【セキュリティ事件簿#2023-028】国立大学法人琉球大学 学内で利用するクラウドサービスにおける個人情報等の不適切な取扱いについて(お詫び) 2023年1月20日


この度、学内で利用するクラウドサービス(Microsoft Teams)(以下「Teams」という。)内に保存されていた個人情報等が含まれたファイルの一部について、情報共有者の限定やパスワードの設定を行っていなかったことから、担当者のみが共有すべき情報が、本学構成員(本学からアカウントが付与されている学生及び職員)にも閲覧可能な状態(最も古いものは令和2年4月から閲覧可能)であったことが確認されました。

閲覧可能な状態であったファイル
① 担当者のみが共有すべきファイル(会議資料、大学院入試関係資料等)
304 件
② ①のうち個人情報(氏名、メールアドレス、成績情報等)が含まれるファイル
273 件(901 名分〔琉球大学学生436 名、職員67 名、その他398 名〕)

このような事態を招き、関係する皆さまに、ご迷惑とご心配をおかけしたことを深くお詫び申し上げます。

閲覧可能な状態であったファイルは、本学管理者によって昨年10月11日までに当Teams 担当者以外が閲覧できないように措置を講じました。

これまでのところ、当該個人情報等が不正に使用された事実や学外への漏えいは確認されておりません。

なお、閲覧可能な状態であった一部の大学院入試関係資料には試験問題も含まれていたため、入試の公平性・公正性に鑑み、当該大学院入試について精査を行いましたが、本資料が不正に使用された事実は確認できず、合否判定については変更しないという取扱いといたします。併せて、平穏な教育研究環境に影響が生じることを避けるため、当該大学院の研究科名等の公表は差し控えさせていただきます。

個人情報が閲覧可能な状態となっていた皆様及び大学院入試問題が閲覧可能であった当該研究科の受験生の皆様には、書面等にて状況をご説明し、ご迷惑をおかけしたことについてお詫び申し上げたところです。

本学では、今回の事態を受け、情報管理の一層の強化を図り、再発防止に全力で取り組んでまいります。



【セキュリティ事件簿#2023-027】株式会社長寿乃里 クレジットカード情報漏洩に関するお詫びとお知らせについて 2023年1月19日



この度、弊社のECサイト「あっとよか(https://www.chojyu.com/)」につきまして、画面表示を最適化するサービスを提供する企業(株式会社ショーケース)より、当該サービスのシステムが第三者によって改ざんされ、お客様のクレジットカード情報(37件)が漏洩した可能性があることが判明いたしました。

会員様をはじめ、関係者の皆様に多大なるご迷惑、およびご心配をおかけする事態となりましたこと、深くお詫び申しあげます。

なお、情報が漏洩した可能性のある会員様には、本日Eメールにてお詫びとお知らせを個別に送らせていただいております。

弊社は今回の事態を厳粛に受け止め、再発防止に万全を期してまいります。
会員様をはじめ関係者の皆様には重ねてお詫び申しあげますとともに、本件に関する概要につきまして、下記の通りご報告申しあげます。

1.経緯

2022年7月28日、弊社会員サイト「あっとよか」のECサイトにおいて、ご覧になる端末に合わせて、ウェブページの表示を最適化するツール「サイト・パーソナライザ」(提供:株式会社ショーケース)のシステムが、第三者によって不正に改ざんされた可能性があり、入力された情報の一部が漏洩した可能性があると連絡を受け、社内における独自調査ならびに2022年8月22日にカード会社よりクレジットカード情報漏えい懸念の発生情報がもたらされたことから2022年8月24日に弊社会員サイト「あっとよか」のECサイトでのカード決済を停止いたしました。

改めて実施した第三者調査機関による調査の結果、改ざんが発生した2022年7月19日から、該社がシステムを修正した2022年7月29日の期間に、「あっとよか」の決済方法選択ページまたはマイページにて、新規にクレジットカードをご利用された会員様に入力いただいた、以下の会員様情報が漏洩した可能性があることが判明いたしましたため、本日の発表に至りました。

2.クレジットカード情報漏洩状況

(1)原因
弊社が運営する「あっとよか(https://www.chojyu.com/)」にて採用している外部事業者「株式会社ショーケース」の画面表示を最適化するサービスツールの脆弱性をついたことによる第三者の不正アクセスにより、ソースコードの改ざんが行われたため。

(2)クレジットカード情報漏洩の可能性がある会員様
2022年7月19日~7月29日の間に、弊社ECサイト内での新規カード登録のお手続きを行った37件の会員様が対象で、漏洩した可能性のある情報は以下のとおりです。
・クレジットカード番号
・有効期限
・セキュリティコード
上記に該当する37件の会員様に関しましては、別途ご連絡済みでございます。

3.お客様へのお願い

既に弊社では、クレジットカード会社と連携し、漏洩した可能性のあるクレジットカードによる取引のモニタリングを継続して実施し、不正利用の防止に努めております。

お客様におかれましても、誠に恐縮ではございますがクレジットカードのご利用明細書に身に覚えのない請求項目がないか、今一度ご確認をお願いいたします。万が一、身に覚えのない請求項目の記載があった場合は、たいへんお手数ですが同クレジットカードの裏面に記載のカード会社にお問い合わせいただきますよう、併せてお願い申しあげます。

尚、お客様がクレジットカードの差し替えをご希望される場合、カード再発行の手数料につきましてはお客様にご負担をお掛けしないよう、弊社よりクレジットカード会社に依頼しております。

4.公表に時間を要した経緯について

2022年7月28日 から今回の案内に至るまで、時間を要しましたことを深くお詫び申し上げます。

本来であれば疑いがある時点でお客様にご連絡し、注意を喚起するとともにお詫び申し上げるところではございましたが、不確定な情報の公開はいたずらに混乱を招き、お客様へのご迷惑を最小限に食い止める対応準備を整えてからの告知が不可欠であると判断し、発表は調査会社の調査結果、およびカード会社との連携を待ってから行うことに致しました。

今回の発表までお時間をいただきましたこと、重ねてお詫び申し上げます。

5.再発防止策ならびに弊社が運営するクレジットカード決済の再開について

本件につきまして、監督官庁である個人情報保護委員会には2022年8月10日に報告済みであり、また、所轄警察署にも2022年12月1日被害相談しており、今後捜査にも全面的に協力してまいります。

弊社はこのたびの事態を厳粛に受け止め、本件の被害拡大の防止に努めるとともに、今後の再発防止策の徹底、およびより一層の情報セキュリティ対策の強化に取り組んでまいります。

なお「あっとよか」サイトでのカード決済の再開日につきましては、決定次第、改めてWebサイト上にてお知らせいたします。

2023年の投資戦略を考える(NISA、iDecoは使わない。富裕層にたどりついてみたい。)

 

2022年、寅年は荒れると言われていたが、本当にすごい荒れ方をした。

特にドル円なんか、年初に115円くらいだったのが、150円までつけ、その後130円前後で落ち着くという、荒れまくりの展開だった。

FXメインでやっていた人は退場を強いられた人がかなりいたと思う(市場からの退場だけならまだしも、人生からの退場になっていないことを祈る)

また、2022年はこれまでの人生で一番自己投資した年だった。その投資額約〇〇〇万円。社畜の分際で年収の45%近くを投じていたので、自分でもびっくりしたが、得られるものもあった。

一つは健康。

一昨年までは高脂血症に高血圧で、薬を飲み始めるか、真剣に生活改善するかの2択を迫られる中で、1日1食生活&白物(米、小麦、砂糖、塩、シャブ(笑))を抜く&適度な運動(1万歩/日)をする生活をし、体重は10キロ以上落ち、高脂血症は解消し、血圧も正常値に戻った。3か月ごとに内科に通院しており、いつも通院すると先生が積極的に次回の日程を決めに来てくれるが、それすらもなくなってしまった。昨年の健康診断では肥満度がマイナスになってしまい、違う意味でウエイトコントロールが必要と診断されてしまった。

1日1食(夜)生活により、基本的に昼食を取るという習慣が無くなったため、この時間を執筆に振り向け、これまでの旅の記録をまとめてキンドル出版をし、作家になることを目指している。

もう一つ得られた大きなものは投資のマインド。

実は投資を行うにあたって最も重要なのは健康。健康でない人が投資をすると間違った判断をしてしまい、最悪市場や人生からの撤退を迫られてしまう。

んで、自分がたどり着いた投資はシンプルイズベストでインデックス投資。

どこのインデックスかというと、アメリカ。

その理由もシンプルで実績ベースで株価と人口が増えているから。

バックテストができて、株価と人口が増え続けている国はアメリカしかない。

ちなみに2022年はFXから撤退しました。

FXは以前からゼロサムゲームと言われており、利益が出る裏には必ず損を出している人がいるということで、頭では理解しているものの、罪悪感を感じないように自動売買でブン回していた。

ところが、多額の資金を投じて学んだ投資マインドを踏まえると撤退すべきという気持ちが高まり、覚悟を決めて撤退した。

ちなみに撤退時期は丁度ドル円が150円に向けて円安に突き進んでいる時期だったので、損失は最小限に抑えられた。

自動売買は円高に動くと自動的に買いの仕掛けをしていくため、ドル円が150円を付けて円高方向に向かっていったが、この局面だと、逆に損失が拡大して撤退は難しくなっていた。


そんな訳で投資についてはインデックス投資をメインとし、米国株(S&P500)と、万が一のために逆相関の関係にある米国長期債、それに有事の金をベースとしてポートフォリオを組み立てていく。

ちなみにこれ、仮に2005年に100ドルから投資を始めて、毎月100ドルずつドルコスト平均法で18年間投資を続けていたとすると、以下のような結果になり、総資産は50,000ドルを超えるか超えないかのところまで来る。


仮に貯金(≒銀行預金)だけだったとすると、100ドル×12ヵ月×18年で21,680ドルとなるため、貯金と比較しても倍以上のパフォーマンスが出ていることになる。

丁度日本でも2024年からNISAが新しくなり、NISAで頑張って資産運用していこうという話になるが、実はNISAは使わないで行こうと思っている。

NISAには2種類あるが、まず、つみたてNISA(新NISA制度:つみたて投資枠)。

結論として、つみたてNISAは論外。

理由は投資信託しか購入できないこと。投資信託は間に信託会社が入って色々手数料がかかる。最近はノーロードだったり良心的なように見えるが、しっかりコストがかかっている。その顕著な例が分配である。例えばS&P500を直接米国ETFで買い付ければ配当が出るが、S&P500の投資信託(eMAXIS Slim 米国株式(S&P500))とかだと、過去一度も分配が無い。


つまり、S&P500を直接米国ETFで買い付ければインカムゲインとキャピタルゲインの両方が期待できるのに対して、投資信託ではキャピタルゲインしか期待できない。

S&P500(例えばvoo)の配当は1株4ドル/年程度。単純計算で100万円分のvooを持っていると、1,000,000円÷130円/ドル÷350ドル(voo単価)×4ドル(配当)≒80ドル程度、年間配当が付くので、その分投資信託よりもパフォーマンスは上ということになる。

次に一般NISA(新NISA制度:成長投資枠)。

一般NISAだと、S&P500を直接米国ETFで買い付けることができる。なので、一般的にはオススメである。

しかし、自分は下記の理由から使わないことに決めた。

1.信用取引ができない

2.損失時に確定申告で損失繰越ができない

投資における基本的なスタンスとしてはアメリカの成長に期待することとなるが、そこが明確でキャピタルゲイン狙いに絞れるのであれば、信用取引やCFD、先物などを活用してレバレッジをかけていくのも手だと思っている。一般NISAだとレバレッジがかけられれず、非課税よりも資金効率の悪さがデメリットとして強く映ってしまっている。

そんな訳で世の中と逆行している感じがしなくもないが、当面の投資戦略としてはNISAやiDecoは使わず、資金効率も考慮しながら米国ETFの現物、信用取引や、先物を上手く織り交ぜて資産形成を進めていきたい。

また、今年からプラットフォームの分散も意識した投資を進めていきたい。

要は1ヵ所に資産を寄せすぎないということなのだが、以下のような感じで分散を進めていこうと考えている。

・国内銀行(SU銀行):円預金  ~20%

・海外銀行(検討中):外貨預金 ~20%

・SA証券:CFD&先物運用    10%~50%

・SB証券:国債&信用取引運用  ~50%

・MO証券:現物&信用取引運用  10%~50%

プライバシーに配慮した安全なメールプロバイダ

 

プライバシーを真剣に考え、利用者を追跡しない安全なメールプロバイダのリストを紹介します。

ProtonMail  – 匿名性とエンドツーエンドの暗号化されたメール

Tutanota – メールボックス全体をエンドツーエンドで暗号化することにより、安全なメールを実現

Hushmail.com - 1999年からメールのプライバシーを尊重している最も歴史のあるカナダのプロバイダー。

RiseUp.net – デジタルフリーダムと闘うNPOが運営するメールプロバイダー。

TorGuard.net

Blur/MaskMe – メールマスキングサービス

ShazzleMail

StartMail.com

CryptoHeaven.com

Autistici/Inventati

NeoMailBox.com

4SecureMail.com

CounterMail.cm

S-Mail.com

Securenym.net

Safe-Mail.net

KeptPrivate.com

Novo-Ordo.com

LockBin.com

SendINC.com

Opolis.eu

OneShar.es

BitMessage.ch

上記のリストは、プライバシーに焦点を当てたプロバイダの包括的なリストです。これらは、検索エンジンや広告のトップページに散見されるような有名プロバイダーやプライバシー侵害業者ではありません。メールプロバイダーを変更したくない場合は、PGPなどの何らかの暗号化機能を導入することをお勧めします。

特におすすめなメールプロバイダー

1. Hushmail : プライバシーに配慮した基本的なセキュアメール

Hushmailは、1999年からセキュアな電子メールを提供しているプロバイダーの一つです。

Hushmailが他のプロバイダーと違うのは、すべてのサーバーを自社で所有し、運用していることです。つまり、あなたのデータは第三者のサーバーに送られたり、保存されたりすることはなく、すべて自社内で管理されています。彼らは独自のサーバーを所有し、電子メールのスキャン、データマイニング、他のメールボックスの詮索等を行いません。

Hushmailは、自動暗号化、一時的な電子メールアドレス、厳格なHTTPSと二段階認証などの機能を満載しています。過去21年間のサービスを通して、プロバイダーはカナダ政府によって、2007年に一度だけ、3人のユーザーのアカウントを引き渡すよう強制されたことがある。しかし、Hushmailは、セキュリティ、プライバシー、シンプルさを念頭に置いて構築されており、しかもすべて無料です。

Hushmailをお勧めする大きな理由は、メールセキュリティの分野で21年のベテランである彼らの実績です。今日、しばしば「安全な電子メールプロバイダー」と称される企業が、たった一度の法的な要求の後に破綻するのを目にすることがあります。彼らはプライバシーを維持するメールボックスを設計しています。

2. Tutanota – 暗号化に関するあらゆるニーズに対応


メールボックス全体が暗号化されており、メールも連絡先も、エンドツーエンドで暗号化されているため、データにアクセスすることだけが可能です。Tutanotaはドイツの裁判所命令によってデータを提出するよう強制されたときでさえ、暗号化されたデータしか渡すことができず、そのような情報を読んだり解読したりする方法は全くなかったのです。

Tutanotaのユニークな点は、共有パスワードによりエンドツーエンドで暗号化されたメールをどのメールプロバイダにも送ることができ、Gmailなどの主流のプロバイダを使って友人、家族、ビジネスパートナーに連絡する場合でも、メールを同様にプライベートなものにすることができる点です。デフォルトでは、Tutanotaは自動的に件名、本文、添付ファイルを暗号化しますが、これはPGPではできないことです。現在、彼らは暗号化されたカレンダーの開発に取り組んでいます。そして何より、彼らはIPアドレスを記録せず、送受信したメールのヘッダからIPアドレスを削除しているのです。

Tutanotaの共同設立者の一人であるMatthias Pfauに彼らのセキュアメールの特徴を聞いたところ、次のように答えました。

  • Tutanotaはユーザーのデバイス上の全てのデータを暗号化します(エンドツーエンドの暗号化)
  • Tutanotaは暗号化されていないデータをサーバーに保存しない、メールから連絡先まで全て常に暗号化されています。
  • Tutanotaは鍵の生成と鍵の交換をバックグラウンドで簡単に行うことができるため、暗号化を簡単に使用することができます。
  • Tutanotaはユーザーの秘密鍵をサーバー側で使用することはありません。

【セキュリティ事件簿#2023-027】株式会社グッドスピード 当社サーバーへの不正アクセス発生のお知らせ 2023年1月6日


当社は、2022年10月24日、当社が管理運用する一部サーバーが第三者による不正アクセスを受けたことを確認しました。

当該の不正アクセスが判明した後、直ちに被害拡大を防ぐために不正アクセスの侵入経路と影響範囲の調査を開始いたしました。その後、不正アクセスを受けた情報の内容、原因や経路の究明、情報漏洩の可能性などを、外部の専門家の協力も得ながら調査を進めると共に、関係機関にも届け出ています。

現時点におきましては、本件被害は当社が管理する一部のサーバーに留まり、他のサーバーやネットワークへ影響を与えた事実は確認されておりません。また、現時点において、企業情報や個人情報が流出したという事実は確認されておりません。

今後、お知らせすべき新たな事実が判明しましたら、改めて当社ホームページにてお知らせします。

お客様ならびにお取引先様、関係者の皆様に多大なご迷惑とご心配をおかけしておりますこと、深くお詫び申し上げます。

【セキュリティ事件簿#2023-026】奈良県総合医療センター 職員個人がインスタグラムに掲載したことにつきまして 2023年01月06日


この度、当センターの一部の職員が、勤務中の同僚職員との写真を個人のインスタグラムに掲載したことにつきましては、患者さんはじめ県民の皆様にご不安やご心配をお掛けしましたこと、お詫び申し上げます。

当該職員は、撮影した写真1枚だけ受信者を特定の者のみだけに限定して発信しておりましたが、何者かによりパスワード及びIDが乗っ取られ、内容も他人の写真を追加するなど加工されており(当該職員は、画像にコメントを記載しておりませんし、一切の加工をおこなっておりませんでした)、事実とは異なった内容となっていました。

当センターは、救急医療をはじめコロナ感染対応も担っており、この年末年始の救急患者さんの受け入れは、12月28日から1月3日の期間、救急車は196件、救急車以外の救急も144件と多く、かつ、コロナに感染された患者の皆様の対応も含めて、職員一同が県民の皆様の医療ニーズに日夜対応しております。

今後は、かかることのないように厳に注意し、皆様からの信頼回復に邁進いたします。

【セキュリティ事件簿#2023-025】KIYOラーニング株式会社 合格者の声ページにおいて匿名希望のお客様の氏名が掲載されていた件に関するご報告 2023年01月16日


このたび、「合格者の声」のページで、6名のお客様において、匿名希望にもかかわらず氏名が掲載されていた事実が判明しました。

発覚時点で直ちに匿名掲載に修正をいたしましたが、 お客様から匿名での掲載希望をいただいていたにも関わらず、このような事態を引き起こしましたこと、深くお詫びを申し上げます。

厳密に社内調査を実施し、判明した事実および原因と対策について下記の通りご報告いたします。

  • 調査内容
    • 調査期間:2022年12月28日~2023年1月12日
    • 調査対象:12797件
    • 調査箇所:スタディング合格者の声ページの名前欄、タイトル、見出し、本文、講師メッセージ

  • 誤りの内容と発生日時
    スタディングの合格者の声ページで、下記の期間、6名の匿名希望の方の氏名を掲載してしまう誤りが発生しました。
    ※現在は匿名での掲載に修正済みです。

    【掲載期間】
    • A様:2022年12月28日16時42分~2022年12月29日11時43分
    • B様:2022年12月26日 14時40分~2022年12月28日 12時39分
    • C様:2022年12月22日12時49分~2022年12月29日11時19分
    • D様:2021年6月7日16時14分~2023年1月12日15時01分
    • E様:2021年5月24日 18時35分~2023年1月12日 15時00分
    • F様:2018年12月27日15時55分~2023年1月12日15時03分

  • 発生原因
    お客様にご記入いただいたアンケートを合格者の声ページに転記する際に、匿名希望であるにも関わらず、誤って氏名を転記してしまいました。また、その後、別の担当者によるチェック工程でも発見できず、合格者の声ページを公開してしまいました。

  • 再発防止策
    転記手順を全面的に見直すとともに、チェック体制をさらに強化し、公開前の確認を徹底してまいります。

該当のお客様へは別途ご連絡を実施しております。

今後は二度とこのような事態を起こさないよう、全社をあげて確認を徹底してまいります。
引き続き、スタディングをよろしくお願いいたします。

【セキュリティ事件簿#2023-024】東京都 個人情報の漏えいについて(メールアドレスの流出) 2023年01月11日


生活文化スポーツ局において、個人情報を漏えいさせる事故が発生しましたので、お知らせします。

関係者の方に多大なご迷惑をおかけし、深くお詫び申し上げます。

今後、再発防止に向け、より一層の情報管理を徹底してまいります。

1 事故の概要

(1)発生日

令和5年1月10日(火曜日)

(2)漏洩した個人情報

受講者1名のメールアドレス1件

(3)事故の概要

1月18日に開催する再犯防止に関する研修会について、申込者に受講案内のメールを送信するところ、誤ってメールの件名に受講者1名のメールアドレスを記載して送信

2 経緯

  • 1月10日(火曜日)11時58分
    再犯防止に関する研修会の申込者(124名)に対し、受講可能となった旨の案内をメールで一斉送信
  • 直後に送信メールの件名に申込者1名のメールアドレスが記載されていることが判明
  • 同日 14時1分
    送信先の申込者にメールの削除依頼のメールを送信
  • 同日 14時35分
    流出したメールアドレスの所有者に管理職が電話で謝罪
  • 現在のところ、二次被害等の報告はされていません。
3 発生原因と再発防止策

本件は、送信前のダブルチェックを行っていたものの、最終的に件名にメールアドレスが記載されていたことを見落としていたことが原因です。

今後は本事案を関係部署に周知するとともに、メールの件名も含めて適正にダブルチェックを徹底するなどして再発防止を図ってまいります。また、局職員全員に改めて注意喚起を行い、全部署において再発防止に向けて万全を期してまいります。


【セキュリティ事件簿#2023-023】国土交通省 個人情報の流出の可能性に関するお詫びとお知らせ 2023年1月13日


九州地方整備局 鹿児島国道事務所発注の地下水調査業務(受注者:八千代エンジニヤリング(株)九州支店)において、業務従事者が発注者から貸与された調査に必要な個人情報を含む資料を紛失するという事案が発生しました。

紛失した資料には個人47名の住所、氏名等が記載されていることを確認しています。

関係する皆様にご迷惑をおかけしたことを、深くお詫び申し上げます。

○事案の内容
 令和5 年1 月12 日(木)に地下水調査業務受注者の従事者が、発注者から貸与中の資料を紛失していることに気づき、捜索するとともに、警察への遺失物届を提出いたしましたが、未だ発見されていません。

○対応状況
 個人情報の記載のある皆様に対しては、業務受注者より事案の内容をご報告し、お詫びさせていただいているところです。なお、現時点におきましては、個人情報等
第三者への流出、不正利用等の事実、二次被害は確認されておりません。

○今後の対応
 今後、このような事態が生じないよう、個人情報等の管理の細心の注意について受注者へ指導徹底することで、再発防止に万全を期してまいります。

【セキュリティ事件簿#2023-022】株式会社アダストリア 当社サーバーへの不正アクセス発生について 2023年1月19日


当社は、2023年1月18日、当社が管理運用するサーバーが第三者による不正アクセスを受けたことを確認しました。当該事象の確認後、被害拡大を防ぐためにネットワークの遮断などの対応をただちに実施するとともに、関係機関への報告を行いました。

なお、現時点でお客さま、従業員、お取引先の情報流出は確認されておりません。物流システムを停止しているため、WEBストア「ドットエスティ」は現在休止しております。
現在、外部の専門機関と連携し、影響範囲の特定、原因や経路の調査、復旧作業等の対応を進めておりますが、復旧までには今しばらくの時間を要する見込みです。

今後、公表すべき重要な事項が発生・判明した場合には、速やかに当社コーポレートサイト等でお知らせいたします。
関係各位には多大なるご迷惑及びご心配をおかけしますことを、深くお詫び申し上げます。

【セキュリティ事件簿#2023-021】株式会社北関東マツダ 個人情報流出に関するお詫びとお知らせ 2023年1月19日


本年1月14日、弊社がお客様情報を含む個人情報の管理等を委託する委託先のサーバーが第三者からの不正アクセスを受け、サーバーに保存されていた個人情報のうち、少なくとも50,000件程度が流出した可能性があることが判明いたしました。

現在、鋭意調査を続けておりますが、現時点で確認できた、不正アクセスにより外部に流出した可能性がある情報は以下のとおりです。

  1. 弊社メーリングリストの会員登録情報(2009年12月から2014年9月にご登録いただいたもの)
    氏名、メールアドレス、担当店舗

  2. 弊社中古車情報サイト「U-Car OnLine」へのお問い合わせデータ
    氏名、メールアドレス、問合せ店舗、電話番号

  3. 弊社従業員採用アカウント(LINE)への登録データ
    氏名、経歴、LINEユーザーネーム

  4. 弊社車検予約システムにおけるご登録データ
    氏名(姓のみを含む)、誕生月、電話番号、担当店舗、車種等

  5. 弊社主催展示イベント及び試乗キャンペーン等における登録データ
    氏名、電話番号、メールアドレス、年齢、職業等

なお、いずれもクレジットカードや銀行口座に関する情報は含まれておりません。

お客様及び関係者の皆様に多大なるご迷惑とご心配をおかけしましたことを、深くお詫び申し上げます。

現時点において、一部のお客様及び関係者の皆様宛てには、本年1月14日から15日にかけて、弊社ウェブサイトをハッキングしたとのメールが送信されていたことが確認できております。
万が一、このようなメールをはじめとした不審なメールを受信されましたら、本文中のURLをクリックなさらず、速やかに当該メールを削除いただきますようお願い申し上げます。

本件につきましては、警察への届出を行ったほか、外部セキュリティ専門家の協力を得ながら、関係各機関と連携し、事実の確認および適切な対応に務めております。
また、弊社は今回の事態を重く受け止め、外部セキュリティ専門家によるセキュリティ体制の改善、全てのウェブサイト及びネットワークに対する監視体制強化など、再発防止に全力で取り組んでまいります。

この度は皆さまに多大なご迷惑ご心配をお掛けしておりますこと、改めて深くお詫び申し上げます。

個人情報が流出した可能性のあるお客様及び関係者の皆様には、電子メールその他の手段により、お詫びとお知らせを個別にご連絡申し上げます。

【セキュリティ事件簿#2022】ならコープ 重大なシステムトラブルに伴う個人情報についてのお知らせ 2023年1月18日


2022年10月9日 (日) に発生した重大なレステムトラブルにより、皆さまには多大なる迷惑をおかけしましたこと、深くお詫び申し上げます。

この間、『あをがき臨時号』等で経緯を皆様にお知らせしてまいりましたが、今回あちらためてのご報告となります、トラブル発生後、現在も外部専門機関による個人情報漏えいの事実確認を継続しておりますが。現時点では漏えいの事実や不正利用の事実は確認されておりません。今後も引き続き監視を実施してまいります。

なお。法律の専門家および外部専門機関等との協議の結果、個人情報漏えいの可能性を完全には否定できないことから。個人情報保護法の法令に基づき、ご本人様にお知らせいたします。 

1 概要
①システムトラブル発生の経緯について

2022年10月9日(日)早朝、システムトラブルが発生し原因を調べたところ、当組合の基幹システムサーバを始めとする複数のシステム機器が不明の第三者からのサイバー攻撃を受け、セキュリティソフトがネットワークを遮断したことが判明しました。
当組合では直ちに対策本部を立ち上げるとともに、さらなる被害の拡大を防ぐために外部ネットワータを遮断し、外部専門機関の協力のもとでサイバー攻撃による被害範囲や状況、原因等の調査、復旧の検討を開始いたしました。

②調査の結果について

初期調査段階で、当組合の複数のサーへの不正な侵入と内部のほとんどのデータが暗号化されていることを確認いたしました。
暗号化されたデータには当組合の組合員情報が含まれでいることがわかりました。不確定な情報による混乱を避けるため、慎重に調査することといたしました。

その計、個人情報漏えいの事実について外部専門機関による調査をすすめてまいりましたが、現時点では個人情報の漏えいは確認されておりません。

これまで、当組合として事実確認に努めてまいりましたが、調査に時間を要しましたことをお詫び申し上げます。

③現在の対応について
個人情報保護委員会への報告、所轄警察署への届出は完了しております。 また、外部専門機関の協力のもと、再発防止のためのセキュリティ対策強化を図るとともに、情報ネットワークの再構築を進めております。

2.個人情報の対象範囲と対応について
①対象範囲:2032年10月8日 (土) までに加入された方(脱退済みの方含む) 489,085人です。

②個人情報 : 組合員番号、氏名、住所、電話番号、生年月日、性別、メールアレス、引落口座番号、購入履歴、出資金情報
 ※クレジットカード情報は含まれておりません

③対象者への対応 : 住所が判明している方には1月23日 (月) から順次郵送でのご連絡を予定しております。また、住所不明の方や郵送物が不着の方への対応としてお知らせを掲載しております。

3.今後の対策と再発防止

当組合では今回の事能を重く受けとめ、再発防止策の強化として、①未知のウイルス感染の防止、②多要素認証と接続限定によるVPNへの不正侵入防止、③LANへの不正接続の防止、④EDRによるウイルス検知・除去、⑥バックアップの保護など、これまで以上に更なる対策を行います。また、最新の情報セキュリティの知見を入手し、継続的にその維持・向上に努めるとともに、情報セキュリティポリシーをはじめ関連規定の刷新と職員の教育訓練をすすめてまいります。

この度は、皆さまへ多大なご迷惑とご心配をおかけしますこと、重ねて深くお詫び申し上げます。


【セキュリティ事件簿#2023-020】こうのす共生病院  病院内の音声が生配信されていた件に関するご報告 2023年1月16日


2023年1月7日午後に発生した「病院内音声がスマートフォンのアプリから配信されていた件」についてご報告させていただきます。 

先日ご報告させていただいた通り、本件は当院医師がプライベートで使用するスマートフォンのアプリを介して、当院での救急外来診察や発熱外来等の診察時の音声(会話)の一部が配信され、不特定多数の同アプリの利用者において聴取可能な状態下に置かれてしまったというものです。 

実際に配信されていた音声データを確認したところ、配信時間は同日13時19分から14時56分までの計1時間37分間でした。音声の内容は、当院での救急外来診察や発熱外来の診察時の会話等であり、計8名の患者様の氏名(うち1名は生年月日含む)などの個人情報が含まれておりました。 

音声データを流出させた医師は、聞き取り調査に対し、「休憩時間中に私用のスマートフォンの動画配信アプリを起動したまま眠ってしまった。救急車の受け入れ要請の病院内線電話で目が覚めたが、アプリが起動中であることに気づかず、そのスマートフォンをポケットに入れた状態で診察を行ったため、誤って診察時の会話音声が配信されてしまった。」と説明し、また、「個人情報の流出という重大な結果を生じさせたことを深く反省している。」と述べております。 

調査結果によれば、当該医師が意図的に音声情報を流出させたと断定することは困難ではあるものの、患者様の個人情報の流出という極めて深刻な結果が生じている以上、当該医師の過失責任は重大であるというほかありません。そのため、当該医師に対して昨日2023年1月15日付で出勤停止2か月間の懲戒処分と致しました。なお、当該医師は、本件の責任をとりたいとして同日付けで依願退職しました。 

本件で個人情報が流出してしまった計8名の方々には、当法人から個別に謝罪させていただきましたが、この場を借りて改めて深くお詫び申し上げます。 

また日頃から当院をご利用される患者様、ご家族様、また関係者の方々、そして地域住民の方々に対して、多大なご心配とご迷惑をおかけしましたことを重ねて深くお詫び申し上げます。 

改めて院内の就業規則を周知し、再発防止策を共有し徹底させていただきます。 

どうぞ今後ともご指導・ご鞭撻のほどよろしくお願いします。 


【セキュリティ事件簿#2023-019】産経新聞社 メールアドレス漏洩のお詫び 2023年1月10日


大阪国際女子マラソン事務局より本大会にエントリーした競技者の一部にメールを送信した際、受信者が他の競技者のメールアドレスを確認できる状態で誤って送信していたことが判明しました。漏洩したメールアドレスは168件です。関係する皆様には多大なるご迷惑をおかけしました。深くお詫び申し上げます。同マラソンは、産経新聞社などが主催(事務局=産経新聞社)し、1月29日に開催予定です。

1:経緯
2023年1月4日午後7時10分ごろ、大会事務局より、エントリーした競技者のうち、1月4日正午までに「応援のぼり隊」への参加可否の回答を寄せていない方168人に対し、5日中までに回答いただくよう求めるメール(件名:【第42回大阪国際女子マラソン】にエントリーいただいた皆様へ)を一斉送信しました。この際、本来であれば受信者のアドレスが他の受信者に表示されない「BCC」で送るべきところ、事務局担当者が操作を誤り、「宛先(To)」に入力して送信してしまいました。この結果、168人の競技者(メール受信者)は、相互にメールアドレスが確認できる状態になりました。

2:流出した情報
本大会にエントリーした競技者168人のメールアドレス、および、このうち一部の方のメール「表示名」としての氏名

3:受信者様への対応
本件メールを受信した168人には、1月6日午後8時20分ごろ、お詫びと当該メールの削除をお願いするメールをお送りしました。

4:再発防止策
一斉送信時には複数人によるチェックを必須とすることで、再発を防止します。

【セキュリティ事件簿#2023-016】北ガスジェネックス株式会社 お客さま情報漏えいの可能性に関するお詫びとお知らせ 2023年1月13日


弊社が灯油配送業務を委託しております北斗興業株式会社(社長:髙田宏永、本社:北斗市)において、お客さま情報が漏えいした可能性があることが判明しました。

お客さまには、多大なるご迷惑、ご心配をおかけすることを深くお詫び申し上げます。

弊社では、今回の事態を重く受け止め、再発防止に向け、委託先の管理を含めた、より一層の管理体制の強化に努めてまいりますので、何とぞご容赦の程よろしくお願い申し上げます。

なお、現時点で、お客さま情報が不正に利用された等の連絡や問い合わせはございませんが、今後、不審な連絡などがござましたら、下記問い合わせ先までご連絡いただきますようよろしくお願いいたします。

1.概要

弊社が灯油配送業務を委託している北斗興業におきまして、ネットワークを共有している会社のサーバーに不正アクセスのあったことが確認されました。さらに当該サーバーとネットワーク共有していた北斗興業のサーバーへの不正アクセスがあり、弊社が北斗興業に灯油配送業務を委託しているお客さま情報が漏えいした可能性のあることが判明いたしました。

2.経緯

・2022年12月6日(火)

北斗興業がネットワーク共有をしていた会社において自社サーバーの不正アクセスを確認。その後の調査により、ネットワークを通じてお客さま情報への不正アクセスが判明。

・2023年1月12日(木)

北斗興業より、弊社に本件の報告があり、お客さま情報の漏えいの可能性が判明。

3.漏えいの可能性があるお客さま情報

・対象 : 2020年2月以前に、弊社が北斗興業に灯油配送業務を委託しているお客さま情報(函館地区)

・項目 : 氏名、住所、電話番号

・件数 : 88件

なお、北斗興業より、現時点でお客さま情報の漏えいの事実は確認されていないとの報告を受けております。


【セキュリティ事件簿#2022】守口市 個人情報の漏えい可能性がある事象の発生について 2022年12月28日


本市において、現在開催中の「謎解き宝探し in 守口市」のプレゼントアンケートフォーム上で、個人情報漏えいの恐れがある事案が発生しました。

ご関係者の方々には、大変なご迷惑とご心配をおかけしましたことを、深くお詫び申し上げます。

1 漏えい可能性がある個人情報
プレゼント応募に関するアンケートに回答をした参加者 61 名が入力した、氏名(漢字)、フリガナ、郵便番号、住所、電話番号、メールアドレスを含む応募内容

2 漏えい可能性が発覚した日
令和4年 12 月 26 日(月)

3 個人情報がアンケートフォーム上に掲載された期間
令和 4 年 12 月 20 日(火)から令和4年 12 月 26 日(月)午前 11 時まで

4 事案発生の経緯
① 令和4年 12 月 20 日(火)から、本市において、「謎解きイベント」を開催した。

② 謎解きイベントのアンケートに回答した参加者が応募できるプレゼントアンケートフォームにて、回答送信した後、一定の条件下(プレゼントフォーム送信後、「前の回答を表示」を押した際に、他の方が入力した個人情報が表示される状態)で、参加者の個人情報が閲覧可能な状態になっていたもの。

③ 令和4年 12 月 26 日(月)午前 10 時頃に事実確認を行い、該当アンケートフォームを速やかに停止しました。

なお、現在のところ、漏えいの可能性がある個人情報を用いたと考えられる被害報告はありません。

5 原因
「謎解き宝探し in 守口市」は、守口市がプロポーザル審査を経て東武トップツアーズ株式会社に業務委託を締結した参加型イベントで、同社が作成したアンケートフォームにおいて生じた不具合によるものです。

6 再発防止に向けた対応
個人情報の漏えいの可能性がある方に対しまして、報告・謝罪を行うとともに、被害報告の把握に努めます。また、プレゼントフォームはクローズし、個人情報保護に関するシステムの不具合解消とその検証を実施いたします。

【セキュリティ事件簿#2023-018】ベストリンク株式会社 弊社が運営する「e-ca公式サイト」における個人情報漏えいに関するお詫びとお知らせ 2023年1月11日


2022年10月25日、画面表示を最適化するサービスを提供する株式会社ショーケース(東京都港区六本木一丁目9番9号。以下「ショーケース社」といいます)より、同社のシステムが不正アクセスによる改ざんを受けた旨の公表がありました。

ショーケース社公表:https://www.showcase-tv.com/pressrelease/202210-fa-info/

弊社では、運営する「e-ca公式サイト」において同サービスを利用しており、お客様のクレジットカード情報(15名)が漏洩した可能性があることが判明いたしました。

お客様をはじめ、関係者の皆様に多大なるご迷惑およびご心配をおかけする事態となりましたこと、深くお詫び申し上げます。

なお、個人情報が漏洩した可能性のあるお客様には、2022年10月25日より、電子メールおよび電話にてお詫びとご説明を個別に差し上げております。

本件に関する概要につきまして、下記の通りご報告いたします。

1.経緯

2022年7月28日、ショーケース社から、同社システムへの不正アクセスの影響から、弊社サイトを利用したお客様のクレジットカード情報の漏洩懸念について連絡を受け、2022年7月28日に同社システムとの接続を解除し、2022年8月31日弊社が運営する「e-ca公式サイト」でのカード決済を停止いたしました。 2022年11月11日、当社における第三者調査機関による調査が完了し、2022年7月24日~2022年7月26日の期間に「e-ca公式サイト」で入力されたお客様クレジットカード情報が漏洩した可能性があることを確認いたしました。 以上の事実が確認できたこと、および後記「4.公表が遅れた経緯について」記載の事情から本日の発表に至りました。

2.個人情報漏洩状況

(1)原因
弊社がe-ca公式サイトにて利用しているショーケース社のサービスが第三者により不正に改ざんされたため。

(2)個人情報漏洩の可能性があるお客様
2022年7月24日~2022年7月26日の期間中に「e-ca公式サイト」においてクレジットカード情報の入力をされたお客様15名で、漏洩した可能性のある情報は以下のとおりです。
・クレジットカード番号
・有効期限
・セキュリティコード

上記に該当するお客様については、別途、電子メールおよび電話にて個別にご連絡差し上げております。

3.お客様へのお願い

既に弊社では、クレジットカード会社と連携し、漏洩した可能性のあるクレジットカードによる取引のモニタリングを継続して実施し、不正利用の防止に努めております。 お客様におかれましても、誠に恐縮ではございますがクレジットカードのご利用明細書に身に覚えのない請求項目がないか、今一度ご確認をお願いいたします。万が一、身に覚えのない請求項目の記載があった場合は、たいへんお手数ですが同クレジットカードの裏面に記載のカード会社にお問い合わせいただきますよう、併せてお願い申し上げます。

なお、お客様がクレジットカードの差し替えをご希望される場合、カード再発行の手数料につきましてはお客様にご負担をお掛けしないよう、弊社よりクレジットカード会社に依頼しております。

4.公表が遅れた経緯について

2022年7月28日の漏洩懸念発覚から今回の案内に至るまで、時間を要しましたことについて、疑いがある時点でお客様にご連絡し注意を喚起差し上げることも検討したところではございますが、不確定な情報の公開はいたずらに混乱を招き、お客様へのご迷惑を最小限に食い止める対応準備を整えてからの告知が不可欠であると判断し、発表は調査会社の調査結果、およびショーケース社並びにカード会社等との連携を待ってから行うことに致しました。
今回の発表まで時間を要したことについて、お詫び申し上げます。

5.再発防止策ならびにe-ca公式サイトにおけるクレジット決済の再開について

弊社はこのたびの事態を厳粛に受け止め、より一層のセキュリティ対策の強化を行い、再発防止を図ってまいります。

e-ca公式サイトにおけるクレジット決済の再開につきましては、決定次第、改めてWebサイト上にてお知らせいたします。

弊社は、今回の不正アクセスにつきまして、監督官庁である個人情報保護委員会には2022年8月1日に報告済みであります。

また、本件はショーケース社から所轄警察署に2022年8月5日被害申告しており、弊社としても今後捜査に全面的に協力してまいります。


【セキュリティ事件簿#2023-017】東北電力株式会社 新電力等のお客さま情報の取り扱いに係る報告徴収の受領について 2023年1月13日


当社は、東北電力ネットワーク株式会社(以下、「東北電力ネットワーク」)が管理する当社以外の小売電気事業者(以下、「新電力等」)のお客さま情報を閲覧していたことが判明し、本日、電力・ガス取引監視等委員会(以下、「監視等委員会」)および個人情報保護委員会から報告徴収を受領いたしました。

本事案は、昨年、東北電力ネットワーク以外の一般送配電事業者が管理する託送システムにおいて、新電力等のお客さま情報が特定関係事業者※から閲覧可能な状態に置かれており、特定関係事業者の社員等が閲覧を行っていた事案が発生したことを受け、2022年12月27日付の監視等委員会からの依頼に基づき調査を進める中で判明したものです。

※一般送配電事業者と同一グループ内の小売電気事業者等

 これまでの調査において、当社の3営業所(青森県、岩手県、宮城県内の各1カ所)において、
  • 当社の従業員も立入可能なスペース(東北電力株式会社・東北電力ネットワークの共有スペース)に、東北電力ネットワーク用の端末が配置されていたこと
  • 営業所に端末を新規配備する際に、東北電力ネットワークが管理する情報を閲覧可能な端末が誤って配備されたこと
から新電力等のお客さま情報が閲覧可能な状態となっており、そのうち2営業所において、当社の従業員が同端末を使用して新電力等のお客さま情報を閲覧していたことを確認いたしました。

なお、当該営業所の関係者へ聞き取りしたところ、現時点ではお客さまからの契約申込ならびに契約切替(スイッチング)の申し出に対する契約状況の確認のみに用いたものでありますが、詳細は調査中です。

当社といたしましては、今回の事案を重く受け止めており、報告徴収に適切に対応してまいります。


【セキュリティ事件簿#2022】関西電力株式会社 新電力顧客情報の取扱いに係る報告徴収の受領について 2023年1月13日


当社は、2022年12月、関西電力送配電株式会社が管理していた当社以外の小売電気事業者のお客さまの情報(以下、新電力顧客情報)を閲覧し活用していたことが判明し、電力・ガス取引監視等委員会(以下、監視等委)から報告徴収を受領しました。 [2022年12月27日お知らせ済み]

当社は、当該報告徴収に指定された2022年9月12日から12月12日の3ヶ月間における新電力顧客情報を閲覧した記録の調査等を行い、本日、調査結果とともに当面の再発防止策等について監視等委に報告しました。

調査結果は別紙の通りですが、730名の当社社員および委託先社員が、14,657契約の新電力顧客情報を閲覧していたことを確認しました。主な閲覧目的は、お客さまからの申し出に対する契約状況の確認や問合せ対応でした。一部、当社からお客さまへの提案活動に利用するために閲覧していたことも確認しています。

本件の原因は、行為規制に関する理解やコンプライアンス意識の徹底が不十分であったことに加え、会社として不適切な業務運用を早期に把握し是正する仕組みが不十分であったことにあると考えています。

また、今回の調査の過程で、監視等委に報告するために委託先に抽出を依頼した統計データの中に、新電力顧客情報が入っていたことが判明し、監視等委に報告するとともに、すみやかにデータ抽出を取りやめる等の対策を実施しています。

行為規制上、新電力顧客情報を不適切に取り扱っていたことについて、改めて深くお詫び申し上げます。

現時点で把握している閲覧可能な新電力顧客情報については、本日までに情報遮断処理が完了しています。加えて、行為規制関係の研修の強化などの当面の再発防止策にすみやかに取り組みます。

今後、監視等委のご指導に真摯に対応するとともに、社外弁護士等で構成されたコンプライアンス委員会による客観的かつ徹底的な調査・原因究明を実施し、二度とこのような事態が起こらないよう再発防止策を徹底してまいります。

また、コンプライアンスを最優先にする企業風土の醸成を目指し、引き続き、全力を尽くしてまいります。


【セキュリティ事件簿#2022】株式会社バンタン 一部サーバーへの不正アクセスに関するお知らせ(第2報) 2023年1月13日



株式会社バンタンは、当社が運用する複数あるサーバーのうち一つのサーバー(以下、該当サーバーという)に不正アクセスが行われたことについて、2022年11月30日にお知らせいたしました。

その後、進めてまいりました調査の結果、及び復旧に向けた対応をお知らせ申し上げます。

2022年11月25日17時頃、当社が運用する該当サーバー上にあったサイトにおいて、一部のデータが削除、また不正なファイルが作成されるなどの被害が発覚いたしました。その後速やかに、被害の拡大を防ぐために不正アクセスされたサーバーを停止し、該当サーバーで管理していたサイトを一時停止いたしました。

これまでに行われた当社と外部専門機関との共同調査の結果、該当サーバー上で過去利用していたコンテンツ管理システムのバージョンの脆弱性を悪用されて侵入されたこと、及びその経路が明らかになりました。個人情報保護委員会への報告と所轄警察署への届け出は完了しております。

調査の結果、個人情報が外部に持ち出された痕跡は確認されておりません。しかし、流出の可能性を完全に否定することは難しく、対象となるお客様には、本日より当社から順次お知らせとお詫びに関するご連絡をメールもしくは郵送でお送りいたします。大変恐縮ですが、当社からのお知らせが届いたお客様は、内容をご確認いただきますようお願い申し上げます。

なお、現在、本件に関わる個人情報の不正利用などは確認されておりません。

お客様をはじめ多くの関係先の皆様にご迷惑とご心配をおかけいたしますこと、深くお詫び申し上げます。

◆不正アクセスがあった該当サーバーで保有していた情報

対象:当社が運営するスクールを対象に、2022年8月1日〜2022年11月27日の間に資料請求・イベント予約をされた方の個人情報 17,935件
情報:氏名、住所、電話番号、生年月日、性別、メールアドレス、職業、興味のある分野(ファッション、ゲーム等)、その他(イベントに参加希望する日時等)
※クレジットカード情報は含まれておりません。

◆今後の対応

  • 当社では、本日より順次、対象のお客様にメールもしくは郵送で連絡をしてまいります。また、上記のお客様サポート窓口を設け、お客様からのお問い合せに対応いたします。
  • 現在稼働している全Webサイトの脆弱性診断を行っております。
  • 情報流出が明らかになった場合は、関係者の皆様に対する速やかな対応を行うとともに、改めてホームページ等にてお知らせいたします。
  • 当社では今回の事態を重く受け止め、今まで以上に厳重な情報セキュリティ体制の構築と強化徹底を図り、再発防止に取り組んでまいります。

【セキュリティ事件簿#2023-016】北海道ガス株式会社 北ガスジェネックスのお客さま情報漏えいの可能性に関するお詫びとお知らせ 2023年1月13日


北海道ガス株式会社の子会社である北ガスジェネックス株式会社が灯油配送業務を委託している北斗興業株式会社において、北ガスジェネックスのお客さま情報が漏えいした可能性のあることが判明いたしました。お客さま、関係する皆さまには、多大なるご迷惑、ご心配をおかけすることを深くお詫び申し上げます。

なお、現時点で、お客さま情報が不正に利用された等の連絡や問い合わせはございません。

1. 本件の概要
北ガスジェネックスが灯油配送業務を委託している北斗興業におきまして、ネットワーク共有している会社のサーバーに不正アクセスのあったことが確認されました。さらに当該サーバーとネットワーク共有していた北斗興業のサーバーへの不正アクセスがあり、北ガスジェネックスが北斗興業に灯油配送業務を委託しているお客さま情報が漏えいした可能性のあることが判明いたしました。

2. 経緯
  • 2022年12月6日
    北斗興業がネットワーク共有していた会社において自社サーバーの不正アクセスを確認。その後の調査により、ネットワークを通じてお客さま情報への不正アクセスが判明。

  • 2023年1月12日
    北斗興業より、北ガスジェネックスに本件の報告があり、お客さま情報の漏えいの可能性が判明。
3. 漏えいの可能性があるお客さま情報
  • 対象 : 2020年2月以前に、北ガスジェネックスが北斗興業に灯油配送業務を委託しているお客さま情報(函館地区)
  • 項目 : 氏名、住所、電話番号
  • 件数 : 88件
なお、北斗興業より、現時点で、お客さま情報の漏えいの事実は確認されていないとの報告を受けております。

4. 今後の対応
  • 対象のお客さまには、北ガスジェネックスより個別に通知させていいただく予定です。
  • 北ガスグループでは、今回の事態を重く受け止め、再発防止に向け、委託先の管理を含めたより一層の情報管理体制の強化に努めてまいります。

【セキュリティ事件簿#2023-015】SHIGETA 株式会社 弊社が運営する「SHIGETA PARIS公式オンラインストア」への不正アクセスによる個人情報漏洩に関するお詫びとお知らせ 2023年1月12日


このたび、弊社が2017年10月~2022年8月まで運営しておりました、リニューアル前の「SHIGETA PARIS公式オンラインストア(http//shigetajapan.com)」におきまして、第三者による不正アクセスを受け、お客様のクレジットカード情報(7,024件)が漏洩した可能性があることが判明いたしました。

お客様をはじめ、関係者の皆様に多大なるご迷惑及びご心配をおかけする事態となりましたこと、深くお詫び申し上げます。

 なお、個人情報が漏洩した可能性のあるお客様には、本日より、電子メールにてお詫びとお知らせを個別にご連絡申し上げております。

なお、第三者機関による調査の結果、2022年8月3日以降よりリニューアルして運営しております現在の「SHIGETA PARIS公式オンラインストア(https://shigetaparis.jp)」におきましては、不正アクセス及びクレジットカード情報漏洩の痕跡は確認されませんでしたが、弊社では、今回の事態を厳粛に受け止め、再発防止のための対策を講じてまいります。お客様をはじめ関係者の皆様には重ねてお詫びを申し上げますとともに、本件に関する概要につきまして、下記の通りご報告致します。

1.経緯

2022年9月2日、一部のクレジットカード会社から、弊社サイトを利用したお客様のクレジットカード情報の漏洩懸念について連絡を受けました。弊社が運営するリニューアル前の「SHIGETA PARIS公式オンラインストア(https//shigetajapan.com)」は2022年7月31日時点では既にサイト自体停止をしておりました。リニューアル後の新環境についても漏洩懸念の有無を確認するため、2022年9月21日時点でカード決済を停止いたしました。同時に、第三者調査機関による調査も開始いたしました。2022年11月24日、調査機関による調査が完了し、2021年3月2日~2022年8月3日の期間にリニューアル前の「SHIGETA PARIS公式オンラインストア(https//shigetajapan.com)」で購入されたお客様クレジットカード情報が漏洩し、一部のお客様のクレジットカード情報が不正利用された可能性があることを確認いたしました。

以上の事実が確認できたため、本日の発表に至りました。 

2.個人情報漏洩状況

(1)原因

 弊社が運営するリニューアル前の「SHIGETA PARIS公式オンラインストア(http//shigetajapan.com)」のシステムの一部の脆弱性をついたことによる第三者の不正アクセスにより、ペイメントアプリケーションの改ざんが行われたため。

(2)個人情報漏洩の可能性があるお客様

2021年3月2日~2022年8月3日の期間中にリニューアル前の「SHIGETA PARIS公式オンラインストア(http//shigetajapan.com)」においてクレジットカード決済をされたお客様7,024名で、漏洩した可能性のある情報は以下のとおりです。

・カード名義人名
・クレジットカード番号
・有効期限
・セキュリティコード

上記に該当する7,024名のお客様については、別途、電子メールにて個別にご連絡申し上げます。

3.お客様へのお願い

既に弊社では、クレジットカード会社と連携し、漏洩した可能性のあるクレジットカードによる取引のモニタリングを継続して実施し、不正利用の防止に努めております。

お客様におかれましても、誠に恐縮ではございますがクレジットカードのご利用明細書に身に覚えのない請求項目がないか、今一度ご確認をお願い致します。万が一、身に覚えのない請求項目の記載があった場合は、たいへんお手数ですが同クレジットカードの裏面に記載のカード会社にお問い合わせいただきますよう、併せてお願い申し上げます。

なお、お客様がクレジットカードの差し替えをご希望される場合、カード再発行の手数料につきましてはお客様にご負担をお掛けしないよう、弊社よりクレジットカード会社に依頼しております。

4.公表が遅れた経緯について

2022年9月2日の漏洩懸念から今回の案内に至るまで、時間を要しましたことを深くお詫び申し上げます。

本来であれば疑いがある時点でお客様にご連絡し、注意を喚起するとともにお詫び申し上げるところではございましたが、不確定な情報の公開はいたずらに混乱を招き、お客様へのご迷惑を最小限に食い止める対応準備を整えてからの告知が不可欠であると判断し、発表は調査会社の調査結果、及びカード会社との連携を待ってから行うことにいたしました。

今回の発表までお時間をいただきましたこと、重ねてお詫び申し上げます。 

5.再発防止策ならびに弊社が運営するサイトの再開について

2022年8月3日にリニューアルオープンした現在の「SHIGETA PARIS公式オンラインストア(http//shigetaparis.jp)」では情報漏洩を確認されておりませんが、弊社では今回の事態を厳粛に受け止め、更なるシステムセキュリティ対策及び監視体制の強化を行い、再発防止を図ってまいります。カード決済機能の再開日につきましては、決定次第、改めてHPにてお知らせ致します。

また、弊社は今回の不正アクセスにつきまして、監督官庁である個人情報委員会には2022年9月5日に報告済みであり、また、所轄警察署にも2022年12月22日被害申告しており、今後捜査にも全面的に協力してまいります。


【セキュリティ事件簿#2023-014】一般財団法人 国際ビジネスコミュニケーション協会 TOEIC申込サイトへの不正アクセスのご報告およびアカウント管理に関するお願い 2023年1月11日


平素より、TOEIC Programをご利用いただき、誠にありがとうございます。
この度、「TOEIC申込サイト」において、当協会以外のサービスから入手したユーザーID・パスワードを用いた、第三者による不正アクセスが発生したことを確認いたしました。

不正アクセスの概要
本件不正アクセスは、2023年1月8日(日)から発生し、一部の会員の情報が第三者に閲覧された可能性があることが判明いたしました。
不正にログインされた可能性があるアカウントについては、既に利用停止の措置を講じた上で、情報を閲覧された可能性のある会員の方へは、別途、当協会より個別にご連絡いたしました。

<今回の不正アクセスで閲覧された可能性のある情報>

  • 登録ID、氏名、生年月日、性別、住所、電話番号、メールアドレス
  • 出身国、母国語、秘密の質問、質問の回答(以上は登録された方のみ)
※申込履歴・テスト結果・クレジットカード情報および上記以外の情報は閲覧されておりません。

会員のみなさまにおかれましては、当協会以外のサービスで利用されているパスワードと同一のものを「TOEIC申込サイト」でご利用の場合は、パスワードの変更をお願い申し上げます。

当協会では、より一層のセキュリティ強化を図り、さらなる安全性の確保に努めてまいります。

会員のみなさまにはお手数をおかけいたしますが、ご対応につきご理解を賜りますよう、どうぞよろしくお願い申し上げます。

【セキュリティ事件簿#2023-013】茨城県つくば市 不正アクセスで市立学校HP更新できず 2023年1月10日



茨城県つくば市教委は10日、市立学校のホームページ(HP)の作成システムが不正アクセスを受け、市内全45の小中・義務教育学校のウェブサイトのログインIDとパスワードが書き換えられたと発表した。HPが更新できなくなり、市は同日、全学校のサイトを停止した。

市教育局によると、4日午前9時ごろから「学校HP作成システムにログインできない」と複数の学校から問い合わせがあった。調査した結果、各校のログインIDとパスワードが書き換えられていた。5日、市教育局管理のサイトに不審なファイルがアップロードされているのを発見し、削除。10日までにサイトを再点検し、同日に運用を停止した。

市教育局は「早期の復旧を目指す」としている。


【セキュリティ事件簿#2023-012】埼玉県 彩の国さいたま人づくり広域連合メールサーバーを介して不審なメールが送信されています。身に覚えのない広域連合からのメールは開かないでください。 2023年1月10日


1月10日(火曜日)、彩の国さいたま人づくり広域連合が使用する電子メールサーバーが不正アクセスを受けたことにより不審なメールの送信事案が発覚しました。なお、本事象に起因する個人情報の流出等の被害は確認されておりません。

概要

当広域連合メールサーバーが不正アクセスの被害を受け、1月9日(月曜日)に当広域連合ドメインの複数のメールアドレスから不特定多数に向けて大量の不審なメールが送信されました。

原因

当広域連合メールサーバーの管理者アカウントに不正にログインされたことが原因と推測されます。

対応状況

不正な通信については事象発覚後、即時遮断し、同様の事象の拡大を防止しております。

1月9日(月曜日)0時0分から10日(火曜日)9時45分までの間に当広域連合ドメイン(@hitozukuri.or.jp)からメールを受信した場合には当該メールは開かずに削除するようお願いします。

再発防止策

当広域連合ではこの事象を重く受け止め、今後このような事態が発生しないようシステムの運営体制を見直し、被害を未然に防止するための取組を強化してまいります。


【セキュリティ事件簿#2023-011】チューリッヒ保険会社 個人情報漏えいに関するお詫びとお知らせ 2023年1月10日


このたび、チューリッヒ保険会社において、当社が保有するお客さまの個人情報の一部が漏えいしたことが判明しましたので、お知らせいたします。

当社では、個人情報の保護について万全のセキュリティ対策をとってまいりましたが、今回、このような事案が発生し、お客さまおよび関係者の皆さまに多大なるご迷惑、ご心配をおかけすることになりましたことを深くお詫び申しあげます。

■事故発覚の経緯
2023 年 1 月 9 日未明に、当社のお客さまの個人情報が海外のサイトに掲載されているとの情報を把握し、調査したところ当社のお客さまの個人情報が一部含まれていることから、情報漏えいの事実が判明したものです。これは当社の外部委託業者が、第三者からの不正アクセスを受けたことによるものですが、これ以上の情報流出の経緯については現在調査中です。

■個人情報の項目
個人情報漏えいの可能性がある項目は、以下の個人識別情報の一部または全部に限られており、クレジットカード番号、銀行口座情報は含まれておりません。

【含まれていた個人情報】
①姓のみ(漢字、カタカナ) ②性別 ③生年月日 ④メールアドレス ⑤証券番号 ⑥顧客 ID ⑦車名、等級など自動車保険契約にかかる事項*
*事故の内容などのセンシティブ情報は含まれていません。

■対象となるお客さまと件数
当社の「スーパー自動車保険」に過去にご加入いただいたお客さま並びに現在ご加入いただいているお客さまのうち、最大で75万 7,463人

■当社の対応とお客さまへのお願い
すでに金融庁へ報告するとともに、個人情報が漏えいした可能性のあるお客さまには、個別にご連絡させていただきます。今回の件に際し、不審な電話・郵送物・電子メールについては、応答や開封の際はご注意いただきますようお願いいたします。

【寿司テロ】回転寿司で他の人が注文した寿司を皿を取らずに食べる

 

はま寿司で他の人が注文した寿司を皿を取らずに食べ、更にその様子を撮影してアップする国賊が発生。

以下がその動画。


TikTokとインスタはアカウントが割れている模様。

https://commentpicker.com/instagram-user-id.php

やってしまったことは仕方がないとして罪を償ってもらおう。

そして、同じような国賊が出てこないように、事件については風化しないように残しておこう。


週刊OSINT 2022-49号

 

今号のトピックス

  • Zotero
  • Azure's AADInternals
  • Geolocating With the Stars
  • Locked Twitter Accounts

ツール: Zotero

MastodonのBashinhoがZoteroについてのヒントを共有しました。このプログラムは情報の保存と注釈付けのためのものであり、FirefoxとChrome用のブラウザプラグインを備えています。ボタンをクリックするだけで、ページを保存したり、メモを作成したり、オフラインで保存したりできます。このようにして、ローカルに保存されたWebページのコレクションを作成し、それらをすばやく検索できます。



チュートリアル: Azure's AADInternals

Steven 'Nixintel' Harris は、Dr. Nestori Syynimaaによって作成された「AADInternals」ツールに関するブログを投稿しました。このツールはAzure ADとOffice 365の管理に使用されますが、企業が管理するドメインを一覧できるオンラインツールもあります。関心のあるドメイン名を検索するだけで、ドメインがAzure ADを使用しているかどうかを確認できます。最初は20件しか結果が表示されませんが、詳細を知りたい場合は、AADInternalsをインストールして、Powershell内で直接実行してみてください。



チュートリアル: Geolocating With the Stars

John McElhoneは、新しいB-21の写真を見て、素晴らしいアイデアを思いつきました。写真に写っている星座を見て、写真が撮られた場所を探してみたのです。Astrometry.netと、Stellarium, そしていくつかのEXIF情報を駆使して、彼は写真が撮られた場所を確認することができました。



メディア: Locked Twitter Accounts

Sinwindieは、ロックされたTwitterアカウントについてさらに洞察を得る方法についての良いヒントを共有しました。アカウントを操作しているユーザーを確認したり、以前に開いたアカウントのアーカイブまたはキャッシュされたページをチェックしたりすることで、さらに情報を見つけることができます。1つの追加のヒント:Google内では、実際のキャッシュを確認することもできます。最近は少し隠されていますが、小さな「ケバブメニュー」( 3つの垂直ドット)を開いて、オプション「キャッシュ」を探すことで見つけることができます'.



海外銀行口座開設を考える

 

2022年は激動の1年だった。

何が激動だったかというと、もちろんロシアによるウクライナ侵攻である。

このご時世、戦争なんかやっても割に合わないことは分かり切っているはずなのに戦争が起きてしまったのである。

これにより、グローバル化は終焉することになる。

何故グローバル化が終焉するかというと、グローバル化により世界が平和になると思っていたが、民度の低い国に金を与えると戦争が起きることが分かってしまったからである。

欧州はウクライナ侵攻でドタバタしているが、アジア圏にもいろいろ火種がくすぶっている。

恐らく一番懸念しなければならないのはC国の台湾進攻かもしれない。

R国と言い、C国と言い、民主主義で生きている人には理解できない思考パターンを持っていて、「絶対」は無い状況になりつつある。

C国が台湾に侵攻すると在日米軍が動くため、日本も巻き添えを食う可能性がある(個人的には台湾人を救うべく、自衛隊にも積極的に関わっていって欲しい気持ちであるが・・・)

そうなると日本もダメージを受ける可能性が高く、色々と資産保全の手を打っておく必要がある。

その資産保全の一つとして、日本以外に銀行口座を開くというものがある。

そんな訳で、今回は日本人でも開設できそうな海外銀行をいくつか見てみたい。

1.Asaka Bank(ウズベキスタン)

1995年11月7日に設立された銀行。本店は首都タシケント。 国内すべての地域の中心部と、カラカルパクスタン (ヌクス)、アサカ、コーカン、およびタシケントに支店がある。株式資本の額は5475UZS、予備資本は2139UZS、総資本は8075UZSです。 ローン付与 5001UZS、年間利益667UZS、総資産は18323百万UZSです。 (1997年1月1日時点) 

ウズベキスタンは1991年のソ連からの独立以降、破綻した銀行は無いとされています。

定期預金の年利は驚異の21%です。

Asaka Bankでは円建ての定期預金は無いため、現地通貨(UZS/スム)に交換する必要があります。

2019年に三井住友銀行と業務提携を行っています。


2.TBC Bank(ジョージア)

TBC銀行1992年に設立された銀行で、首都のグルジアに本店があります。TBC銀行の名前の由来は元の名前であるトビリシ・ビジネス・センターとされており、TBCは元の名前の略語だけでなく、銀行の正式名称として登録されています。

ジョージアは東ヨーロッパに位置し、近隣にはトルコ・アルメニアなどがあります。

定期預金の金利は、1年間のプランで11.8%、2年間だと12%になります。

しかし非居住者の場合には、定期預金の金利は0.5%差し引かれます。

TBC Bankは、約68万円までしか預金の保証がありません。

ジョージアはビザなしでも1年間滞在可能なため、ノマドワーカーに人気のある国です。実際に開設を行った猛者が数名いるようです。

リンク1:【ジョージア移住】TBC Bankでも銀行口座を開設してみた

リンク2:【2021年10月】ジョージア・TBCバンクで銀行口座を開設【KYC書類なし】

動画1



3.Khan Bank(モンゴル)

ハーン銀行は1991年に設立された銀行で、モンゴル最大の商業銀行と言われています。Tavan Bogd Groupの持株会社であるTavan Bogd Trade LLCがカーン銀行の株式を所有しており、日本のHSホールディングスの連結子会社でもあります。

モンゴルと聞くと遊牧民や草原をイメージされるかもしれませんが、豊富な鉱物資源を活用し、経済的な面で成長してきています。

Khan Bankは、現地通貨(MNT/トゥグルグ)以外にも米ドル、人民元で預けることができます。

利回りは、MNT建てで1年間預けた場合は利回り9.3%、米ドル建てで1年間預けた場合は1.8%、人民元立てで1年間預けた場合は1.7%となります。

2014年頃は結構モンゴルに口座開設に行くツアーが流行っていたようですが、最近は聞かなくなりました。。。


4.AMERIA BANK(アルメニア)

AMERIA BANKは、アルメニアのエレバンに本店を置く、アルメニアのユニバーサルバンクです。

1910年にコーカサス貿易銀行の支店として設立され、1992年にアルメニア中央銀行から銀行免許を取得し、2014年までに、アルメニア最優秀銀行賞を3度受賞しています。

東ヨーロッパにあるアルメニアは、日本人にとっては馴染みが薄い国ですが、高金利で運用でき、しかも現地通貨(AMD/アルメニアドラム)以外でもドルやユーロで定期預金をすることが可能です。

AMERIA BANKはアルメニア国内で最大規模の銀行です。利回りはAMD建てで1年間預けた場合は9.2%、米ドル建てで1年間預けた場合は3.3%、ユーロ立てで1年間預けた場合は1.5%です。

アルメニアは外部からのIT企業の誘致を積極的に行っており、様々な優遇制度を設けています。例えば、アルメニアでIT企業を設立した場合には、最初の3年間は法人税がかかりません。

現地法人を持っていれば、アルメニアの長期ビザや永住権の獲得も容易になっていきます。


5.Canadia Bank(カンボジア)

カナディアバンクは、カンボジア最大の地方銀行の一つで、1991年に設立され、1998年に民営化されました。カンボジアの大手商業銀行の1つであるカナディアバンクは、カンボジアの25の州と自治体に64の支店を持ちます。2021年現在、カナディアン・バンクの総資産は76億米ドル、純利益は1億2500万米ドルとなります。

東南アジアにあるカンボジアは、コロナ禍前まではGDP成長率は6~7%を推移していました。2020年のGDP成長率はマイナスでしたが、2021年はプラスに転じ、引き続き経済成長が見込まれています。

Canadia Bankでは、米ドルを高利回りで運用することができます。それぞれの利回りは、カンボジア現地通貨(KHR/リエル)建て、人民元建て、タイ・バーツ建てで1年間預けた場合は利回り6%、米ドル建てで1年間預けた場合は4.75%になります。

海外不動産投資で、カンボジアの物件を買うと現地の銀行口座開設をサポートしてくれるサービスもあるようです。

拙者は数年前にプノンペン商業銀行に米ドル建てで1年間預けました。通帳は発行されず、預かり証みたいな紙ペラ1枚だけ発行されて、大丈夫なのか不安を感じたことがある。その際の金利は5%超だったが、1年後に引き出したらちゃんと5%の金利がついて戻ってきた。


6.First Hawaiian Bank(アメリカ)

ファースト・ハワイアン・バンクはアメリカ合衆国ハワイ州ホノルルに本店を置く銀行で、預金高においてハワイ州で最大の銀行である。同行はハワイ全体で57支店、グアムに3支店、サイパンに2支店を持っている。

アメリカの銀行口座は現地に住所を持っていないと開設できないと思われがちだが、住所が日本でも開設することができる銀行も存在する。そんな数少ない銀行の一つがこのファースト・ハワイアン・バンク。支店に赴く必要があるものの、パスポート、現住所を確認できる書類(運転免許証など)と預入金で口座開設ができる。

最低預入金額は、所謂普通預金で$20、定期預金で$1000となり、現金のほか、AMEXトラベラーズチェックでの入金が可能。尚、開設する口座の種類によってはマイナンバーの提示も必要になる。

驚くべきは、英語ができない人のために日本語対応が可能な支店が用意されていること。ハワイ(ワイキキ支店)、グアム(タムニン支店)、サイパン(オレアイ支店)にそれぞれ日本語対応が可能なスタッフが配置されており、事前予約すれば日本語だけで口座開設が可能となる。


7.Central Pacific Bank(アメリカ)


セントラル・パシフィック・バンク(CPB)は、アメリカ合衆国ハワイ州ホノルルに本店を置く銀行で、ハワイ州第3位の銀行である。1954年に日系人らが中心となり創業し、現在はニューヨーク証券取引所上場企業であるセントラル・パシフィック・ファイナンシャル・コーポレーションの子会社組織になっている。

こちらも日本在住の日本人でも日本語で口座開設が可能となっている。

ファースト・ハワイアン・バンク(FHB)との違いの一つは最低預入金額と海外送金での着金手数料だろうか。

FHBは最低預入金額20USDで特に口座維持手数料はかからないが、日本から海外送金でFHBに送金した場合、着金時にFHB側で手数料が徴収される。

CPBは残高1000USDを下回ると毎月口座維持手数料が徴収される。しかし、日本から海外送金でCPBに送金しても、CPB側で手数料が徴収されることはない。


リスクヘッジの観点でも、今年は海外に口座を開設してみたい。

【セキュリティ事件簿#2023-010】アフラック生命保険株式会社 個人情報流出に関するお詫びとお知らせ 2023年1月10日


アフラック生命保険株式会社(代表取締役社長:古出 眞敏)が業務委託する外部業者において、当社保有の個人情報の一部が流出していることが判明しましたので、お知らせいたします。なお、現時点では本件に関わる個人情報の不正利用等は確認されておりません。

お客様および関係者の皆様には、多大なるご迷惑とご心配をおかけしますことを深くお詫び申しあげます。

現在、鋭意調査を続けておりますが、現時点で確認できた事実関係は以下の通りです。

1. 経緯
(1)1 月 9 日
①当社のお客様に関する情報が情報漏えいサイトに掲載されているとの情報を入手しました。
②その後、当社のお客様に関する情報が情報漏えいサイトに実際に掲載されていることを確認しました。
③掲載された情報は、当社が業務委託している外部業者に提供した個人情報の一部であることを確認しました。なお、同外部業者には、当社のお客様向けのダイレクトメールに記載した QR コード*から視聴できる動画を配信する業務を委託しています。
*QR コードは株式会社デンソーウェーブの登録商標です。
(2)1 月 10 日
流出元となった外部業者が、利用しているサーバから当社が提供したお客様に関する情報を削除したことを確認しました。

2. 外部流出した個人情報
(1)個人情報の項目
①姓のみ(漢字、カナ)・ 年齢・性別、②証券番号、③ご加入の保険種類番号・保障額・保険料
(2)対象となるお客様と件数
当社の「新がん保険」「スーパーがん保険」「スーパーがん保険 V タイプ」にご加入のお客様 1,323,468 人(データ件数延べ 3,158,199 件) 

なお、情報漏えいサイトに流出した上記の個人情報の項目だけでは、個人を特定することは出来ないため、流出した情報を第三者に悪用される可能性は極めて低いと考えています。

3. 原因
2023 年 1 月 7 日以降、当社が業務委託している外部業者が利用しているサーバに対して第三者による不正なアクセスがあった可能性があることを確認しています。なお、詳細な状況は調査中です。

4. 今後の対応
対象となるお客様には、順次お詫びとお知らせの文書をお送りさせていただきます。
本件については、既に金融庁等の関係機関への適時報告を行っており、今後も引き続き外部業者と協力して調査していきます。なお、流出元となった外部業者にて、利用しているサーバ上からお客様に関する情報はすでに削除されており、さらなる情報流出がないよう対応しています。

該当するお客様をはじめ関係者の皆様には、多大なるご迷惑とご心配をおかけしますことをあらためてお詫び申しあげます。

当社では、今回の事態を重く受け止め、再びこのようなことがないよう、委託先の管理を含め、より一層の管理体制の強化に努めるとともに、不正アクセスなどの犯罪行為には厳正に対処してまいります。何とぞご理解とご協力を賜りますようお願い申しあげます。