくこととしておりました。

調査結果(詳細)について

倉業サービスからの報告によると、外部のセキュリティ専門家によるフォレンジック調査を依頼し、当該不正アクセスはサーバーにおいて使用しているソフトウェアにあった脆弱性を悪用して行われ、この不正アクセスを契機としてランサムウェア攻撃されたことが判明しました。

お客様情報に関しては、流出したおそれは否定できないものの、現時点では具体的な情報流出の事実は確認できておりません。

サイバー攻撃による情報漏洩の可能性のお知らせとお詫びについて(最終報告)(倉業サービス)

今後の対応について

倉業サービスにはセキュリティ管理体制の強化を依頼しておりますが、本件に限らずサプライチェーンにおける協力会社との連携を一層強化し、再発防止に取り組んでまいります。

また、本事案の対象となるお客様につきましては、別途、本内容について順次ご案内をさせていただきます。

このたびは、お客様には多大なるご心配、ご迷惑をおかけしていることを深くお詫びするとともに、発生した事案を真摯に受け止め、お客様に安心してご利用いただけるようサービス向上に努めて参ります。

リリース文アーカイブ

【2024年9月24日リリース分】

リリース文アーカイブ

【セキュリティ事件簿#2024-426】株式会社倉業サービス  サイバー攻撃による情報漏洩の可能性のお知らせとお詫びについて 2024/11/11

 

2024 年 9 月 19 日「サイバー攻撃による情報漏洩の可能性のお知らせとお詫びについて(第 1 報)」及び同年 10 月 8 日「サイバー攻撃による情報漏洩の可能性のお知らせとお詫びについて(第 2 報)」にて公表しましたとおり、弊社サーバーに対するランサムウェア攻撃について外部専門家によるフォレンジック調査を進めておりましたが、調査結果を踏まえて以下のとおりご報告申し上げます。

1.サイバー攻撃の概要及び原因

2024 年 9 月 12 日、弊社システムを構築しているサーバーにおいて障害が発生し、サーバーの保守等の委託先企業を通じて調査を進めたところ、サーバーに対する不正アクセス及びランサムウェア攻撃があったことが同月 13 日に発覚しました。

その後、外部専門家によるフォレンジック調査の結果、当該不正アクセスはサーバーにおいて使用しているソフトウェアにあった脆弱性を悪用してなされたこと、この不正アクセスを契機としてランサムウェア攻撃がなされたことが判明しました。

2.漏えいのおそれがある個人情報

当社がお取引先様から受託した発送業務における発送先情報等(お取引先様ごとに情報の種類は異なることがあります)が漏えいしたおそれは否定できません。ただ、現時点では漏えいの具体的事実も確認しておりません。

3.再発防止策

今後、外部の専門家に相談してセキュリティと管理体制を強化し、再発防止に努めて参ります。

4.本件に関するお問い合わせ先

本件に関するお問い合わせは、当社に発送業務を委託したお取引先様へお願いいたします。なお、弊社へのお問い合わせについては、以下のお問い合わせ窓口までお願いいたします。

【2024年9月19日】

リリース文アーカイブ