【セキュリティ事件簿#2023-145】コンタクトレンズメーカーのシード、7万件の個人情報流出の可能性　不正アクセスにより

コンタクトレンズ製造販売大手のシード（東京都千代田区）は、2022年11月末に外部から不正アクセスを受け、顧客や従業員などの個人情報が最大で延べ約7万件流出した可能性があると発表しました。この不正アクセスにより、子会社である「シードアイサービス」が従業員や取引先などの関係者らを対象に開催した販売会に関する情報が流出したとされます。流出した情報には氏名、住所、電話番号、生年月日、性別、メールアドレスなどが含まれており、クレジットカード情報は含まれていないとのことです。現時点で情報の悪用は確認されていないとのことですが、不正に閲覧や複製された可能性を完全に否定することが困難であるとしています。

同社はこの不正アクセスの原因について、「システムメンテナンス用に設置していたネットワーク機器の脆弱性を突かれた可能性が高い」と説明しています。また、同社では顧客や従業員に対し、郵送などで順次連絡するとともに、専用窓口で問い合わせに対応する予定です。

シードは、顧客や従業員の個人情報保護に最大限の注意を払っているとしつつ、今後も不正アクセスに対して厳重なセキュリティ対策を講じていくとのことです。

参考：不正アクセスで情報流出、メンテ用機器から侵入か - シード

イベリア航空：Avios購入50%ボーナスセール（2023/5/18～2023/5/25）

イベリア航空は、2023年5月23日まで50％ボーナスでAviosを購入できるキャンペーンを実施。

イベリア航空のAviosは、ブリティッシュエアウェイズのAviosに無料で移管でき、そこからJALの航空券が手配できる。

650マイルまでであれば、片道7500Aviosで手配が可能。

ちなみに羽田から650マイルとなると以下の感じで、沖縄以外の国内がカバー可能。

尚、羽田-那覇間は片道9,000aviosで、羽田-石垣間は片道11,000aviosで手配可能。

ちなみに11,000aviosあると、羽田から台北や香港も手配できる。

以前は650マイルまでの区間が4500Aviosで取れていたのだが、値上げに値上げが続き、大きなメリットは無くなってしまった。

とはいえ、搭乗24時間前までであればキャンセル可能だし、有償航空券が高すぎる場合（目安として片道15,000円以上）に使えば同額かそれ以下で押さえられるので、それなりに使い勝手は良いと思っている。また、Aviosは有効期限3年だが、Aviosの増減があるとそこから有効期限が3年となるため、利活用できていれば実質無期限となる。

試しに7,500Avios買ってみようとするとこんな感じ。前回のセールから30ドル安くなっている。

139USDを円換算してみるとこんな感じ。

USD単価では改善しているものの、前回セール時よりも円安が進んでいるため、日本円で見た場合に引き続き魅力が無い。

今回も見送りの方向で。

出典：Iberia Plus Selling Avios With 50% Bonus

週刊OSINT #2023-05号

今号はウェイバックマシン、ドイツのスパイのニュースなどに注目しました！

The Wayback Machine
How to Verify?
BND Spies

小技：The Wayback Machine

最近、ウェイバックマシンの使い方に関する有用な情報が書かれたページを見つけました。例えば、特定の年月のウェブページへのリンクをする場合、URL内で直接指定することができます。

https://web.archive.org/web/202209/{url}

また、興味深い有用なヒントとして、上部のナビゲーションツールバーを非表示にすることができます。その場合は、URL内の日時参照の後ろにid_を追加するだけで、ツールバーが消えます。

このWiki記事には、次のような興味深い情報もあります。

・ブックマークレット

・コマンドラインツール

・最も古いまたは最新のコピー

このページは、ウィキペディアの編集者がウェイバックマシンへの正しいリンクの作成方法を説明することを目的としています。しかし、OSINTコミュニティにとっては、このリソースの使い方に関する歓迎されるヒントがあります。

サイト：How to Verify?

DW Innovationが開発した「How to Verify」という新しいWebベースのツールは、古くからあるOSINTフレームワークの視覚的な表現と考えることができます。可能なピボットポイントに関する選択肢を視覚的に見ながら、利用可能なツールやサイトを表示してくれます。最も好きなのは、画面右側に表示される追加情報で、対象のウェブサイトの部分について案内し、追加のヒントを与えてくれる点です。素晴らしいです！

調査に役立つ可能性のあるツールを探している方にはおすすめです。

記事: BND Spies

BNDは、ドイツの外国情報機関である「Bundesnachrichtendienst」の略称です。昨年、その内部にスパイがいたことが発覚し、その後も別のスパイが発見されました。Twitterユーザーの「Fake PhD Investigator」は、裁判資料を調べ、その人物の身元に関するヒントを見つけました。その後、彼は自分でオンラインのスルーティングを行い、疑わしい人物が訪れた場所に関する十分な情報を提供するGoogleレビューのオンライントレイルを追跡することに成功しました。

オマケ: DNSの仕組みについて

dnssimpleによるDNSの仕組みについてのコミックです。正直なところ、私はこの知識がなければ仕事ができないでしょう！もっと学びたい場合は、ここにはいくつかのコミックや動画があります。この情報を共有してくれた0xtechrockに感謝します。

出典：Week in OSINT #2023-05

【セキュリティ事件簿#2023-146】オーエスジー株式会社　ウイルス感染によるシステム停止事案発生のお知らせ　2023年4月14日

オーエスジー株式会社（代表取締役社長：大沢伸朗　本社：愛知県豊川市本野ケ原三丁目22番地）は、2023年4月12日早朝に当社基幹システムサーバで障害を検知し、確認したところ、一部のサーバとパソコン端末でウイルス感染を確認いたしました。

ただちに、サーバの停止、ネットワークの遮断を行い、全てのシステムを停止し、影響範囲等の特定および対策を進めながら順次復旧作業を進めております。

ご関係の皆様に多大なるご迷惑、ご心配をおかけしておりますことを深くお詫び申し上げます。これまでに判明している経緯と対応につきまして、以下の通りお知らせいたします。

1.これまでの経緯

【4月12日（水）】
午前6時頃　　当社基幹システムサーバにて障害の発生を検知
午前8時頃　　当社基幹システムサーバでウイルス感染を確認
午前10時頃　取引先様及び外部とのネットワーク遮断
終日　　　　全サーバ、パソコン端末を停止

2.現況および今後の対応

IT部門主導による感染拡大防止措置とともに、全社対策本部を立上げ、外部専門家の起用ならびに、しかるべき機関に相談を行っております。

本件の全容解明と一刻も早い復旧に向けて総力を挙げて取り組んで参ります。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-145】和泊町　個人情報の漏洩についてのお詫び　2023年4月13日

このたび、町ホームページに掲載している「第1回坂道CHAMPIONSHIPS」の申込フォームで，申し込まれた方の個人情報が表示される状態となっておりました。

申し込まれた方々に多大な迷惑とご心配をおかけしたことについて、心よりお詫び申しあげます。

今後、再発防止に努めるとともに、経緯などについて以下のとおりお知らせします。

【事案が発生した組織】

和泊町土木課

【流出元】

当該組織

【流出させた者】

職員（従業員）

【流出に係る経過】

・令和５年４月６日発生
・令和５年４月６日発覚
・令和５年４月 13 日公表

【事案の概要】（流出した契機）

イベントの申込み受付を Google フォームで行っていたが，誤って，申込みした方の情報が表示される設定となっていた。担当者の知人から連絡があり発覚。7 時間ほど当該 Google フォームにアクセスすれば個人情報が閲覧できる状態になっていた。

【流出した個人情報の概要と件数】

（情報概要）

氏名，電話番号，メールアドレス

（流出件数）

氏名３件，電話番号及びメールアドレス２件

【被害状況】

無し

【事案発生の原因】

Google フォームの公開範囲の設定誤り

【流出した個人情報の本人への対応】

電話連絡で内容説明し謝罪した。

【組織の対応】（再発防止策等）

Google フォーム作成後に複数人で動作チェックを行うなどする。
新聞社等へ公表する。

【警察への連絡状況】（連絡先部署名及び電話番号を記載）

連絡していない。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-144】小学館　メールアドレス流出に関するお詫び　2023年4月14日

この度、弊社HugKum編集部が、2023年4月16日開催の「花まる学習会代表　高濱正伸先生×松丸亮吾さんトークセミナー　ワクワク学ぶ地頭力の育て方～『好き！』のパワーが子どもを伸ばす〜」イベントについて、当選者の皆様へ電⼦メールを送信する際に、編集部の送信者が操作を誤り、受信者が他の当選者のメールアドレスを見られる状態で送信してしまいました。

当選者の皆様ならびに関係者の皆様に、多大なるご迷惑とご心配をおかけしました。深くお詫び申し上げます。

このような事態を招いたことをHugKum編集部として重く受け⽌めております。今後は、個人情報の取り扱いに関してより一層注意するとともに、管理体制の見直しと強化に取り組み、再発防止に努めてまいります。

1.本事案の概要

2023年4⽉12⽇16時頃、イベント当選者の皆様に電⼦メールを一斉送信した際、本来であればアドレスが他の受信者に表示されない「BCC」で送信すべきところ、送信者の操作ミスにより、誤ってアドレスを「TO」に入力して送信してしまいました。そのため、受信者は相互にメールアドレスを確認できる状態になってしまいました。

2.流出件数

メールアドレス311件

3.参加希望の皆様への対応

2023年4月12日17時37分、該当する311名の方々に対してメールアドレス流出に関するお詫びと当該メールの削除をお願いするメールを送信いたしました。

4.再発防⽌策

今後、複数の宛先にメールを送信する際には、宛先の入力（TO、CC、BCC）について複数名で確認してから送信することを徹底いたします。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-143】東京都　ホームページ掲載データへの個人情報の誤掲載について　2023年03月23日

当局において、以下の通りホームページに掲載したアンケート調査結果への個人情報の誤掲載が発生しましたので、お知らせします。

関係者の皆様には、多大なご迷惑をおかけし、深くお詫び申し上げます。

1　概要

当局が、都の施策の認知状況や都に求める取り組み等、スタートアップとの協働に関するアンケート調査の結果を、東京都オープンデータカタログサイトに掲載した際、データに個人情報（会社名、氏名、メールアドレス）が含まれていた。

サイト上の画面では、漢字や仮名文字のデータは記号等に変換され、判読できない状態であった。メールアドレスについても、セルの操作をしなければ判読できない状態であった。しかし、サイトからデータをダウンロードすると、データ末尾の個人情報が判読可能な状態であった。

2　経緯

令和4年2月4日（金曜日）午後に、会社名等を含むデータを東京都オープンデータカタログサイトに掲載。約230名分の会社名、氏名、メールアドレスがダウンロード可能な状態となっていた。

令和5年3月13日（月曜日）午後に、デジタルサービス局職員が当該サイト上のデータを点検したところ、個人情報が含まれていることを発見し、当日中に当該データを削除した。

3　その後の対応

該当の方々には、謝罪を行っています。

なお、現時点で、被害の報告はありません。

4　再発防止策

今後、このようなことを起こさないよう、掲載するデータに個人情報が含まれないことを、複数の職員でチェックすること等を徹底します。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-142】丹後ガス株式会社　メール誤送信による個人情報漏えいについてのお詫び　2023年3月13日

このたび、弊社のＷｅｂ照会サービスをご利用のお客様に対してＬＩＮＥ登録のご案内メールを送付する際、お客様のメールアドレスが表示される形で一斉送信したことが判明いたしました。

お客様に多大なるご迷惑とご心配をお掛けしましたことを深くお詫び申し上げます。

経緯

2023年3月10日（金）14時54分、弊社のＷｅｂ照会サービスをご利用のお客様に対してＬＩＮＥ登録のご案内メールを送信いたしました。メール配信後、お客様からのご指摘を受け、本来であれば「ＢＣＣ」にて送信すべきところ、誤って「ＣＣ」に送信したことを把握いたしました。尚、誤送信されたメールアドレスの件数は386件で、メールアドレス以外、住所や電話番号も含めその他のお客様情報は含まれておりません。

お客様への対応

2023年3月10日（金）15時18分、該当するお客様に対してメールアドレス流出に関するお詫びと当該メールの削除をお願いするメールを送信いたしました。

今後の対応

今回の事象を重く受け止め、今後は個人情報の取り扱いに一層の注意を払い、弊社社員に対する教育を改めて徹底し、再発防止に全力で取り組む所存です。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-141】統計数理研究所　サーバに対する不正アクセスについて　2023年4月12日

2023年4月3日に，統計数理研究所（以下，統数研）公募型共同利用の2018年度以前に採択された研究課題に関して，研究参加者のメールアドレスが漏洩した可能性があることが判明いたしました．

すでに対象となるメールアドレス宛には，個別にお詫びをお送りしております．

利用者の皆様に多大なるご迷惑をお掛けしたことを，深くお詫び申し上げるとともに，今後，運用システムのセキュリティ対策および監視体制の強化を行い，再発防止を図ります．

１．経緯と対応

4月3日に，統数研の共同研究データベースを運用しているサーバに対してメールアドレスの情報を狙ったSQLインジェクション攻撃があったことが判明しました．サーバのログを確認したところでは，2月7日および3月16-17日に攻撃を受けた記録がありました．現在，当該サーバの運用を停止，外部ネットワークとの接続を遮断し，被害状況の詳細を調査中です．

２．流出した可能性がある情報

2018年度以前に採択された共同利用・共同研究課題に関して，研究参加者のメールアドレス5527件が流出した可能性があります．メールアドレス以外の情報（氏名，所属，パスワードなど）を狙った攻撃の形跡はありませんでした．

３．流出の原因

サーバ設定に不備があった可能性が考えられ，現在調査中です．

４．対象者様へのお願い

メールアドレスが漏洩していた場合，迷惑メールの送信などに悪用される可能性があります．不審なメールを受信した場合は，直ちに破棄してくださいますようお願いいたします．

パスワード等が漏洩した可能性はなく，パスワード使いまわしによる他システム侵害などの危険はありません．

リリース文（アーカイブ）

【セキュリティ事件簿#2023-140】静岡県立高校のサッカー部、280人分の個人情報が入ったUSBメモリーが紛失

最近、県立浜松湖南高校のサッカー部の保護者会が管理していたUSBメモリが、顧問の教員が紛失したことが発表されました。このUSBメモリには、2014年度から2021年度までの間に在籍していた約280人分のサッカー部員の個人情報が記録されていました。氏名や住所、電話番号、さらには顔写真も含まれていました。保護者会の役員の情報も含まれていたようです。

県教育委員会によると、USBメモリは普段保護者会が保管していましたが、新年度を控えた3月下旬に、情報を更新するために紙の資料と一緒にサッカー部の顧問の教員に渡されたとのことです。教員は職員室でUSBメモリを保管していましたが、2023年4月10日に返却のために探したところ、USBメモリだけが見つからず紛失したことに気付いたそうです。教員は「どこに保管していたか覚えていない」と話していて、全職員で職員室を探しましたが見つかっていません。

幸いなことに、今のところこの個人情報が悪用されたという報告はありませんが、県教育委員会の高校教育課は「このような事案が起きたことは深刻に受け止めている。全県立学校に再発防止の徹底を注意喚起する」としています。

参考：サッカー部関係者の個人情報含むUSBメモリが所在不明 - 静岡県立高

【セキュリティ事件簿#2023-139】株式会社Ｊヴィレッジ　お客様の個人情報の流出に関するお詫びとお知らせ　2023年4月11日

株式会社 J ヴィレッジ（以下「弊社」といいます。）が、楢葉町からの委託を受け運営しております「ならはスカイアリーナ」のホームページにおいて、弊社保有の利用者様の一部の個人情報が流出した（検索可能な状態に置かれた）ことを確認いたしましたので、お知らせいたします。

お客様からお預かりした大切な個人情報を適切に管理できず、対象のお客様をはじめ多くのご関係先にご迷惑ならびにご心配をおかけし、深くお詫び申し上げます。

確認できた事実関係については以下のとおりです。

１．経緯

ならはスカイアリーナでは、会員様以外のビジター様（都度の利用者様）のご利用に当たり、事故があった場合の救急対応のため、事前に氏名、住所（市町村まで）、電話番号、生年月日、性別、血液型、学校名・保護者名（未成年の場合のみ）、緊急連絡時電話番号、健康に関する留意事項等の個人情報をいただいております。弊社では、これらの情報を Excel ファイルにデータ化し保管しておりました。

一方で利用者様の利便性を図るため、ならはスカイアリーナの各施設の予約状況をお知らせする「予約状況カレンダー」をホームページに掲載しておりました。

2023 年１月 27 日に、弊社従業員が、ホームページの「予約状況カレンダー」に予約状況を示すPDF ファイルを掲載すべきところ、誤って、2021 年 4 月 2 日から 2023 年 1 月 24 日までのビジター利用者の個人情報を記録した Excel ファイルを掲載してしまいました。

翌 1 月 28 日、お客様からのご指摘があり、直ちに Excel ファイルと PDF ファイルの置き換え作業を行い、ホームページ上からは Excel ファイルを直接閲覧できない状態になりました。

弊社従業員は、誤って記載した Excel ファイルを、利用状況を示す PDF ファイルに置き換えたことで、誤った Excel ファイルが削除されたものと考えておりましたが、サーバー上からは完全に削除されておらず、個人情報の記載のある Excel ファイルが残された状態となっており、複数の検索ワードを組み合わせて入力することにより、当該 Excel ファイルが検索で表示される状態になっておりました。

2023 年 4 月 7 日、第三者様からのご指摘により、個人情報の記載のある Excel ファイルが検索可能な状態にあることが判明し、同日、サーバーから同Excelファイルを完全に削除いたしました。

２．流出した個人情報

（１）対象のお客様

ならはスカイアリーナにおいて、2021 年 4 月 2 日から 2023 年 1 月 24 日までのビジターでの利用者様（月会員など、他のお客様は対象ではございません。）

（２）流出した個人情報

氏名、住所（市町村名まで）、電話番号、生年月日、性別、血液型、学校名、保護者名（未成年の場合）、緊急連絡時電話番号、健康に関する留意事項

（クレジットカード情報や口座情報など、お支払いに関する情報は流出しておりません。）

（３）流失した人数

１,２１４人

なお、現在までに、個人情報を悪用された等の被害の報告はされておりません。

３．原因

当該事案発生の原因は、スタッフが不注意によって操作ミスをしてしまったことと十分な確認を行わなかったこと、ホームページの仕様を正しく認識していなかったことによるものです。

４．今後の対応

対象のお客様には、順次個別に電話にてお詫びとご報告をいたしております。

また、本件につきまして、個人情報の保護に関する法律に基づき、個人情報保護委員会へ報告いたします。

その他、不明な点がございましたら末尾に記載の問い合わせ先にお問い合わせいただきます

ようお願いいたします。

対象のお客様をはじめ多くのご関係先にご迷惑ならびにご心配をおかけし、あらためて深くお詫び申し上げます。

弊社といたしましては、今回の事案を重く受け止め、社内の個人情報保護対策を強化し、再発防止策の徹底に努めてまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-138】大阪市　保健所における個人情報等を含むデータの持ち出し等について　2023年3月30日

大阪市保健所に勤務する派遣職員が、自宅での業務学習目的のために、個人情報を含むデータを、許可を得ずに自身が所有する端末（以下、「個人用端末」という。）に送信するなど不適切な事務をしていたことが令和5年2月14日（火曜日）までに判明しました。

このたびの事案が発生したことにつきまして、関係者の皆様にご迷惑をおかけし、市民の皆様の信頼を損ねることになったことに対しまして、深くお詫び申しあげますとともに、再発防止に努めてまいります。

1　概要と事実経過

令和5年2月3日（金曜日）に、大阪市保健所で新型コロナウイルス感染症入院医療費公費負担関係業務を行う派遣職員が、様式を変更した資料で業務を行っていることに大阪市保健所職員が気付いたことから、当該派遣職員へ事情聴取するとともに、業務用端末のメール送信状況を調査しました。

調査の結果、当該派遣職員が自宅での業務学習目的のため新型コロナウイルス感染症にり患された方のデータを、持ち出しの許可を得ず個人用端末にメール送信していたことが、令和5年2月6日（月曜日）に判明しました。（当該派遣職員以外に外部へのデータ送信がないことを確認しています。）

また、令和5年1月25日（水曜日）に当該派遣職員が同様の目的で、新型コロナウイルス感染者等情報把握・管理支援システム(HER-SYS)（以下、「ハーシス」という。）に、個人用端末からログインし、PDFファイルをダウンロードしていたことも、令和5年2月14日（火曜日）に判明しました。

2　データに含まれる個人情報等

個人の名前、生年月日、性別等を含む保健所内で取り扱う個人情報で、件数は次のとおりです。

メール送信した個人情報：17,914件
ハーシスからダウンロードした個人情報：最大3件

3　判明後の対応

判明後すぐに本市と派遣元事業者とが協議し、派遣元事業者において、当該派遣職員から個人用端末の提出を受けたうえで、第三者へのデータ流出がないこと、データが完全に削除されるなど、今後データの利用が不可能な状況にあることの調査を実施することとしました。

本調査は令和5年3月中旬まで実施され、3月28日（火曜日）に派遣元事業者から、「個人用端末について、外部の専門業者に調査を依頼した結果、また、当該派遣職員が利用するクラウドサービス上の調査について当社において調査した結果、いずれも第三者への送信は確認されず、データも残存しないことから今後データの利用が不可能な状態であることを確認した。」と報告書の提出がありました。また、報告書よりハーシスからダウンロードしたPDFファイルは3件のみであることを確認しました。

なお、当該派遣職員については、令和5年2月7日（火曜日）以降、本市への派遣はありません。

4　原因

当該派遣職員の個人情報等の取り扱いに関する認識が不十分であり、個人での業務学習目的のため、業務用資料データを持ち出しの許可を得ずメール送信したことが原因です。

また、ハーシスのログインについて、2次認証のアクセス者を目視で確認のうえ認証していましたが、適切にできていませんでした。

5　再発防止について

派遣元事業者により派遣職員全員に対して、個人情報保護に関する研修を実施しました。本市からも改めて、個人情報をはじめとする業務用資料は職場外への持出厳禁である旨、周知徹底を図りました。また、業務用端末からメールを送信できないように制限をしました。

加えて、ハーシスのログインの認証を行う職員に対し、2次認証の重要性を改めて周知するとともに、目視によるアクセス者の確認に加え暗証番号の伝達による認証を行うこととし、これまで以上にアクセス者の確認を徹底しました。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-137】中学校で個人情報が流出！？　校務員のコピー事件から始まったSNS騒動とは？

箕面市教育委員会は、市立第一中学校で個人情報に関する資料が生徒側に流出したことを2023年4月7日に発表しました。男性校務員が教職員の書類を無断でコピーし、それを撮影した生徒がSNSを通じて別の生徒らに送っていたということです。

流出した内容は、新3年生6クラス234人分の学級編成の検討資料、問題行動・不登校・就学援助対象の生徒名、病気や家庭状況に関する手書きメモなどでした。現在は削除されているとされています。

校務員は4日に新3年生の副担任に「クラス分けの資料を見せてほしい」と理由を告げずに依頼。副担任が職員室の自席からファイルを取り出して生徒の個人情報に関する資料（A3判1枚）を見せたあと、無施錠の自席の引き出しにしまったとのことです。

校務員はこのファイルを無断で取り出して、資料をコピーし、部活動で登校していた普段から付き合いのある生徒4人に、コピーを校務員室で見せました。この生徒らはスマートフォンのカメラで資料を撮影し、その後、インスタグラムのダイレクトメッセージやLINEを使って別の生徒らに転送していたということです。なお、学校側はスマホの持ち込みを禁止していました。

4日夜、画像を受け取った生徒の保護者から学校側に連絡があり、この問題が発覚しました。石橋充久校長は「このような事態を起こし、申し訳ない。様々な子どもが傷ついており、心のケアをしていく」と話しています。

参考：箕面市の中学校務員、問題行動や不登校児の情報コピーし生徒に見せる

【セキュリティ事件簿#2023-136】メディカル＆ヘルスケア甲賀システム　個人情報（写真）流出の件について　2023年4月11日

平素は、わたくしどもの施設運営にご理解ご協力を賜り誠に有難うございます。

このたび、グループホームそまの夢に従事している非常勤職員（以下、当該職員とします。）が、個人の SNS（インスタグラム）に自身と利用者様が一緒に写っている写真を、許可なく投稿していたことが判明致しました。当該職員は良い施設で利用者様に囲まれながら楽しく働いている日常を SNS でフォロワーに発信したかったようですが、弊社はコンプライアンス上の問題があると判断し、本人に事実関係を確認致しました。

当該職員によれば、令和５年 2 月中旬にこの写真を投稿しており、自身とつながりのあるユーザーであれば閲覧できる状態にあったということですが、問題が発覚した 3 月 16 日当日中に該当部分全ての削除を行っております。また、掲載写真に該当した利用者様とご家族様につきましては、既に先日より個別にお詫びと事実関係のご説明をさせて頂く機会を頂戴致しております。

現在、当該職員は既に退職し在籍しておりませんが、弊社では今回の事態を厳粛に受け止め、在職中の全職員にむけてコンプライアンス研修、就職時の誓約文書の見直し、管理体制の見直し等を行い、再発防止に努めて参ります。

今回、皆様にご心配ご不安をお掛けすることとなりました事は誠に遺憾であり、大変申し訳なく思っております。今後は決してこのようなことが無いよう、また、皆様からの信頼を失わないよう、精一杯努力することをお約束致します。これからも何卒宜しくお願い申し上げます。

なお、本件についてのお問い合わせなどございましたら、下記までご連絡いただければ幸いです。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-135】ESRIジャパン株式会社　ESRI ジャパンを装った不審メールに関するお知らせ　2023年3月24日

先般、弊社従業員の PC がマルウェア「Emotet（エモテット）」に感染し、弊社従業員を装った不審なメール（なりすましメール）が、複数の方に送信されたことが確認されましたが、3 月 23 日になり弊社を装った不審メールの再活発化、および不審な電話でのコンタクトが発生しておりますのでご注意ください。

不審メール（なりすましメール）の見分け方として、送信者は弊社従業員名が表示されていますが、弊社メールアドレス（*****@esrij.com）とは異なる第三者のアドレスから送信されております。

これまでの ZIP 形式で圧縮された Word や Excel ファイルに加え、新たに OneNote ファイルが添付されたパターンも確認されております。これらのファイルは、「コンテンツの有効化」ボタンをクリックしたり、ファイル内に書かれた偽の指示に従って操作したりすると、コンピュータウイルスへの感染、不正アクセス、そしてウイルスメールの再拡散の恐れがあります。

疑わしいメールを受信された場合は、送信者メールアドレスをご確認の上、弊社以外のメールの場合はそのまま削除していただきますようお願い申し上げます。

また、弊社従業員を装って電話をかけ、請求書メールの件と称して情報を聞き出そうとするケースも報告されています。電話の内容に不審な点がございましたら、恐れ入りますが弊社担当まで確認をお願いいたします。

弊社では引き続き、セキュリティ対策のより一層の強化に取り組んでまいります。

何卒、ご理解とご協力を賜りますようお願い申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-134】建設ドットウェブ　ウイルス感染によるデータ流出の可能性についてのお知らせ　2023年3月17日

このたび、当社で利用するパソコンがウイルスに感染し、個人情報等のデータ流出の可能性があることを確認しました。

関係者の皆さまには、多大なるご迷惑とご心配をお掛けすることとなり、深くお詫び申し上げます。

1．概要

社内の共有ファイル管理用パソコンにアクセスできない事態を確認し、調査を行ったところ当該パソコンを含む一部のパソコンがウイルスに感染していることがわかりました。

感染拡大を防止するため、ただちに該当機器をネットワークから遮断いたしました。

現在、流出の可能性のあるデータの確認作業を進めております。

2．今後の対応

専門機関による調査を実施し、調査結果をホームページにてご報告いたします。

これまでも個人情報をはじめとするデータの適正な管理に努めておりましたが、このたびの事態を重く受け止め、再発防止に取り組んでまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-133】株式会社ソルパック　弊社サーバーに対する不正アクセスに関するお知らせ　2023年4月7日

2023年4月5日に、当社のサーバーに不正なアクセスがあったことを確認いたしました。

すでに、被害サーバーはネットワークから遮断されております。

現在、関係各所に報告するとともに、不正アクセスの影響および原因について、情報漏洩の有無を含め警察およびセキュリティ専門会社など関係機関の助言をもとに対応を進めております。

なお、個人情報保護委員会への速報は行っております。

今後、お知らせすべき事項が判明しましたら、改めて開示いたします。

関係各位には、多大なるご迷惑およびご心配をおかけしますことを深くお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-132】株式会社ワン・ダイニング　第三者からの不正アクセスに関するお詫び　2023年4月14日

平素は、「ワン・ダイニング各ブランドサイト」をご利用いただき、お礼申し上げます。

この度、第三者からの不正アクセスがあり、アクセス時に不正なリダイレクトが行なわれる事案を確認いたしました。

期間　　4月13日　午後2時頃　から　午後6時頃まで

このことにより正常に閲覧出来ない状態となっておりましたため、サーバー内にあった不正なプログラムをすべて削除し、現在は正常に復旧しております。

お客様の個人情報につきましては、漏洩することはございません。

今後は、より一層のセキュリティ対策を講じ、お客様に安心してご利用いただけるよう努めてまいります。

何卒ご理解いただけますようお願い申し上げます。

リリース文（アーカイブ）

ランサムウェアギャングが発表した被害組織リスト（2023年4月版）BY DARKTRACER

Dark Tracerによる、2023年4月のランサムウェア被害を受けた日系企業。

・オーエスジー株式会社（osg.co.jp）

・双信電機株式会社（soshin.co.jp）

・タイガー魔法瓶株式会社（tiger.jp）

【セキュリティ事件簿#2023-131】株式会社フューチャーイン　議会ソリューションサービス一時停止に係るお詫び　2023年4月14日

議会ソリューションサービスを提供しているサーバ内への不正侵入が確認されたことから、2023年4月11日（火曜日）15時頃より、サービスの提供を一時停止しております。

関係者の皆様に、多大なるご迷惑とご心配をおかけしましたことを深くお詫び申し上げます。

このような事態を招いたことを重く受け止め、再発防止に努めてまいります。

1.停止しているサービス

会議録検索システム
議会中継システム
登退庁・在席表示確認システム
会議開催表示システム

2.経緯

4月11日　サーバへの侵入・改ざんが目的とみられるID・パスワードを総当たりでアタックするサイバー攻撃を受け、一部のサーバへ侵入の形跡が発見された。
4月11日　被害拡大防止のため、サーバへの外部からのアクセスを遮断。
4月12日　システムの脆弱性を特定。

3.現在の対応

本件を検知後、速やかに不正アクセスおよびIDとパスワードの不正取得に対する対策を実施しています。

また、現時点で情報漏えいや悪用された事象は確認されておりません。

サイバー攻撃への対策実施で安全が確認された後、サービスを再開します。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-130】愛媛県東温市　「優越感」の魅力に取りつかれてデータを不正持出した職員が処分される

東温市の市役所で、なんとシステム管理者権限を悪用して、市長を含む職員363人分の給与明細データを不正に複製！さらに、監視カメラの管理サーバーからは、複数の女性職員の画像データも盗んでいたとか！

そして、その犯人はなんと、市社会福祉課の男性主任主事（34）！しかも、この職員、おととしの12月に給与明細書のデータをUSBで持ち帰って自宅のパソコンに保存していたというから、計画性もあるようですね。

一般市民の被害や個人情報の外部漏えいは確認されていないとのことですが、それでもこれだけの悪事を働いたので、停職4カ月の懲戒処分は当然でしょう。市長も『市政や公務員への信頼を大きく失墜させたことは誠に遺憾であり、市民に深くおわびする』とコメントしています。こんな事件が二度と起こらないよう、綱紀粛正に努めてほしいものです！

参考：「優越感」感じデータを不正持出、職員を懲戒処分 - 東温市

【セキュリティ事件簿#2023-129】茨城県　メールの誤送信による個人情報の漏えいについて　2023年3月25日

茨城県が社会福祉法人同仁会に委託して実施している茨城県発達障害者支援センター「COLORS つくば」の相談業務において、個人情報が漏えいする事案が発生いたしました。

今後二度と同様の事案が発生しないよう、再発防止に努めてまいります。

１概要

（１）状況

３月１１日、発達障害者支援センターの相談支援担当職員が、相談者の依頼を受けて、面談結果をメールにて相談者に送信する際に、メールアドレスを誤入力したため、第三者に送信してしまった。
当該メールには相談者の氏名、発達障害に関する相談内容、発達障害者支援センターから提供した情報が記載されていた。
発覚後、誤送信先に削除依頼メールを送信するとともに、相談者本人に謝罪をした。
現在、誤送信先に対して連絡依頼をしているが応答なし。

（２）漏えい件数１件（メール１通）

２原因

送信前にメールアドレスの確認を充分に行わなかったため
ファイルを暗号化しておらず、受信した第三者が閲覧可能な状態にあったため

３再発防止策

事業委託先である社会福祉法人同仁会に対し、以下の再発防止策等の徹底を指示する。

（１）個人情報をメール送信する場合は、ファイルの暗号化を徹底し、万が一、本来の送信先以外に送達しても第三者が情報を得ることが出来ないようにする。

（２）誤送信を防止するため、相談者から、事前に空メールを送信していただき、返信する方式に改める。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-128】千石電商　メールアドレス流出に関するお詫びとお知らせ　2023年4月11日

この度、弊社オンラインショップをご利用のお客様より迷惑メールが届くようになったとの指摘があり、調査いたしましたところ、2023 年 4 月 8 日オンランショップに不正アクセスがあり、ご購入者様・ご利用者様のメールアドレスが流出したことが判明いたしました。

流出の可能性のあるお客様に関しては個別に詳細をメールにてご連絡いたしました。弊社をご利用いただいたお客様、及び関係者の皆様には、多大なご迷惑とご心配をおかけいたしますことを、深くお詫び申し上げます。

【経緯】

1. 2023 年 4 月 7 日夜不正アクセスが発生。

2. 翌 4 月 8 日にお客さまからの申告があり調査を開始。

3. 同日 17 時頃にアクセス遮断を実施。

【影響範囲】

1. 流出したのはご購入者様・ご利用者様のメールアドレスのみで、会員登録せずに購入された方も対象となります。

【対策および今後の取り組み】

オンラインショップの全てのスクリプトに対して不正アクセス対策を再度実施し、攻撃を回避できることを確認しました。
チェックを強化し、予期しない動作を極力排除しました。
今回の手段以外の攻撃にも対応可能となるよう、包括的な対策を検討・実施します。
個人情報保護委員会、警察、弁護士など関係各機関と連携を取りながら対策を進めます。

弊社では、今回の事態を重く受け止め、今後同様の事態が発生しないよう、引き続き情報セキュリティ対策を強化、再発防止に向けて個人情報の管理強化・徹底に努め、信頼回復に全力を尽くして参ります。

この度は、お客様に多大なるご迷惑をお掛けしましたこと重ねて深くお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-127】国立大学法人金沢大学　個人情報を含むUSBメモリの紛失について　2023年3月6日

この度，本学職員が個人情報を記録したUSBメモリを紛失する事案が発生しました。このような事案を引き起こし，関係の皆様にご迷惑とご心配をおかけしましたことを深くお詫び申し上げます。なお，現時点では，個人情報の漏えいによる被害は確認されていません。

本学では，従来から全教職員に対して，個人情報の厳格な取扱いを求め，情報管理の徹底に努めてまいりましたが，今回の事案を重く受け止め，より一層の意識向上を図り，再発防止について法人をあげて取り組んでまいります。

1．発生状況

令和5年2月3日（金），本学職員が個人情報を記録したUSBメモリを使用し業務を行っていたところ，6日（月）の朝，USBメモリの紛失に気が付きました。その後，学内を探しましたが見つからず，警察に遺失届を提出しましたが，現時点において発見には至っておりません。

このUSBメモリには，本学同窓会会員の個人情報が記録されていましたが，USBメモリにはセキュリティ機能が付いており暗号化されるとともに，個人情報には複数のパスワード設定の対策が施されていました。

2．紛失したUSBメモリに記録されていた個人情報

個人情報の件数　8,910件（郵便番号，住所，氏名，氏名フリガナ)

3．対応状況

該当する同窓会会員の皆様には，お詫びのご連絡をし，今回のことによる被害が疑われる場合には，直ちに本学まで御連絡いただくようご案内しています。

4．再発防止に向けた取組

個人情報が保存された電子媒体の管理をさらに強化・徹底すること，本学の全教職員に対し，通知文書や研修などにより，個人情報を外部に持ち出さないこと，やむを得ず学外に個人情報を持ち出す場合には，適切な許可を受けた上で，パソコン本体はもちろん，保存ファイルの高度な暗号化や強固なパスワード設定を施すなど，ルールに従い個人情報を適切に管理するよう，個人情報管理に対する意識の更なる向上に取り組んでまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-126】株式会社エム・エス・ビルサポート　マルウェア（Emotet）感染による情報流出に関するお詫び、ならびに本件に伴い流出したデータを⽤いた不審メールに関する注意喚起のお願い　2023年3⽉10⽇

この度、弊社の⼀部のパソコンがマルウェア（Emotet）に感染し、過去のメール送受信情報として保存されていた弊社社員、ならびに弊社の御取引先様（ビルオーナー様、仲介業者様、弊社管理物件に⼊居中のテナント様等）のメールアドレス等が流出する事案が発⽣しました。

御取引先様、ならびに関係者の皆様の⼤切な情報が流出する事態となり、⼼よりお詫び申し上げます。

現在、上記以外の影響の有無について引き続き調査するとともに、⼆次的被害や拡散の防⽌に努めております。弊社御取引先の皆様におかれましては、メールに記載された送信者をご存じである先であっても、必ずメールアドレスをご確認頂き、不審なメールを受信された場合は、添付されたファイルやメール⽂中に記載の URL は開かずに、そのまま削除していただきますよう、お願い申し上げます。

弊社ではコンピュータウイルス対策に取り組み、不審メールのブロックなどを進めて参りましたが、今回の事象を受け、更なる被害拡⼤防⽌策の強化に努めるともに、より⼀層の情報セキュリティ対策の強化に取り組んで参ります。

【注意喚起】

弊社にて確認した不審なメールの⼀例

下記以外にも類似したパターンで発信されている可能性があり、⼗分にご注意ください。

差出⼈：弊社社員名（ただし、メールアドレスは不審なメールアドレス）

件名： RE: 弊社社員名

添付ファイル：Word ファイルが圧縮された“zip ファイル”として添付されているケース。

メール本⽂の⼀例：「ご確認をおねがいします」、「宜しく御願い致します」といった⽂章が記載されている。

上記のような不審なメールを受信された場合は、添付されたファイルやメール⽂中に記載の URL は開かずに、そのまま削除していただきますよう、お願い申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-125】株式会社インゲージ　一部のアドレスが不正アクセスを受け、スパムメールの送信に利用された件について　2023年3月16日

弊社の利用する外部メール送信サービスにおいて、一部のアドレスが不正なアクセスを受け、スパムメールの送信に利用されたことが判明致しました。

不正アクセスを受けたアドレスは社内で利用していたアドレスであり、Re:lationのメール送信への影響は無いことを確認しております。そのためRe:lation利用のお客様におきまして何ら問題はありません。また、当社からの情報漏洩も確認されていないことをお知らせ致します。

今後、同様の事象を未然に防止するために、弊社ではセキュリティ対策の強化を図ってまいります。お客様にはご不便とご迷惑をおかけいたしましたことを深くお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-124】福岡県暴力追放運動推進センター、サポート詐欺で相談者ら3,500名の情報流出

暴力団排除の活動に取り組む福岡県暴力追放運動推進センターは、2023年3月20日に職員が使っていたパソコンが一時的に遠隔操作され、相談者の個人情報が外部に流出したおそれがあると公表。

福岡市にある公益財団法人、福岡県暴力追放運動推進センターによると、３日前、職員がパソコンを操作中、画面に「セキュリティ更新」の案内が表示され、その電話番号に連絡。電話の相手の指示に従って操作したところ、突然、パソコンが遠隔操作に切り替わり回線を遮断するまでのおよそ２０分間遠隔操作を許した。

このため、パソコンに保存されていた相談者の氏名や電話番号などおよそ３５００人分の個人情報の一部が外部に流出した可能性が否定できないということで、センターは「自宅に『暴追センター』を名乗る電話や郵便物が届いた場合は不審な点がないか注意してほしい」と呼びかけています。

出典：福岡県暴力追放運動推進センターのパソコンから個人情報流出か

【セキュリティ事件簿#2023-123】和洋女子大学　ノートパソコン及びUSBメモリの盗難に伴う個人情報漏洩について（ご報告）　2023年3月6日

このたび、本学の元非常勤講師（2019年度のみ在籍）の個人所有であるノートパソコン及びUSBメモリがフランスのパリで盗難に遭いました。現時点において、第三者への個人情報の流出及び不正使用等は確認されておりません。

当該ノートパソコン及びUSBメモリには、2019年度に履修した学生171名分の学籍番号・学生氏名・出席状況・成績評価が含まれておりました。

このような事態を招いたことにつきまして、ご迷惑をお掛けした学生の皆様をはじめとする関係者の皆様に対しまして、心よりお詫び申し上げます。

本学では、今回の事態を重く受け止め、深く反省し、再発防止対策を早急に実施するとともに、教職員に対して、今一度、個人情報の適正な取扱いを周知徹底致します。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-122】公立大学法人会津大学　メールの誤送信について　2023年3月15日

このたび、本学において、メールの誤送信により個人情報の漏えいが確認されましたので御報告いたします。

関係者の皆様には、多大なご迷惑をおかけしたことを深くお詫び申し上げます。

本事案を受け、全教職員に対し、個人情報や機密情報の適切な取扱いについて注意喚起等を行い、再発防止に努めて参ります。

なお、現時点で、情報の悪用等の事実は確認されておりません。

＜概要＞

メールアドレスのドメインを本来「@gmail.com」とすべきところを正規ドメインによく似た「@gmai.com」（エルが欠落）としてメールを誤送信した。

　※「@gmai.com」のようなドメインは、ドッペルゲンガー・ドメインと呼ばれ、個人情報を得る目的等のために取得されています。

（１）送信日

　　　2023年1月11日（水）

（２）漏えいした情報等

　　　本学の学生 1 名の氏名、電話番号、メールアドレス

＜経緯＞

　　2023年2月に他機関の事例を受け、本学でも調査を実施した。

　　調査の結果、「@gmai.com」へ送信された上記メール１件が確認された

リリース文（アーカイブ）

【セキュリティ事件簿#2023-121】株式会社サンケイアイ　不正アクセスによるシステム障害に関するお詫びとご報告　2023年4月4日

２０２３年４月３日（月）、当社の業務関連データ等を格納するサーバーに対しランサムウェアによる攻撃があり、保管していた一部のデータが書き換えられる事案が発生いたしました。現時点で判明しております被害の状況および当社の対応状況につきましては、以下のとおりです。

１発覚の日時

２０２３年４月３日（月）午前９時頃

２感染被害

当社、一部社員のPCおよび、サーバー内の一部保管データが、ランサムウエアに感染し、閲覧不能の状態となる。

３復旧の日時

２０２３年４月３日（月）午後５時頃

４対応状況

本件発覚後、ネットワークを遮断し、サーバー管理者および外部の専門業者と連携の上、速やかな復旧を行いました。現在、外部へのデータ流出については確認されておりません。調査の結果を待って改めてご報告させていただきます。

皆様にご心配をお掛けしておりますこと、心よりお詫び申し上げます。当社といたしましては引き続き本件の原因究明と再発防止に努めて参ります。

リリース文（アーカイブ）