【セキュリティ事件簿#2023-245】東京工業大学 在学生の個人情報を誤って添付したメールを在学生宛に送信したことに関するお詫び 2023年6月30日

東京工業大学に在学中の正規課程学生に対して6月28日午後に送信したイベントの案内メールに、学生の個人情報が入ったファイルを誤って添付する事案が発生しました。

該当のメールは東京工業大学 学生支援センター未来人材育成部門が主催する「キャリア何でも相談会」の告知メールです。添付されていたファイルは送信先メールアドレスを設定するためのものですが、本学の正規課程に在籍する学生約1万件の個人情報が含まれていました。学生・教職員が使用する教務システム上の操作を誤った結果、同在籍者のうちメール送信可能な学生へ送信されました。ファイルに含まれていた個人情報には、氏名や大学発行のメールアドレスが含まれている一方で、住所や生年月日のような情報は含まれておりませんが、詳細な項目については学生保護の観点から非公開とさせていただきます。

現在は二次被害を防ぐため、メールを受信した学生に対して該当ファイルの削除をお願いし、相談窓口を設置している状況です。なお、学外への漏洩や情報の悪用など、二次被害については現在のところ確認されておりません。

今回このような事案が発生し、関係者の皆様に大変なご迷惑をおかけすることとなり、深くお詫び申し上げます。

本件に関する事後策については早急に対応を検討するとともに、今回の事案を深く受け止め、今後、このようなことがないように、原因究明と再発防止を徹底いたします。

リリース文（アーカイブ）

【搭乗記】日本航空229便（羽田空港⇒関西国際空港）

 

今年の夏休みは特に何もするつもりが無かったのだが、祝日と会社休日を合わせると4連休～6連休になっていることが判明し、特典航空券を使ってバンコクとハノイを訪れることにした。

バンコクまではJALのマイルを使った特典航空券で、羽田からの直行便ではなく、必要マイル数の少ない関空経由のバンコク行きにした。

そんな訳でとある木曜日の夜に羽田空港到着。

チケットどこで発券してもらおうかとウロウロしていたら国際線乗り継ぎ用のカウンターを発見したので、ここで関空発のフライト含めてチェックインしてもらう。

以前、国内線にもかかわらず、国際線サイズの紙のボーディングパスを持っている人がいて、レア感があってカッコいい印象を持っていた。

今回はそれを期待していたのだが、残念ながら国内線サイズの紙に印字されたボーディングパスだった。

21時前後は羽田空港的に最終便な時間なので、JGC用エントランスもガラガラだった。ちなみにここは朝7時から激混みとなあっている。

手荷物検査を終えてラウンジへ直行。

嬉しいことにおつまみの配布方法がコロナ前に戻っていた。

のんびり過ごしてそろそろ搭乗時刻かなと思ったところ、機材の到着遅れで30分の遅延に。。。

追加で30分ラウンジでゆっくりできるということで、前向きにとらえることにする。

搭乗ゲートに行くと結構人がいた。

この便は関空発の深夜便専用と思っていたが、普通に大阪に戻る人用の最終便としても使えるらしい。

それにしても国内線はステータス持ちが多い。ボーディングブリッジで立ったまま待たされることになったが、↓の写真、前方にいる人は全員ステータスメンバー。

感覚的には搭乗者の15%くらいはJGCやサファイア以上のステータス保持者なのではなかろうか？

安全のしおり。搭乗率はほぼ100%な感じ。

フライト時間は45分。しかも途中気流の悪いところを通過する予定ということで、ドリンクサービスが提供できないかもしれないということだったが、CAさん驚きのスピードでドリンクサービス実施してた。

ちなみにドリンクカップは紙製になっている。漏れないか心配だったが、1回使う分には問題なさそうな感じ。

暖かい飲み物が飲みたくて、コンソメスープをオーダーしてみた。

そうこうするうちに関空着陸。

【Playback of flight JL229 on 10 AUG 2023】

【セキュリティ事件簿#2023-244】株式会社りゅうせきフロントライン 受託事業「ハイサイプロジェクト」ウェブサイトへの不正アクセスによる被害及び個人情報漏洩の可能性についてのお詫び 2023年6月27日

今般、 沖縄総合事務局より受託していた「沖縄総合事務局における地域中小企業・小規模事業者の人材確保支援等事業(ハイサイプロジェクト) 」において、弊社が再委託した株式会社フラッシュエッヂ(以下「再委託事業者」)が運用保守管理していたウェブサイトへの不正アクセスがあり、 サーバー上に保存されていた個人情報が漏洩する可能性があったことが判明しました。

以下の通りお知らせしますとともに、 深くお詫び申し上げます。

【内容】

弊社が受託していた本事業では、 沖縄の中小企業・小規模事業者の皆様が必要とする地域内

外の多様な人材の確保を支援するため、中小企業・小規模事業者の皆様と必要な人材が適切にマッチングできる環境の整備に取り組むための事業を行っていました。

事業の実施にあたっては、 沖縄総合事務局より弊社が受託した上でセミナー等を開催していました。 また、 弊社から再委託事業者へ本セミナー等への案内・参加申込み等を行うためのウェブサイト運用保守管理を委託していました。

今般、再委託事業者にて管理していたウェプサイトに不正アクセスがあり、 調査を進めたところ、本セミナー等への参加申込のため登録された計 668 名の個人情報(氏名・電話番号、メールアドレスなど※1)が漏洩する可能性があったことが判明しました。

このため、ウェブサイトを閉鎖し、サーバー上から個人情報を削除するとともに、現在、弊社から個人情報漏洩の可能性がある方へ連絡を入れさせていただいております。

※1.保有個人情報の項目については、登録していない場合は非該当。

今後、こうした事態を招くことがないよう、 個人情報保護と外部委託事業者の管理を一層徹底し、再発防止に努めてまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-243】株式会社WOWOW お客さまの個人情報漏えいに関するお知らせとお詫び 2023年6月30日

動画配信サービス「WOWOWオンデマンド」（以下、WOD）において、一部のお客さまの個人情報漏えいを確認しました。当該事象を6月22日（木）に確認した後、システム対策をただちに実施いたしました。お客さま情報の不正利用などの事実は現在確認されておりません。お客さまにはご迷惑とご心配をおかけしておりますことを、深くお詫び申し上げます。

現時点で判明した状況について、以下のとおりお知らせいたします。

（1） 概要

下記期間において、WebブラウザでWODにアクセスしてログインしたお客さまは、「マイページ」にて別のお客さまの個人情報の一部を閲覧、クレジットカードの変更登録及びその他会員手続きを行なうことができる状態でした。ただし、氏名、住所、電話番号等の個人を特定する情報は含まれておりません。

（2） 発生期間

2023年6月9日（金）午後1時00分から6月22日（木）午後11時11分の約14日間

（3） 個人情報漏えいの対象となるお客さま

上記の期間において、WODへログインを⾏なった一部のお客さま

（4）WOD利用者で漏えいが発生、又は発生した可能性のあるお客さまの数

現時点で確認されたお客さまは、最大80,879名

（5）個人情報漏えいが発生した可能性がある項目

以下のWOD内から参照できる情報（ただし、氏名、住所、電話番号等の個人を特定する情報は含まれておりません）

　　■ご契約情報（契約種別、月額料金、次回請求予定日、クレジットカード番号（下3桁のみ））

　　■端末名称（例「WOWOWのiPhone」）

　　■お支払い履歴（日時、内容、キャリア決済の種類、クレジットカード番号（下3桁のみ））

　　■お支払い方法（キャリア決済の種類、クレジットカード番号（下3桁のみ））

　　■ご視聴履歴（視聴日時、作品タイトル）

　　■ダウンロード情報（端末OS、ダウンロード日、ダウンロード作品）

　　■お気に入りコンテンツ（作品タイトル）

（6）原因

WODへのログイン処理の際、WOWOWオンラインでのユーザ認証が正しく行なわれなかったため。

（7）実施した対応と現在の状況

6月22日（木）から6月23日（金）にシステム対策を実施し、現在はWODへのログイン処理の際、WOWOWオンラインでのユーザ認証が正しく行なわれております。また、システム対策実施後、個人情報漏えいは確認しておりません。

（8）今後のお客さまへの対応について

現時点で確認された該当の80,879名のお客さまにおかれましては、ひとまず本事象について、本日6月30日（金）中にメールにてお知らせいたします。

本件に関する影響範囲につきましては現在調査中です。登録情報や料金お支払いに影響する可能性があるお客さまにおかれましては、調査結果が判明次第、速やかに個別連絡をさせていただきます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-242】READYFOR株式会社 ユーザーのログイン状態が他のアカウントに置き換わる不具合に関するご報告とお詫び 2023年6月15日

READYFOR株式会社（代表：米良はるか、所在地：東京都千代田区）が運営する、クラウドファンディングサービス「READYFOR」（以下「本サービス」）にて、2023年6月14日（水）14時30分頃より、一部のユーザーのログイン状態が他のアカウントに置き換わる不具合の発生が確認されました。

なお、置き換えられた可能性のあるアカウントユーザーの皆様には、本日より、電子メールにてお詫びとお知らせを個別にご連絡申し上げます。

また、当社では複数の事業を運営しておりますが、対象となったのは、クラウドファンディングサービス「READYFOR」のみとなっております。

本不具合について以下の通りお知らせするとともに、関係するユーザーの皆さまに深くお詫び申し上げます。

1．発覚の経緯及び応急対応

14日18時30分頃、本サービスのユーザーから当社に対し、身に覚えのない操作の履歴が存在するとの問合せがありました。

当該問合せを契機として原因究明を行ったところ、本サービス利用中にユーザーのログイン状態が他のアカウントに置き換わる不具合が生じる可能性があることが発覚いたしました。

そのため、14日20時10分に本サービスを緊急メンテナンス状態とし、一時的に本サービスの利用停止を行いました。

なお、本サービスは、15日7時10分頃に復旧いたしました。

2．発生原因及び再発防止策

当社における調査の結果、14日14時30分頃にリリースしたプロダクトの改修に起因して、本サービスに係るキャッシュサーバーの動作が意図せぬ形で変更されたことが契機となり、本不具合が生じたものと特定いたしました。

そのため、本サービスの復旧に先立ち、当該改修のリバート処理（改修前の状態に戻す処理）及びキャッシュサーバー上からのキャッシュの削除を行いました。

3．影響範囲及び対応状況

（1）本不具合が生じた可能性がある時間帯

本不具合は、本不具合の原因となった改修のリリースから緊急メンテナンスを開始するまでの14日14時30分から20時10分までの間（以下「本時間帯」）生じた可能性があります。

（2）置き換えられた可能性のあるアカウントについて

・置き換えられた可能性のあるアカウント数

当社において本サービス上のログを分析した結果、最大470名のアカウント 最大57名のアカウント（以下「置き換えられた可能性のあるアカウント」）に対して置換えが生じた可能性があると判断しております。これらのアカウントのユーザーの皆さまに対しては、本日より、電子メールにてお詫びとお知らせを個別にご連絡申し上げます。

（2023年6月19日12時追記：追加調査により、置き換えられた可能性のあるアカウントの範囲を絞り込み、現時点で最大57名であることが判明しましたので、修正しております）

・置き換えられた可能性のあるアカウントからのご支援について

置き換えられた可能性のあるアカウントから本時間帯に行われたご支援（43件 7件）に関しては、当社から当該アカウントのユーザーの皆さまに対して有効な支援であるかを確認し、有効性を確認できない場合には、当社の判断で支援をキャンセルいたします。

（2023年6月19日12時追記：追加調査により、本不具合により生じた、有効でない可能性がある支援は現時点で最大7件であることが判明しましたので、修正しております）　

・置き換えられた可能性のあるアカウントの登録情報の漏えいの可能性について  

本不具合により、本サービスの別のユーザーから、置き換えられた可能性のあるアカウントの登録情報が閲覧された可能性があります。なお、当社は本サービスのユーザーのカード番号を保有しておらず、本不具合によるカード番号の漏えいのおそれはありません。

（3）別のアカウントにログイン状態となった可能性のあるユーザーの入力情報について

置き換えられた可能性のあるアカウント上で本時間帯に入力された住所、氏名等のユーザー情報のうち、別のユーザーが入力した情報である可能性がある情報については、個人情報保護の観点から、当社の判断で秘匿処理を行いました。

（4）その他

上記のほか、本時間帯の支援に際して新たに登録されたカード番号については、置き換えられた可能性のあるアカウントからの支援か否かにかかわらず、最大限慎重を期して、すべて削除いたしました。

上記のほか、本時間帯の支援に際して新たに登録されたすべてのカードについて、ご本人様が再度カード情報を登録しない限り、本サービス内で新たな支援での利用ができないようにいたしました。なお、当社は本サービスのユーザーのカード番号を保有しておらず、本不具合によるカード番号の漏えいのおそれはありません（2023年6月15日13時訂正）。

4．6月14日14時30分~20時10分にご支援を行った支援者さま向けのお願い

上記のとおり、置き換えられた可能性のあるアカウントから本時間帯に行われた支援に関しては、当社の判断でキャンセル処理を行う可能性があります。

本時間帯にご支援をされた支援者さまにおいては、ご自身のアカウントの支援履歴および支援の有無をご確認頂けますと幸いです。支援したはずの支援履歴がない場合、当社にご連絡頂けますと幸いです。

5．本不具合を受けて　

本不具合により、ログイン状態の置き換えの影響を受けたユーザーの皆さま、本不具合に伴うご支援のキャンセルの影響を受けた実行者の皆さま、本不具合に起因したサービスの一時利用停止により影響を受けられたすべてのユーザーの皆さまに対し、ご迷惑をおかけしたことを深くお詫び申し上げます。

本不具合の発生を重く受け止め、再発防止に努めてまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-241】那覇市社会福祉協議会 ボランティア登録者情報の漏えいの可能性に関するお詫びとご説明 2023年06月26日

情報漏えいの可能性がある方に対しましては、個別でお詫び及びご説明の文書をお送りしております。

また、文書中のございます別紙の内容は以下の通りです。

【経緯】

令和5年5月26日（金）に、「ボランティア登録情報がインターネット上で閲覧可能になっている」とのご指摘を外部から受け、事実関係を調査いたしましたところ、令和3年度にアップロードしたチラシに掲載したボランティア登録用QRコードのリンク先からある項目をクリックすると、回答者情報が閲覧可能となっていたことが判明しました。

 

【原因】

令和3年度当時、本会ホームページ（以下、HP）で、「令和3年度ボランティア保険案内」チラシを「ボランティア事業」ページ及び「お知らせ」ページに公開する準備をしておりました。公開前にリンクのミスに気付き、チラシの修正や本会HPの「ボランティア事業」ページには修正済みチラシをアップしました。しかし、「お知らせ」ページのチラシについては差替えができておらず、閲覧できる状態のまま公開しておりました。窓口での登録や、新規登録者への呼びかけについては修正したチラシや「ボランティア事業」ページを使用していたため、発覚が遅れました。

 

【閲覧の可能性がある範囲】

・閲覧の可能性がある期間（情報が閲覧できる状態だった期間）

　令和3年4月1日～令和5年5月26日

・閲覧の可能性のある人数　47６名

・閲覧の可能性の元となったデータについて

　那覇市ボランティア・市民活動センターのボランティア個人登録用フォームから登録された情報

・閲覧の可能性のある個人情報について

氏名、生年月日、住所、電話番号、メールアドレス、活動マッチングに関する事項等 

 

【判明後の対応】

令和5年5月26日に速やかに、登録フォームの非公開化などを行うとともに、法人として原因究明などの調査や対応の検討を開始しました。これまでに、該当するフォームやHPを抹消するなど、本事案における更なる漏えいを発生させない措置は完了しております。

漏えいの可能性のある方に対して、文書またはメールにより経緯を説明し、謝罪致しました。

なお、これまでに情報の流出及び、不正使用等の事実は確認されておりませんが、今後とも漏えいの可能性のある方に対して、誠意ある対応を行ってまいります。　

 

【再発防止に向けて】

本会としましては、今回の個人情報漏えい事案は、重大な問題として認識しております。

最初のチラシ作成、HP掲載時、修正作業、各段階での複数の現場担当者及び管理職による確認を怠っておりました。その結果、外部から指摘されるまで、約2年2か月もの長期間、外部から閲覧可能な状態となっておりました。

今回の事案及びその問題点と再発防止策を全職員間で共有し、改めて、個人情報に関する管理方法について、徹底してまいります。

また、再発防止策として、情報掲載時において、現場・管理職による複数名での確認、毎月1回定期的に、ホームページを担当者がチェックし、管理職に報告するなどの体制を構築いたしました。

本会では、これらの手段を講じて同様の事案の再発を防止するよう努めて参ります。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-240】ふくい女性財団 きらめきフェスティバル2023「記念講演YouTube配信」申込者 の個人情報漏えいに関するお知らせとお詫びについて 2023年6月26日

当実行委員会が６月２４日に主催しました「きらめきフェスティバル2023」における記念講演（講師：ＡＥＲＡ編集長 木村恵子 氏） を、後日申込者限定で配信するため、６月１日（木）より、YouTube配信申込みを受付けているところですが、前に申込んだ方の個人情報（氏名および電話番号のみ）が、後に申込みを行った方に閲覧可能な状態となっていたことが判明しました。（現在は解消済み）

YouTube配信を楽しみにされてお申込みをいただいた方々と関係者の皆様方に、多大なるご迷惑とご心配をおかけしましたことを深くお詫び申し上げますとともに、本件に関する概要・経緯等を以下のとおりお知らせします。

なお、式典・記念講演のYouTube配信につきましては、予定どおり７月中旬を目途に配信いたします。

１　発覚日時　　　

令和５年６月２４日（土）１３時頃

２　YouTube配信申込の概要

• 本イベントの記念講演のYouTube配信申込をGoogleフォームにより募集
• 申込者は、フォームに、氏名、性別、お住まいの市町、年代、連絡の取れる電話番号、メールアドレスを入力

３　発覚の経緯

• 自身の申込みが完了した時点で、完了画面に表示されている「前の回答を表示する」というリンクをクリックすると、これまでに申込まれた方の申込情報が閲覧できる状態であったことが、申込者から、６月２４日（土）１３時頃に電話連絡があり発覚した。

４　原因

• 当委員会事務局の設定ミスにより、フォームの設定の際、プレゼンテーションの項目で「結果の概要を表示する」の機能が有効になっており、この機能がオンになっていると「前の回答を表示」のリンクが有効になり、フォームで回答されたアンケート等の集計結果が表示されてしまう。
• 今回は、性別、お住まいの市町、年代はグラフで表示され、個人の特定にはつながらないが、申込者の氏名および連絡の取れる電話番号が表示される状態であった。（メールアドレスは表示されない。）
• フォームの設定に、プレゼンテーションの項目で「結果の概要を表示する」の機能があり、この機能がオンになっていると「前の回答を表示」へのリンクが有効となり、Googleフォームで回答されたアンケート等の集計結果が表示されてしまう。

５　情報漏洩のあった可能性があった期間　

令和５年６月１日（木）１７時～６月２４日（土）１３時１５分

• ６月　１日（木）１７時
  You Tube配信申込用のGoogleフォームをホームページにアップ
  
  
• ６月２４日（土）１３時頃
  申込者から実行委員会への問い合わせにより、申込者の個人情報が情報共有できる状態となっていることが発覚
  
  
• ６月２４日（土）１３時１５分
  当該フォームの原因を発見し、表示設定をオフに変更
  以後、「前の回答を表示」が表示されなくなり、他の申込者の情報閲覧は出来ない状態とした。

６　情報漏洩のあった可能性があった方の数　　　

６月２４日１３時１５分現在までの申込者　２３名

７　情報漏洩のあった可能性がある個人情報　　

申込者の氏名および電話番号

８　対応状況

６月２４日（土）夕方～６月２５日（日）　

　YouTube配信申込者２３名に対して、電話にて直接お詫びするとともに、お詫び状をメール送信　

６月２６日（月）　　本お知らせを、ふくい女性財団ホームページ等にて公表

９　再発防止策

• 今後、Googleフォーム作成に当たっては、設定ミスを防ぐため、フォーム作成以外の職員が公開前に実際に操作し、設定ミスがないかテストすることを職員に徹底します。
  
  
• さらに、当実行委員会事務局を担当する（公財）ふくい女性財団において、情報セキュリティポリシーおよび個人情報保護規程に基づき、セキュリティ対策および監視体制の再点検および強化を行い、再発防止に努めてまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-239】白川村 ふるさと納税レビューキャンペーンにおける個人情報漏洩に関するお詫びについて 2023年6月26日

白川村ふるさと納税寄付者様を対象に実施した「令和５年度白川村レビューキャンペーン」において、個人情報を含む回答者のアンケート内容がほかの回答者に閲覧及びダウンロードできる状態であったことが判明しました。このため急遽レビューキャンペーンのアンケートを中止させていただきました。

ふるさと納税寄付者の皆様には、多大なるご迷惑及びご心配をお掛けすることになり、深くお詫び申し上げます。庁内調査のうえ、アンケートにご回答いただいた82名の方には、個別に連絡を差し上げ、第一報としてお詫びとご報告をさせていただいております。

併せて、82名の個人情報を閲覧できた可能性がある12,401名にご報告とデータの消去及び利用をしないよう依頼いたしました。これまでに個人情報の漏洩による被害発生の報告はございません。

なお本件について、本日、個人情報保護委員会へ報告し、記者会見を開き公表いたしました。

このような事態が再び発生しないよう、厳正な対策を講じ、情報管理の強化を図ると共に、再発防止に向けた体制を整えて、ふるさと納税はもちろん、行政全般の信頼性を高めるよう一層努力をしてまいります。

最後に、今回の不手際によりまして、ご迷惑をお掛けいたしました皆様、関係者の皆様に改めて心からお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-238】社会福祉法人あじろぎ会宇治病院 不正アクセスによる情報流出の可能性に関するお知らせとお詫び 2023年6月12日

平素より格別のご高配を賜り厚く御礼申し上げます。

先般、当法人は第三者による不正アクセス攻撃を受け、当法人が保有する個人情報の一部がランサムウェアにより暗号化されたこと (以下「本件」という) が判明しました。

当法人といたしましては、当該不正アクセスの事実から個人情報が外部に流出した可能性を完全には否定しきれないものと判断し、お知らせをさせていただきます。

なお、現時点において、本件に共づく個人情報の不正利用等の事実は確認されておりませんのでご安心下さい。

当法人では今回の事態を重く受け止め、より一層の管理体制の強化と再発防止対策に全力で取り組んでいるところでございます。

このたびは、患者・利用者様をはじめ、多くの皆様に多大なるご心配とご迷惑をお掛けしておりますことを、深くお詫び申し上げます。

本件の対象となる皆様には、書面にてご通知をさせていただくとともに、お問い合わせ専用窓口を設置させていただきます。

今後も引き続き必要な調査を行い、新たな情報が判明した場合には、速やかにホームページ等でご報告をさせていただきます。

●本件の経緯

2023年1月6日未明、第三者による当法人への不正アクセス攻撃を確認、システム内一部データの暗号化と攻撃者による脅迫文を確認しました。 その後、専門機関によるフォレンジック調査の結果、外部へのデータ通信履歴が確認できたことから、情報流出の可能性を完全には否定しきれないものとの判断に全りました。

●情報流出した可能性のある情報

(1) 患者様及び患者ご家族様の情報

・氏名、性別、生年月日、住所、電話番号

(2) 退職者合む当法人職員の情報

・氏名、性別、生年月日、住所、電話番号

●当法人の対応

当法人は、本件発覚後速やかに警察当局や専門家とも連携の上、二次被害防止と再発防止に向けたセキュリティ強化に努めております。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-237】志布志市 本市が運営する「志布志市ふるさと納税特設サイト」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ 2023年6月22日

平素は志布志市ふるさと納税事業にご支援・ご理解を賜り誠にありがとうございます。

この度、本市へのふるさと納税の窓口の一つであります「志布志市ふるさと納税特設サイト」（以下「当サイト」といいます。）において、第三者による不正アクセスを受け、当サイトを通じて本市にご寄附をいただいた方（以下「寄附者様」といいます。）の一部のクレジットカード情報（910件）が漏えいした可能性があることが判明いたしました。

外部専門機関で調査し、現時点で判明した漏えいした可能性のある寄附者様につきましては個別にご連絡いたします。

なお、初期的な調査の結果から、当サイトを通じたクレジットカード決済以外の方法（他のポータルサイトや郵便振替）によりご寄附をいただいた方のクレジットカード情報が漏えいしたおそれはないものと考えております。

寄附者様をはじめ関係者の皆様に多大なるご迷惑及びご心配をおかけする事態となりましたこと、深くお詫び申し上げます。

本市では、今回の事態を厳粛に受け止め、事実関係の調査を続けるとともに再発防止のための対策を講じてまいります。

寄附者様をはじめ関係者の皆様には重ねてお詫びを申し上げますとともに、本件に関する概要につきまして、下記のとおりご報告いたします。

1.概要

2023年4月6日、一部のクレジットカード会社から、当サイトを利用した寄附者様のクレジットカード情報の漏えい懸念について連絡を受けました（なお、2022年10月24日には、本漏えいとは関係しない保守管理上の理由により、すでに当サイトでのカード決済を停止しております。）。

ご連絡をいただいたのと同時に、当サイトの保守管理会社及び第三者調査機関による調査を開始しました。現在、クレジットカード情報に関しては、調査が完了し、原因等の詳細が判明いたしましたが、それ以外の情報に関する調査が継続中です。クレジットカード情報以外の情報に関する調査結果につきましては、改めてご報告させていただきます。

2.発覚の経緯及び現在までの対応状況

• 2023年4月6日、クレジットカード会社より、当サイトを利用した寄附者様のクレジットカード情報について漏えいし及び不正利用された可能性がある旨の連絡を受けました。本市は、直ちに、個人情報漏洩リスク対応マニュアルに基づき、対策本部を設置し、鹿児島県警察に事案を報告するとともに、保守管理会社と連携し、調査を開始しました。

• 4月7日、個人情報保護委員会に対する速報を行いました。

• 同日、保守管理会社による内部調査の結果、当サイトからのクレジットカード情報漏えい事実が確認されるとともに、他方で、遅くとも2022年10月24日に当サイトの決済機能を停止した段階で新たな情報漏えいは行われなくなったと考えられることが判明しました。

• 4月11日、外部専門業者を選定し、調査実施に向けた協議を開始しました。

• 4月24日、サイバーセキュリティを専門とする外部の弁護士に相談し、助言を得るとともに、今後の対応について連携を開始いたしました。

• 5月30日、外部専門機関から、技術的な調査の中間報告を受領しました。

• 6月5日、個人情報保護委員会に対する確報を行いました。

• 6月8日、鹿児島県警察に被害申告をいたしました。

• 6月9日、外部専門機関から、クレジットカード会員情報漏えいに関する調査の最終報告書を受領し、原因等の詳細が判明いたしました。

3.個人情報漏えい状況

(1)原因

当サイトのシステムの一部（EC-Cube）の脆弱性を悪用したクロスサイトスクリプティングの手法による第三者の不正アクセスにより、サーバー内に、クレジットカード決済実行時において処理されるクレジットカード情報を窃取するためのプログラムを埋め込まれたと考えられます。

(2)クレジットカード会員情報漏えいの可能性がある寄附者様及び項目　

クレジットカード情報に関する調査結果によりますと、2021年3月12日から2021年12月29日までの間に当サイトを通じてクレジットカード決済を行った寄附者様（910件）が対象となります。

漏えいした可能性のある情報は以下のとおりです。

　・クレジットカード番号

　・有効期限

　・セキュリティコード

　・Webサイトのログイン情報（eメールアドレス、パスワード）

　・電話番号（ご注文時にログインも会員登録もされていない寄附者様）

上記に該当する寄附者様には、判明次第、別途、個別にメール又は書面にてご連絡申し上げます。

(3)その他の個人情報漏えいの可能性について

クレジットカード情報以外の個人情報が漏えいした可能性については、現在も調査継続中です。判明次第、お知らせいたします。

4. 再発防止策

今後、本市及び保守管理会社は、次の再発防止策を実施いたします。

（1）本市のセキュリティ管理体制の見直し

外部専門業者及び弁護士の助言の下、個人情報漏洩リスク対応マニュアル及び志布志市情報セキュリティ運用指針の運用を見直し、本市が運営するWebサイトについて、適切な管理体制を構築します。

（2）外部委託先選定基準及び監督方法の見直し

志布志市情報セキュリティ運用指針に基づき、委託業者を選定するに当たっての留意事項を具体的かつ明確にするべく、外部委託先選定基準を明確化します。また、保守管理会社に対し志布志市情報セキュリティ運用指針及び情報セキュリティ対策特記事項を遵守するよう指導し、適切な監督を通じて適正なセキュリティ対策を実施します。さらに、保守管理会社に対し本市の基準に適合するセキュリティ運用規程の策定及び当該規程の運用並びにセキュリティ担当チームの運用の徹底を求めるとともに、情報漏えい事案を始めとするセキュリティインシデント等のモニタリングの強化を求めます。

（3）当サイトについて、保守管理会社は、本市と協議の上、以下の対策を実行します。

(1)サイトに利用しているソフトウェアの脆弱性対応の徹底

当サイトに利用しているソフトウェア全てについて、脆弱性情報の取得と対応を徹底するとともに、サイト全体の脆弱性の定期診断の実施を徹底します。

(2)セキュリティ・ソリューションの導入

本件では、Waf（Web Application Firewall）を採用した2021年12月29日以降、クレジットカード情報の漏えいは確認されておらず、Wafによる対策の効果が高い事案でした。今後も、Wafの使用を徹底してまいります。

また、不正侵入検知・防止に向けた更なるセキュリティ・ソリューションの導入・維持、及びその適切な運用を行ってまいります。

(3)重要ファイルの変更検知機能のチェック体制強化

今後、本件同様に不正なプログラムの埋め込み・プログラムの不正な改ざんが行われた場合、これを即時に検知し、情報漏えいを防止するために、サイト全体の重要ファイルの変更検知機能を搭載することを厳守し、変更検知を常に確認することが出来る体制、変更が検知された場合にどのような対策を実施するかの規程を作成し、重要ファイルの変更検知運用を徹底してまいります。

また、システム全体のログ記録の管理ポリシーを確立することで、不正なアクセスなどの記録を事後の調査に必要十分な期間、保管してまいります。

5.寄附者様へのお願い

本市では、クレジットカード会社と連携し、漏えいした可能性のあるクレジットカードによる取引のモニタリングを継続して実施し、不正利用の防止に努めてまいります。

寄附者様におかれましても、誠に恐縮ではございますがクレジットカードのご利用明細書に身に覚えのない請求項目がないか、今一度ご確認をお願いいたします。万が一、身に覚えのない請求項目の記載があった場合は、たいへんお手数ですが同クレジットカードの裏面に記載のカード会社にお問い合わせいただきますよう、併せてお願い申し上げます。

なお、寄附者様がクレジットカードの差し替えをご希望される場合、カード再発行の手数料につきましては寄附者様にご負担をお掛けしないよう、本市よりクレジットカード会社に依頼しております。

6.公表までに時間を要した経緯について

2023年4月6日の漏えい懸念から今回の案内に至るまで、時間を要しましたことを深くお詫び申し上げます。

本来であれば漏えいの疑いがある時点で寄附者様にご連絡し、注意を喚起するとともにお詫び申し上げるところではございましたが、不確定な情報の公開はいたずらに混乱を招くおそれがあるため、寄附者様へのご迷惑を最小限に食い止める対応準備を整えてから行うべきと考え、また、初期的な調査からさらなる漏えいのおそれは小さいと判断されたことから、調査会社から調査結果を受領し、確実な情報をお知らせできるようにカード会社その他関係機関との連携を十分にとった上で公表することといたしました。

今回の発表までお時間をいただきましたこと、重ねてお詫び申し上げます。

7.今後の見通しについて

引き続き外部専門機関によるデジタルフォレンジック調査等を進めており、クレジットカード情報以外の個人情報が漏えいした可能性等について調査してまいります。

そのうえで、最終的な調査の結果も踏まえて、外部専門機関や弁護士等の助言のもと、再発防止策の策定等に向けた取り組みを進めてまいります。

さらに、引き続き、個人情報保護委員会や警察をはじめとした機関への報告・連携も進めてまいります。

改修後の当サイトの再開日につきましては、決定次第、改めて本市Webサイト上にてお知らせいたします。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-236】埼玉県 児童の個人情報を含む動画の流出について 2023年6月23日

県立特別支援学校坂戸ろう学園において、児童の個人情報を含む動画が一時的に外部から閲覧できる状態になる事故が発生しました。

なお、現在のところ、第三者による不正使用等の事実は確認されていません。

１ 事故の概要

令和 5 年 6 月 16 日（金曜日）午後 5 時頃、県立特別支援学校坂戸ろう学園の職員 1 名が、自身の研究授業の動画を、同校職員に限定して公開する設定をして動画サイトに掲載した。

令和 5 年 6 月 17 日（土曜日）、動画サイトを閲覧した同校保護者が、同動画が職員以外にも閲覧できる状態になっていることに気付き、校長に報告し、事故が発覚した。

２ 個人情報の内容

 小学部児童 3 名の映像、氏名

３ 学校の対応

 6月18日（日曜日） 動画サイトから同動画を削除するとともに、当該児童3名の保護者に対して、事故の経緯を説明し謝罪した。

 6月22日（木曜日） 全保護者に対し文書で事故について報告するとともに謝罪した。

４ 再発防止策

 今後、校長会議等を通じて、改めて全県立学校において個人情報の適正な管理を徹底するよう指示する。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-235】鳥取県 県公式LINEプレゼント発送事務における個人情報の漏えいについて 2023年6月21日

この度、鳥取県公式LINEプレゼント発送事務において、当選者10人の個人情報が漏えいする事案が発生しました。

当事者の方々をはじめ、皆様にはご迷惑とご不安、ご心配をおかけしまして申し訳ございません。

当事者の方々に対し、謝罪と経緯の説明を行うとともに、今後、同様の事案が起きないよう再発防止策を講じて、個人情報の適切な管理に努めます。

１　事案の概要

事業者（鳥取市内飲食店）に当選者への発送を依頼する際に、誤ったメールアドレスに個人情報入りのファイルを送信したもの。

（１）漏えいした個人情報

当選者（10人分）の氏名、ふりがな、郵便番号、住所、電話番号

（２）経緯

・令和5年6月19日（月）21時53分頃　個人情報入りのファイルを誤送信

　　　　　　　　　　　　　　　　　　※事業者から聞取りしたメールアドレスを誤入力

・令和5年6月19日（月）21時56分頃　ファイルに設定したパスワードを送信

・令和5年6月20日（火）15時16分頃　事業者に電話連絡し、誤送信が発覚

２　当課の対応

・誤ったメールアドレスへ、謝罪と、誤送信メールの削除を依頼

・該当の10人へ謝罪と経緯の説明

３　発生原因・問題点

• 組織内で、個人情報のメール送信手順についての情報共有が不十分だった。
  （個人情報ファイルを送付する際は空メールを送信してメールアドレスを予め確認すべきだった。パスワードを伝える際は、電話でファイル受信を確認後に伝えるべきだった。）
• 組織内で、個人情報の流出時の対応手順についての情報共有が不十分だった。
  （所属内での情報共有が翌朝となったが、直ちに情報共有し、謝罪等の対応をすべきであった。）

４　再発防止策

• 個人情報をメールで送信しなければならない場合は、空メールを送信してメールアドレスを確認後、パスワード設定したファイルを送信するよう、徹底します。
• パスワードを伝える際は、電話でメール受信を確認後に伝えるよう、徹底します。
• 個人情報の流出時の対応手順について、課内で再確認したうえで、改めて個人情報の適正な取り扱いを行うよう注意喚起を行いました。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-234】新潟大学 不正アクセスによる迷惑メール送信のお詫びについて 2023年6月22日

このたび、本学が管理する部署メールサーバ1台が不正アクセスにより、2名分のメールアカウントが第三者に利用され、令和5年4月13日（木）22時頃から4月17日（月）14時30分頃までの間において本学の基幹メールサーバを経由して約151万件の迷惑メール（SPAMメール）が送信されるという事案が発生しました。当該部署メールサーバは、事案判明後、運用停止の処置を行っています。

本事案により迷惑メールを受信し、不快な思いをされた方々に深くお詫び申し上げます。

なお、本件による個人情報などの流出は無かったことを確認しており、現時点において被害は報告されておりません。

本学として、この事態を重く受け止め、メールアカウントの強固なパスワード設定を含めた厳密な管理についての周知徹底、教職員および学生に対する情報セキュリティ意識啓発を行い、全学で再発防止に努めてまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-233】株式会社TBグループ 社内サーバへの不正アクセスについて 2023年6月20日

株式会社 TB グループ（以下、「当社」）は、当社のネットワークに第三者による不正アクセスを受けたことを 2023 年 6 月 12 日に確認しました。被害拡大を防ぐために速やかにサーバーの停止、ネットワークを遮断するなどの対応を実施いたしました。現在、不正アクセスを受けた情報の内容、原因や経路の究明、情報漏洩の可能性などを、外部の専門機関の協力も得ながら調査を進めております。 

また、当該事象により、当社ホームページ（https://www.tb-group.co.jp/）を閲覧できない状況が続いております。当社第 89 回定時株主総会の招集に際しては、株主総会参考書類等の内容である情報（電子提供措置事項）について電子提供措置をとっており、インターネット上の当社ウェブサイト及び、東京証券取引所ウェブサイト（東証上場会社情報サービス）に掲載しておりますので、復旧迄の間以下よりご確認くださいますようお願い申し上げます。

リリース文（アーカイブ）

国内旅行はパッケージと個人手配とどっちが安いのか？

 

航空券+初日の宿+レンタカーを抑えることになり、パッケージとバラバラに手配するのとどっちが安いのか気になったので調べてみた。

同じ内容でも販売会社によって結構価格が異なった。

JALパック・HISと、じゃらん・楽天トラベルで、2万くらい近い差が出た。この差は何なんだろう？細かくチェックできていないが、レンタカー周りで差異があるのかもしれない。

ちなみにJTBは旅行の1か月以内でないとレンタカーの予約ができないというザンネンな仕様だった。

ちなみにちなみにYahooトラベルと近畿日本ツーリストはそもそも航空券+宿までで、加えてレンタカーを予約する機能が実装されていないというザンネンすぎるシステムだった。

結論としては「個人手配で十分じゃね？」ってことが分かった。

【個別手配（基準値）】

■往路フライト：10/28 JAL277 22,628円

■復路フライト：10/31 JAL286 17,194円

■初日の宿（宿直予約）：ルートイン松江　シングル　朝食付き　8,500円

■トヨタレンタカー（レンタカー直予約）：10/28 11:00 - 10/31 16:00　7-8人乗り W2クラス　56,430円

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

計　　104,752

【JALパック】

■往路フライト：10/28 JAL277

■復路フライト：10/31 JAL286

■初日の宿：ルートイン松江　シングル　朝食付き

■レンタカー：10/28 11:00 - 10/31 16:00　7-8人乗り WAクラス

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

計：108,000円

【じゃらん】

■往路フライト：10/28 JAL277

■復路フライト：10/31 JAL286

■初日の宿：ルートイン松江　シングル　朝食付き

■レンタカー：10/28 11:00 - 10/31 16:00　ワンボックス(ノア/ヴォクシー他（指定不可）)

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

計：127,900円

【楽天トラベル】

■往路フライト：10/28 JAL277

■復路フライト：10/31 JAL286

■初日の宿：ルートイン松江　シングル　朝食付き

■レンタカー：10/28 11:00 - 10/31 16:00　W2《7-8人乗り》ナビ・ETC標準装備♪  ノア/ヴォクシー等

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

計：124,300円

【HIS】

■往路フライト：10/28 JAL277

■復路フライト：10/31 JAL286

■初日の宿：ルートイン松江　シングル　朝食付き

■レンタカー：10/28 11:00 - 10/31 16:00　WAクラス 禁煙（ワゴン）車種例:セレナ・ステップワゴン・ノア・VOXY 他

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

計：103,970円

ChatGPTをサイバー脅威情報の収集、分析に活用する

1950年、現代コンピューティングの父であるアラン・チューリングは、「機械は考えることができるか？」と問いました。その質問は、人間のようなテキストを理解し生成できる機械を発明する探求へと進化し、その結果自然言語処理（NLP）やAIサポートのチャットボット、ChatGPTなどが登場しています。

UBSによれば、ChatGPTは容易にアクセスできる最初の大規模言語モデル（LLM）で、多岐にわたる分野で助っ人として使用できます。OpenAIによって開発された自然言語処理（NLP）モデルであるGPTを基盤としており、言語翻訳やテキスト生成などのNLPタスクで一般的に使用されています。ChatGPTは、文脈を理解し、テキストを生成し、正確に質問に答えるように設計されています。

ChatGPTの力は、大量のデータを迅速かつ効率的に分析・処理する能力にあります。サイバー脅威情報（CTI）の専門家は、ChatGPTを使用して、脅威フィード、ダークウェブフォーラム、セキュリティブログなどの幅広い情報源から洞察を収集、分析、生成することができます。さらに、ChatGPTは定型的なタスクを自動化するために使用でき、CTI専門家がより高度な分析と戦略的な意思決定に集中できるようにします。人間のようなテキストを生成する能力は、整理された報告書を作成し、CTIチーム間の協力を促進するための優れたツールとなります。

この記事では、ChatGPTのCTI分野でのさまざまな応用について詳しく説明し、CTI専門家やサイバーセキュリティコミュニティ全体にもたらす潜在的な利点を認識する重要性について説明します。ChatGPTの能力を理解し、効果的に活用することで、CTI専門家はサイバー敵から一歩先を行き、組織をサイバー脅威からよりよく保護することができます。

ChatGPTのCTIでの応用

脅威情報収集

CTI専門家は、OSINT、TECHINT、HUMINTなどの多岐にわたる情報源から脅威情報を収集する必要があります。ChatGPTは、ソーシャルメディアプラットフォーム、ブログ、フォーラムなどのさまざまな情報源から情報を自動的にスクレイピングし統合することで非常に貴重です。迅速かつ効率的にデータを処理することで、ChatGPTはCTI専門家が進化する脅威風景を最新の状態に保ち、実用的な洞察を生成するために集中することを可能にします。

ChatGPTは、転送された任意の記事から必要な情報を抽出することができます。以下の例では、SOCRadarのSandwormという脅威グループに関する記事からCTI専門家がどのように利益を得るかを尋ねると、それは出力として重要な情報をリストします。

分析と特定

CTI専門家にとって、収集したデータの中で関連するパターン、相関、異常を特定することが重要です。ChatGPTは、大規模なデータセットを分析し、トレンドとパターンを特定するために、先進的な分析と機械学習の技術を適用することでこのプロセスを支援することができます。分析プロセスを自動化することで、ChatGPTはCTI専門家が結果を解釈し、情報に基づいた意思決定を行うために集中することを可能にします。

loghubリポジトリからサンプルとして取得したLinuxログの一部についてChatGPTに尋ねると、ログ内のIPアドレスとログの内容、攻撃内容、ログ内の問題点について、理解しやすい方法で教えてくれます。

定型タスクの自動化

CTI専門家は、報告書の生成、脅威フィードの監視、ログデータの分析など、時間のかかる定型的なタスクにしばしば負担されます。ChatGPTはこれらのタスクを自動化することができ、CTI専門家がより戦略的な活動に集中することを可能にします。定型タスクを自動化することで、ChatGPTはCTI専門家がより高度な分析、脅威ハンティング、戦略的な計画に多くの時間を費やすことができるようにします。

協力と知識共有の改善

CTI専門家がチームで働く中で、効果的な協力と情報共有は成功にとって不可欠です。ChatGPTは貴重な知識リポジトリとなり、チームメンバー間での情報共有を促進することができます。特定の脅威やインシデントに関する要約の生成、説明の提供、質問への回答の能力は、CTI専門家間での効果的な協力と情報に基づいた意思決定を促進します。

SOCRadarプラットフォームのCTIモジュールでLockBitから入手したサンプルIOCを使用して、サイバー脅威情報を共有するための標準化された言語であるStructured Threat Information Expression（STIX）をChatGPTに生成させるように頼んだところ、ChatGPTから以下の出力を得ました。

マルウェア分析

ChatGPTは、マルウェア分析に活用できます。自然言語処理の能力を活用して、ChatGPTはマルウェアコードを分析し、パターンと異常を特定し、詳細な報告書を生成することができます。複雑なコード構造を理解し、人間が読めるテキストを生成する能力は、マルウェアアナリストにとって貴重なツールとなります。

W4SP Stealerの "inject.py "スクリプトがChatGPTに送信されると、このような情報を出力します。

また、ChatGPTにソースコードが公開されているGitHubリポジトリを尋ねると、有益な説明をしてくれます：

さらにChatGPTは、マルウェアの機能や動作をより深く理解するためのリバースエンジニアリングにおいて、CTIの専門家を支援することができます。マルウェアのコードを解析することで、ChatGPTは暗号化アルゴリズム、通信プロトコル、永続化メカニズムなどの重要なコンポーネントを特定し、ミティゲーションや防御のための貴重な情報を提供することができます。

PicoCTFのリバースエンジニアリング演習の一つであるvault-door-1演習をChatGPTに与えたところ、この課題を見事にクリアしました：

YARAルール作成

YARAは、特定のパターンに基づいてマルウェアサンプルを識別し分類するために使用される強力なツールです。ChatGPTは、マルウェアサンプルを分析し、パターンと署名を特定することでYARAルールの作成を支援することができます。ルール作成プロセスを自動化することで、ChatGPTはマルウェアアナリストがより複雑なタスクに集中することを可能にし、効率と効果を高めます。

RedLine Stealerをサンプルとして、ChatGPTに文字列関数の出力を共有し、GPTに重要な文字列の取得とYARAルールの作成を依頼しました。

ChatGPTはプロンプトから重要な点をリストアップし、このシナリオに対応するYARAルールの例を書きました。

脅威ハンティング

脅威ハンティングは、潜在的な脅威を特定し、重大な損害を引き起こす前に対処する積極的なアプローチです。ChatGPTは、大量のデータを分析し、潜在的な脅威と異常を特定することで脅威ハンティングを支援することができます。機械学習の能力を活用することで、ChatGPTは迅速に脅威を特定し、CTI専門家がタイムリーな行動を取ることができるようにします。

セキュリティインテリジェンスの統合

ChatGPTは、様々な情報源からのセキュリティインテリジェンスを統合する上で重要な役割を果たすことができます。様々な脅威フィード、ソーシャルメディアプラットフォーム、その他のソースからの情報を統合することで、ChatGPTは脅威ランドスケープの包括的なビューを提供することができます。異なるソースからの情報を分析・統合する能力により、CTIの専門家は情報に基づいた意思決定を行い、適切な行動を取ることができます。

結論

サイバー脅威の風景が進化する中、CTI専門家は先を行くための先進的なツールが必要です。ChatGPTは、CTIプロセスのさまざまなコンポーネントを改善するために使用できる強力なソリューションを提供します。データの収集、文脈分析の改善、定型タスクの簡素化、協力の促進など、CTI専門家が実用的な洞察を生成し、組織やクライアントをサイバー脅威から保護するために集中することを可能にします。AI技術の進展に伴い、ChatGPTなどのAIツールはCTI専門家にますます貴重な利点を提供し、分野内での潜在的な応用を拡大しています。

出典：ChatGPT for CTI Professionals

【セキュリティ事件簿#2023-232】ヤマトホールディングス株式会社 海外子会社サーバへの不正アクセスの発生について 2023年06月06日

ヤマトホールディングス株式会社（本社：東京都中央区、以下「ヤマトHD」）は、香港ヤマト運輸株式会社（本社：香港九龍、以下「YHK」）が、5月 29 日（月）に同社のサーバが第三者による不正アクセスを受けたことを確認しましたので、お知らせいたします。

YHKでは、不正アクセスの確認後、速やかに外部からのアクセスを制限、侵入経路の調査など必要な対策を講じており、関係機関への報告を実施しています。

また、現在、セキュリティ専門機関の協力を得て原因および影響範囲の調査を進めるとともに、情報セキュリティの強化および再発防止策の検討を進めています。

なお、今回の不正アクセスはYHKのサーバにとどまり、ヤマトHDを含む他のヤマトグループのサーバやネットワークへの影響がないことを確認しています。

関係する皆さまに多大なるご迷惑とご心配をおかけしていることにつきまして、深くお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-231】ひの煉瓦ホール（日野市民会館） メールアドレス漏えいのご報告とお詫び 2023年6月19日

この度、弊館からのメール発信において一部の皆さまの個人情報漏えいがございました。

対象となる皆さまにはご迷惑をおかけしましたこと、また、日頃弊館をご利用いただいている皆様にもご心配をおかけする事となりますこと深くお詫び申し上げます。

今後こうしたことが起こらないよう、再発防止策の徹底に努めてまいります。

本件の経緯と今後の対応を以下にご報告させていただきます。

1.経緯

2023年6月16日（金）20時47分、過去に弊館主催「大ホールひとりじめ」をご利用された方々（175名）を対象に、同企画の空き枠をご案内するメールを送信する際、本来であればBCCで送信すべきところ、誤って「宛先」に対象となる皆さまのメールアドレスが表示されている状態で送信してしまいました。

同日、担当者が間違いに気づき、6月17日（土）、当該メールをお送りした皆さま宛に、お詫びとともに状況説明のメールを送信しました。併せて、先にお送りしたメールの削除をお願いいたしました。

2.漏洩した情報

弊館よりお送りしたメールの宛先に記載されたお客様のメールアドレス

※お客様のお名前、住所等、容易に個人を特定できる情報は含まれておりません。

3.再発防止策

今後は、メール送信の際、あて先や内容のチェックを複数のスタッフにて実施する事を徹底し、誤送信がないように努めてまいります。併せて、各職員へ個人情報保護ルールの周知と再確認とを図り、個人情報の適正な取り扱いと管理に努めてまいります。

また、今回の事案の発生を受け、再発防止策として、弊社のメールシステムに「メール誤送信警告プラグイン」の導入を実施することとします。さらに外部への一斉メール送信に関し、他の配信先に個々のメールアドレスを知らせることなくメールを送信できる専用システムの導入を検討します。これらにより強固な予防策を構築してまいります。

この度は皆さまに多大なるご迷惑とご心配をおかけしたことを重ねてお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-230】ヤマハ株式会社 米国子会社への不正アクセスについて 2023年6月16日

当社の米国販売子会社である、ヤマハ・コーポレーション・オブ・アメリカ（YCA）において、社内ネットワークへの第三者による不正アクセスを受け、情報漏洩があったことを 2023 年 6 月 15 日（日本時間）に確認しました。なお、不正アクセスを受けた機器のネットワーク接続を速やかに遮断し、現時点では通常通り稼働しています。また、日本国内のシステムへの影響はないことを確認しております。

今回の不正アクセスはランサムウエア（身代金要求型ウイルス）による攻撃が原因であることを特定しております。現地の取引先に関する情報等が漏洩した可能性があり、詳細については現在調査中です。

お客様をはじめ、関係する皆様にご心配とご迷惑をおかけすることになり深くお詫び申し上げます。ヤマハグループでは、あらためてセキュリティ対策を強化し、再発防止に取り組んでまいります。

なお、本件の当社グループの今期の業績に及ぼす影響については現在精査中です

リリース文（アーカイブ）

【セキュリティ事件簿#2023-229】ロイヤルカナンジャポン合同会社 個人情報漏えいに関するご報告とお詫び 2023年6月13日

このたび、ロイヤルカナン ベテリナリーダイエット製品購入サイト「ロイヤルカナン ベッツホームデリバリー（VHD）」（以下「本サイト」といいます。）において管理されているペットオーナー様の個人情報が、一部の登録動物病院に漏えいしたことが判明しました。

このような事態を招き、ペットオーナー様および関係者の皆様に多大なるご心配とご迷惑をおかけすることとなり、心よりお詫び申し上げます。

詳細につきまして以下の通りご報告いたします。

なおこれまでに、個人情報の漏えいによる被害発生の報告はございません

１. 本件の概要

事象①： 2023 年 5 月 24 日 13 時 30 分頃から同月 25 日 12 時 58 分頃までの間、本サイトの登録動物病院向け管理画面（以下「管理画面」といいます。）において、登録動物病院が、他の登録動物病院に紐づいたペットオーナー様の購入履歴に関するデータがダウンロードできる状況となっていたことが判明いたしました。

事象②： 2023 年 5 月 24 日 13 時 30 分頃から同月 31 日 11 時 40 分頃までの間、管理画面において、登録動物病院が、他の登録動物病院に紐づいたペットオーナー様の保有ポイントに関するデータがダウンロードできる状況となっていたことが判明いたしました。

上記状況が判明した後、その原因が誤ったアクセス権限の設定にあることを確認し、直ちに設定の修正を完了したため、現在、自院以外の登録動物病院に紐づいたペットオーナー様に関するデータをダウンロードすることはできなくなっています。

２．漏えいした個人データ

事象①： 77,709 名のペットオーナー様の購入履歴に関する以下のデータ：

「氏名」、「注文 ID」、「注文種別」、「注文日時」、「出荷日」、「キャンセル日」、「顧客番号」、「動物病院ID」、「動物病院名」、「支払方法」、「明細小計」、「配送料」、「注文金額合計」、「クーポン利用」、「ポイント利用」、「請求金額合計」

事象②： 77,117 名のペットオーナー様の保有ポイントに関する以下のデータ：

「氏名」、「フリガナ」、「顧客 ID」、「保有ポイント数」

事象①、②のいずれにおいても、生年月日、性別、住所、電話番号、メールアドレス、本サイトのパスワードおよびクレジットカード情報は、漏えいしたデータに含まれていません。

３．経緯

本サイトにおいて、ペットオーナー様が、登録動物病院で推奨された弊社の療法食製品（以下「本製品」といいます。）を購入した際に、登録動物病院は、自院が本製品の推奨を行った当該ペットオーナー様と紐づけられ、当該ペットオーナー様の購入履歴等を管理画面で確認することになっています。他方で、登録動物病院は、通常、他の登録動物病院に紐づいたペットオーナー様の購入履歴等を管理画面で確認することはできません。

しかし、2023 年 5 月 25 日、登録動物病院様より本サイトのコールセンターに対して、他の登録動物病院に紐づいたペットオーナー様の購入履歴に関するデータをダウンロードできたとの連絡があり、弊社の委託先として本サイトの保守管理を担当している業者（以下「委託先」といいます。）において確認した結果、当該データの漏えいが判明しました（事象①）。

また、同月 31 日、事象①の発覚を受けて、委託先および弊社担当者が本サイトにおける全てのアクセス権限の確認作業を行っていた際に、管理画面において、登録動物病院が他の登録動物病院に紐づいたペットオーナー様の保有ポイントに関するデータをダウンロードできる状態となっていたことが判明しました（事象②）。

４．原因

事象①、②のいずれも、2023 年 5 月 24 日に実施した管理画面への追加機能のリリース時に、委託先が誤ったアクセス権限付与を行ったために発生しました。

５．データ漏えい判明後の対応

2023 年 5 月 25 日 12 時 58 分頃、事象①にかかるアクセス権限の誤設定の修正を完了しており、同時刻以降は、他の登録動物病院に紐づいたペットオーナー様の購入履歴に関するデータをダウンロードすることはできなくなっています。

また、同月 31 日 11 時 40 分頃、事象②にかかるアクセス権限の誤設定の修正を完了しており、同時刻以降は、他の登録動物病院に紐づいたペットオーナー様の保有ポイントに関するデータをダウンロードすることはできなくなっています。

なお、事象①について、ペットオーナー様の購入履歴に関するデータをダウンロードした可能性のある登録動物病院が 3 軒であることを確認及び特定し、いずれもデータが削除されていること、残っていないことを確認いたしました。また、事象②において、ペットオーナー様の保有ポイントに関するデータをダウンロードした可能性のある登録動物病院が15軒であることを確認し、現在、データの削除に向け対応を進めております。

６．二次被害のおそれの有無

上記のとおり、漏えいした個人データには本サイトのパスワードは含まれていないため、第三者が当該情報を用いて本サイトにログインすることはできません。また、ペットオーナー様の氏名と病院 ID を利用して新たなアカウントを作成しても、既に入力されている支払情報とは結びつかないため、漏えいした個人データの本人であるペットオーナー様になりすまして本サイトの購入手続きに進むことはできない仕組みとなっております。以上から、二次被害のおそれは極めて低いと判断しております。

７．再発防止策

弊社では、これまでも委託先リスクマネジメント手順に基づいて、委託先会社のセキュリティポリシー、開発環境のセキュリティレベル、アクセス制御状況、管理体制などの評価を行い、そのうえで必要な是正処置を行い開発ベンダー管理・運用を進めてまいりました。

本件の原因を再検証した結果、今後は、追加機能のリリースにおけるプロセス定義を見直し、リリース前の動作確認を徹底いたします。

弊社は、これまでも個人情報の適切な取扱いに努めてまいりましたが、本件の発生を厳粛に受け止め、個人情報の管理体制を見直すとともに委託先の管理・監督を再徹底してまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-228】日高市 生徒の個人情報を含む校務用ＵＳＢメモリの紛失について 2023年6月14日

日高市立中学校において、生徒の個人情報を含む校務用ＵＳＢメモリを紛失する事案が発生しました。なお、現在のところ、当該ＵＳＢメモリは発見されていません。

１ 事案の概要

令和５年５月 28 日（日）、当該中学校に勤務する教諭（60 代・男性）は、校務用ＵＳＢメモリに保存されている生徒の個人情報を含むデータを、職員室の校務用パソコンにコピーした（当該職員はデータをコピーした後、当該ＵＳＢメモリをどのように扱ったかについて記憶していない）。

５月 29 日（月）、当該職員は当該ＵＳＢメモリが無いことに気づき、自宅に忘れたものと判断した。当該職員は帰宅後に、自宅を捜索したが見つけられなかった。

５月 30 日（火）～６月１日（木）の間、当該職員は自宅や校内などを捜索したが当該ＵＳＢメモリを見つけることができず、６月１日（木）午後７時頃に教頭に報告し、紛失が発覚した。

２ 個人情報の内容

生徒 80 名分の１学期中間試験成績（未受検者 7 名分を除く）

卓球部練習試合の連絡通知（生徒 19 名の氏名を含む）

卓球部用具注文票（生徒 8 名の氏名を含む）

宿泊学習の際に生徒が撮影した写真データ 1,229 枚

（うち生徒が識別できるものは 342 枚）

指導用教材 等

※当該ＵＳＢメモリは「市教育委員会情報セキュリティポリシー」の規定で、校長の許可なく校外に持ち出すことを禁じていたが、当該職員は許可を得ていなかった。

３ 学校の対応

６月 １日（木）～ 当該職員と管理職（校長、教頭）が校舎内外等を捜索

６月 ５日（月）～ 校長は事故について全職員に周知するとともに市教育委員会に報告、全職員で捜索

６月 ６日（火） 飯能警察署及び西入間警察署に届出の有無を確認

６月 ７日（水） 校長、教頭が当該職員の自宅を訪問し自宅内外を確認

６月 ８日（木） 飯能警察署に「遺失届」を提出

６月 16 日（金） 校長は当該生徒に対し事案についての報告及び謝罪を実施臨時保護者会を午後６時から開催、事案について報告及び謝罪を実施

４ その他

６月 15 日（木）に臨時校長会議を開催し、改めて市内全校において「日高市教育委員会情報セキュリティポリシー」を徹底するよう指示する。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-158】株式会社村田製作所 当社ファイルサーバへの不正アクセスについて（第2報） 2023年6月13日

株式会社村田製作所（以下、「当社」）は、2023 年 4 月 27 日付け「当社ファイルサーバへの不正アクセスについて」にて公表したとおり、当社のネットワークに第三者による不正アクセスを受けたことを確認しました。

当社は、不正アクセスを確認後、外部のセキュリティ専門機関の協力を得て、被害の全容解明と再発防止に取り組んでまいりました。

関係する皆さまに多大なるご迷惑とご心配をおかけしていることにつきまして、深くお詫び申し上げます。

■調査結果について

当社は、外部の専門機関と連携して、原因の究明や被害の内容等について調査を進めてまいりました。その結果、第三者が、当社海外子会社を経由し、複数のファイルサーバに不正アクセスを行った事実が確認されました。当該ファイルサーバ以外の業務システムへの不正アクセスは確認されませんでした。

なお、不正アクセスを受けたファイルの外部流出については、調査の結果、確証を得る事実は見つかっていませんが、

不正アクセスを受けたファイルサーバ内に、お取引先から提供を受けた業務関連情報や当社の社内情報に関するファイルが含まれていることが確認されました。当社にてその影響を分析した結果、対象となるお取引先には、個別に報告を実施いたしました。

■対策および今後の対応

当社は、不正アクセスを確認後、速やかに外部からのアクセス制限や侵入経路の遮断など、さらなる被害を防ぐための措置を講じてまいりました。引き続き、情報セキュリティ対策の強化に取り組むとともに、今回の調査結果や外部の専門機関のアドバイスに基づき、再発防止に取り組んでまいります。

リリース文（アーカイブ）

JGW(JAL Global Wallet)の外貨両替はお得なのか？

 

外貨両替をする際、どのサービスを利用するかは非常に重要な選択となります。今回は、JGW(Jal Global Wallet)と住信SBIネット銀行の2つのサービスを比較し、どちらがお得かを検証してみました。

1. 両替レートの比較

まず、とある日の同日に2万円をUSDに両替する場合のレートを見てみましょう。

JGW(Jal Global Wallet)：137.78USD

住信SBIネット銀行：140.24USD

※住信SBIネット銀行はキャンペーン実施中。通常は1USDにつき3銭の手数料がかかるため、通常時は136.03USDになる。

この結果から、住信SBIネット銀行の方が2.46USD多くもらえることがわかります。

2. JGWの特典: JALマイル

しかし、JGWを利用する最大のメリットは、両替時にJALマイルがもらえることです。JGWでは1,000円の両替につき、7JALマイルが貯まります。2万円の両替だと140JALマイルが貯まります。このマイルは、航空券の購入やアップグレードなど、さまざまなサービスに使用することができます。

3. 総評

住信SBIネット銀行の方が、純粋な両替レートだけを見るとお得です。しかし、JGWのマイル特典を考慮に入れると、140JALマイルの価値が2.46USD以上であれば、JGWの方がお得となります。

最終的な選択は、マイルの価値や使用方法、そして個人の利用目的によって異なります。どちらのサービスを選ぶかは、ご自身のニーズに合わせて検討してみてください。

【セキュリティ事件簿#2023-227】オープンワーク株式会社 「リアルタイム応募状況」機能における個人情報の不適切利用に関するお詫びとご報告 2023年6月16日

当社が運営する転職・就職のための情報プラットフォーム「OpenWork」上で収集した個人情報について、一部、サービス上での不適切利用があったことが発覚いたしました。

4 月 10 日にリリースした「リアルタイム応募状況」機能にて、ご本人の同意を得ずに「年齢、現年収、現職種、応募先求人、応募からの経過時間」を公開しておりました。本件発覚後、すみやかに機能の停止（6 月 16 日完了）を行っております。

本件の対象となるユーザー様には順次、ご連絡させていただきます。ユーザーの皆様および関係各位の皆様に多大なご迷惑とご心配をおかけしていることを、ここに深くお詫び申し上げます。

本件に関する概要と対応について、下記の通りご報告いたします。

1．概要および当社の対応について

2023 年 4 月 10 日～6 月 16 日の間、OpenWork 上で「リアルタイム応募状況」機能として、求人に応募した方の「年齢、現年収、現職種、応募先求人、応募からの経過時間」を公開しておりました。6 月 16日、本機能に関する問い合わせがあり、社内の調査によって、不適切な個人情報利用であることが発覚いたしました。同日、18 時 30 分に機能の停止をしております。

2．「リアルタイム応募状況」機能上での公開詳細

【対象】

下記期間内に OpenWork 上で求人に応募した社会人ユーザーの一部（8,965 名分）の「年齢、現年収、現職種、応募先求人、応募からの経過時間」に関する情報

 ※上記情報以外の氏名やメールアドレス等の情報は公開しておりません

【期間】

2023 年 4 月 10 日～2023 年 6 月 16 日

3．ユーザーの皆様への対応について

2023 年 6 月 16 日 18 時 30 分に本機能を停止いたしました。また、本件の対象となるユーザー様には順次、ご連絡させていただきます。

4．再発防止策について

今回の事態を重く受け止め、今後このような事態が発生しないよう、個人情報保護の重要性等についての社内教育を徹底するとともに、機能開発手順の見直しなど内部管理体制のより一層の強化とコンプライアンスの徹底に取組んでまいります。なお、本件は個人情報保護法上、個人情報の漏えいに該当致しますので、個人情報保護委員会および JIPDEC への報告を速やかに行います。

この度は、ご利用ユーザー様および関係各位の皆様へ多大なご迷惑をおかけしますこと、重ねてお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-091】東京海上ホールディングス株式会社 弊社からの送信メールデータの流出の可能性について 2023年6月15日

東京海上ホールディングス株式会社（以下「弊社」）において、「メール誤送信対策サービス」を委託する富士通株式会社（以下「富士通社」）のシステムが特定の期間に不正アクセスを受けたことにより、弊社から送信したメールデータの一部が技術的に外部から窃取可能な状態になっていたことが判明しました。弊社からメールの送信先の皆様へのご連絡を順次行っておりますが、ご連絡のつかない方が一部いらっしゃることから、本文においてもお知らせいたします。漏えいの可能性のある個人データ項目は、当該期間中に弊社から送信したメール内に含まれる情報（例：氏名、メールアドレス等）となります。

お客様をはじめとする関係者の皆様に、ご迷惑とご心配をおかけすることとなり、心よりお詫び申し上げます。

なお、本事案は、弊社子会社である東京海上日動火災保険株式会社および東京海上日動あんしん生命保険株式会社にて 2023 年 3 月 8 日に公表している事案と同じ事案となります。

弊社は、富士通社ですでに同様の事象が生じないように必要な対処（不正通信遮断等）を実施済みであることを確認しております。また、現時点ではお客様等の情報が悪用された事実は確認されておりません。

万一、弊社から発信したメールに関連してご心配な点がございましたら、お手数おかけしますが、以下のお問い合わせ先までご連絡くださいますようお願い申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-226】CBREインベストメントマネジメント・ジャパン株式会社 メールアドレス流出に関するお詫び 2023年6月9日

2023 年 5 月 9 日（火）午前 10 時 35 分から午前 10 時 42 分に弊社物流投資部担当者よりお送りさせて頂きましたメール（件名「CBRE IM 千葉北Ⅳ竣工前内覧会のお誘い【5/31～6/2】」）につきまして、不適切な送信方法により、宛先の皆様には大変ご迷惑をお掛け致しましたことを衷心よりお詫び申し上げます。

このような事態を招いたことを重く受け止め、個人情報の取り扱いおよび情報セキュリティに関する社内教育ならびに管理体制のさらなる強化に取り組み、再発防止に努めてまいります。

本件流出に関しましては、関東財務局を通じて個人情報保護委員会へ報告を行っております。

1. 経緯

2023 年 5 月 9 日 午前 10 時 35 分から午前 10 時 42 分ごろ、弊社物流投資部担当者より、件名「CBRE IM 千葉北Ⅳ竣工前内覧会のお誘い【5/31～6/2】」）のメールを送信しました際、宛先のメールアドレスを「BCC」で送信すべきところ、「CC」で送信してしまいました。

2. 流出した個人情報

メールアドレス（1,889 件）

CC にて送付してしまった宛先のメールアドレスが不正使用された事実は、現在調査しております。

3. ご本人様への対応

当該メールの送信先のご本人様に、メールアドレス流出に関するお詫びと当該電子メールの削除をお願いする電子メールを送信しております。

4. 再発防止策

• 今後、複数の送付先に対しメールを一斉送信する際は、一斉送信専用のシステム等を利用して、不適切なメール配信が起こらないような措置を実施いたします。
• メールの誤送信防止を含む情報管理に関するコンプライアンストレーニングを緊急に実施するほか、予定されている今後のコンプライアンストレーニングにおいても、繰り返し社内周知の徹底を行ことにより、社員による個人情報漏洩防止のための方策を周知し、再発防止に努めることと致します。

万が一、不審な電子メールを受信した場合やご質問がある場合には下記お問い合わせ先にご連絡ください。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-225】日本経済新聞社 ウェビナー申込者の個人情報管理に関するお詫び 2023年6月15日

日本経済新聞社が昨年8月に開催したウェブセミナー（ウェビナー）にお申し込みくださったお客さまの個人情報が一時、インターネット上で閲覧可能な状態になっていたことが分かりました。セキュリティー会社にも依頼して調査したところ、個人情報が入ったファイルに外部の第三者からのアクセスはなく、情報流出がなかったことを確認しております。

一時閲覧可能になっていたのは、昨年8月19日の資産承継・資産運用のウェビナーに参加を申し込まれた3763名のお名前やメールアドレス、電話番号、住所、生年月日、年収、金融資産額などです。一部の申込者については金融機関の口座番号も含んでおります。今年5月11日～24日の2週間、閲覧できる状態でした。

当社が今回のウェビナーで利用した配信システムの管理者がシステムの改良作業をしていた11日、「非公開」だった当該ファイルの設定を誤って「公開」に変更してしまったことが原因です。今回のウェビナー関係者によるネット上の巡回調査で24日に発覚し、当社は直ちに当該ファイルに対する外部からのアクセスを遮断、ファイル自体も削除しました。

今回のお客さま3763名には6月13日に通知を発送しており、状況を説明させていただくとともにお詫びをいたします。個人情報保護委員会には事案の内容を報告いたしました。今回の事態を重く受け止め、個人情報の管理をさらに強化し、再発防止を徹底いたします。

リリース文（アーカイブ）