(ISC)² Certified in Cybersecurity (CC) 受験体験記

 

サイバーセキュリティ人材が世界的に不足しているということで、(ISC)² は人材不足解消の取り組みの一環として、100万人を対象にCertified in Cybersecurity (CC)のオンライン自己学習コースと試験を無料で提供している。


そんな訳で、(ISC)² のエントリーレベル認定資格 Certified in Cybersecurity (CC) を受験してきた。

受験準備としては、まず最初に、(ISC)² Candidateに登録。すると、CC試験向けのオンラインセルフペーストレーニングと、試験のバウチャー(199USD相当)がもらえる。

このトレーニングでは(ISC)² におけるセキュリティの考え方を学べる。学習領域は5つのドメインから構成されていて、セキュリティ原則、事業継続、アクセス制御、ネットワークセキュリティ、およびセキュリティの運用に焦点を当てて学ぶ。

試験の予約はオンラインで可能。試験の言語も日本語で選択可能。テストセンターは日本だと東京と大阪、その他世界各地にある。

せっかく無料なので、何かチャレンジ(!?)でもしようと思い、タイ・バンコクの試験会場に予約を入れてみたのだが、日程の調整がつかなくなり、東京にある高田馬場の会場に変更した。

通常(ISC)² の試験予約変更は有料らしいのだが、CC試験は無料で変更できた。ただ、実際は変更ではなく、一旦予約をキャンセルした上で改めて予約する形態となった。

受験には2種類の身分証明書が必要。今回は運転免許証とマイナンバーカードを利用(海外で受験する場合はパスポートともう一つが必要になるので、やはり日本人は日本での受験がおススメ)

試験はコンピュータベース(CBT方式)で、多肢選択式の100問を解く形式。なお、一度回答すると後には戻れない一球入魂(!?)方式となっていた。

試験終了後、すぐに1枚の紙をくれ、その紙に合否結果が記載される。今回は無事合格(仮合格)だった。


合格の確定には承認申請の手続きを終える必要がある。

大きく2つのステップがあり、まずはオンライン申請(申請書の記入)。(ISC)² 認定を受けるには、エンドースメント(承認)のステップを受けなければならず、(ISC)² の倫理規約 (Code of Ethics) に合意する申請書記入の手続きを実施。

次に最初の年間維持費の支払い(50USD)。クレジットカードOK。

この手続きを終えることで Active Member になり、CC の認定デジタルバッジが取得できます。

資格の維持には年間維持費の支払い(50USD)と、3年間で 45 CPE クレジット(平均すると年間 15 CPE クレジット)が必要となります。

要は3年間で45時間分セミナーに参加したりして自己研鑽に努める必要が出てきます。

情報処理安全確保支援士は年間維持費は無料ですが、3年サイクルで約12万円分の講習受講義務が生じるため、支援士に比べればCCの維持費はリーズナブルです。

情報処理安全確保支援士は日本国内でしか通じないドメスティックな資格ですが、CCはエントリーレベルながら、グローバル資格となります。

個人的にはこれが(ISC)² 入会のいいきっかけになったと思っている(SSCPやCISSPには興味があったものの受験費用が高額過ぎてちょっと二の足を踏んでいた)。

(ISC)² の今回の取り組みに感謝。

【セキュリティ事件簿#2023-253】【ご報告】シェアオフィス「Lieffice」公式ウェブサイトへの 不正アクセスに関する調査結果(お客さま情報の漏えいはありませんでした) 2023年9月20日

 

7月3日、当社が運営するシェアオフィス「Lieffice」の公式ウェブサイトに対し、外部からの不正アクセスがあり、7月7日付の報道発表にて、不正アクセスの発生及びお客さま情報の漏えいの可能性がある旨を公表しました。

その後、同サイトにご登録いただいたお客さま情報について、外部への漏えいの有無を調査した結果、漏えいの事実がなかったことを確認しましたのでお知らせいたします。同サイトにご登録いただいたお客さまをはじめ関係される皆さまに、ご迷惑とご不安をおかけしましたことを、改めて深くお詫び申し上げます。

なお、非公開としていた同サイトは、不正アクセスの再発防止策を講じ、お客さまに安心してご利用いただけることを確認しましたので、9月20日(水)から、サイトの公開および「Lieffice」全3店舗の営業を再開しました。

1.不正アクセスの概要

7月3日17時ごろ、当社社員が「Lieffice」の公式ウェブサイトにアクセスしたところ、無関係のウェブサイトへ自動転送される状態になっていることを確認しました。

調査の結果、同日16時ごろ、何者かによって不正にアクセスされ、公式ウェブサイトのHTMLファイルの情報が書き換えられていたことが判明しました。

2.お客さま情報の漏えいがなかったと判断した理由

 調査の結果、公式ウェブサイトとお客さま情報データベースは、システムの構造上分離しており、公式ウェブサイトへの不正アクセスでは、お客さま情報データベースに到達することは不可能なため、情報は漏えいしていないと判断しました。

3.不正アクセスが発生した原因

公式ウェブページの管理システムであるソフトウェア(以下、CMS)において「管理者アカウントのID及びパスワード設定が簡易だったため、比較的容易に不正アクセスできる状態となっていたこと」「一般的に広く普及しているCMSを使用していたが故に、攻撃対象になりやすかったこと」の二点が原因だと考えています。

4.再発防止策
 
MSを安全性が十分に確認されたソフトウェアに変更いたしました。また、パスワードについても直ちに複雑化いたしました。

加えて、Liefficeウェブサイトに対して、その他の問題がないかを調査するため、第三者による脆弱性診断を実施いたしました。診断において脆弱性の懸念があると指摘を受けた箇所については、改修を実施し、安全性を確保いたしました。

【セキュリティ事件簿#2023-365】仕事旅⾏社 弊社サーバへの不正アクセスのご報告と今後の対応 2023年9⽉6⽇

 

この度、弊社では、2023 年 9 ⽉ 4 ⽇深夜、業務上において利⽤しているサーバ(「仕事旅⾏サーバ」として、利⽤者の職業体験情報や会員情報を管理するサーバとなります)に対し、第三者による不正アクセスを受けました。

弊社では、この不正アクセスにより、サーバに保管していた個⼈情報を含む情報が不正取得及び不正利⽤されたこと、並びにサービス運営に利⽤する情報が全て削除されたことを確認しております(以下「本件」といいます)。

弊社では、本件によりサービス運営に関わるデータベースは全て削除されてしまい、通常営業を⾏うことは困難な状況に陥っております。現在、復旧に向けた作業を⾏っていますが、今後の業務開始に関しては現状未定となります。

なお、クレジットカード等、決済に関連する情報につきましては、今回のサーバには保管されておらず、流出はしておりませんが、会員情報等として登録されていたメールアドレスが漏洩したことにより、第三者から対象者に不審なメールが送信されているといった事象を確認しております。

皆様には、多⼤なるご迷惑とご⼼配をおかけしておりますこと、⼼よりお詫び申し上げます。

被害の拡⼤を防⽌するため、不審なメールに記載された電話番号や HP へのアクセス、メールアドレスへの問合せや、返信等は⾏わないよう、⼗分ご注意ください。

弊社は、発覚後、警察当局にも報告しており、今後も捜査に全⾯的に協⼒する所存でございます。また、弁護⼠とも連携のうえ、個⼈情報保護委員会にも報告し、ガイドラインに沿った対応を⾏い、再発防⽌に向けて取り組んでまいります。流出した情報の内容、犯⾏⼿⼝について詳細な調査を開始しており、判明しましたら、追ってご案内申し上げます。

以下、本件の概要等と皆様へのお願い事項につきまして、まとめさせて頂きましたので、ご確認を頂きますよう、お願い申し上げます。

1.事案内容

(1) 発覚⽇時

2023 年 9 ⽉ 5 ⽇(⽕)7:00 頃

(2) 流出の規模

①流出の規模

「仕事旅⾏サーバ」に保管されていた情報となります。

2011 年 2 ⽉から 2023 年 9 ⽉ 5 ⽇までに⼊⼒した情報となります。

②流出した主な情報

·⽒名(ふりがな)

·住所

·電話番号

·メールアドレス

·⽣年⽉⽇

·職業/業種/職種

·学歴・職務経歴(求⼈応募をされた⽅のみ)

③原因

悪意のある第三者による仕事旅⾏サーバにアップされていた外部メルマガ管理システムのセキュリティホールによる不正アクセスが原因となります。詳細は調査中となります。

2.弊社の対応

(1) 被害拡⼤防⽌等のため、緊急対応として実施した内容

·弊社 Web サーバの遮断

·対象者に緊急の注意喚起メールの送信

·サイトでの注意喚起の掲載

·サーバに関連するパスワードの変更

(2) ⾏政等との連携及び報告のため実施した内容

·管轄の警察署および警視庁サイバー犯罪対策課に報告

·個⼈情報保護委員会への報告

3.弊社の今後の対応

(1) 事実調査の推進

外部専⾨家からの助⾔を得ながら、流出した情報の内容や犯⾏⼿⼝等について、詳細な調査を推進中でございます。

(2) 再発防⽌策の策定準備

再発防⽌策の策定を進めております。実効性ある再発防⽌策にすべく、事実調査の結果を受け、対策を決定いたします。

4.皆様へのお願い

「あなたの個⼈情報を取得したから、悪⽤されたくなければ〜〜しろ」といった不審メール等が届いた場合、絶対に要求に応じないようご注意をお願いいたします。特に、以下の点はご注意ください。

・絶対に⾦銭は⽀払わないでください

・⾝に覚えのない代引き商品が届いた場合は受け取りを拒否してください

本⽇時点でのご報告とご案内は以上のとおりでございます。

この度は、皆様には多⼤なるご迷惑とご⼼配をおかけしておりますこと、重ねてお詫び申し上げます。

リリース文アーカイブ

【セキュリティ事件簿#2023-364】大石田町 個人情報が閲覧できる状態になっていたことに関するお詫び  2023年9月17日


大石田町「新そばまつり」にお申込みいただいた情報が、他のお申込み者にも閲覧可能な状態となっていたことが判明しました。事前申し込みいただいた皆様にご迷惑をお掛けしたことを深くお詫び申し上げます。内容および対応については以下の通りです。 

1.概要
大石田町新そばまつりへの前売券の事前申込に使用していたGoogle Formsの設定ミスにより、当該フォームに回答した前売券の事前申込者がアクセスできる結果画面で他の申込者の個人情報が閲覧できる状態にあったことがわかりました。令和5年9月17日(日)時点で閲覧できる状態にあったのは32名あり、そのうち情報を閲覧できたのは申込みいただいた日以前の申込者の申込内容に限ります。 

2.個人情報が閲覧できる状態であった状況の概要
・件数 閲覧できる状態であった可能性がある方 32名
・期間 令和5年9月15日午後6時~9月17日午前10時
・閲覧できる状態であった可能性がある情報
フォームへ入力されていた以下の(1)~(5)の情報となります。
ただし、閲覧した際、申込内容の項目がそれぞれグラフ化されており、下記の項目について下記の順番で表示されており、個人を特定できる状態ではございませんでした。

なお、現時点において、個人情報が悪用されたなどの被害相談はございません。
(1)氏名(あいうえお順)
(2)住所(あいうえお順)
(3)郵便番号(数値順)
(4)電話番号(数値順)
(5)その他(申し込み枚数、参加希望日時順) 

3.対応状況
令和5年9月17日(日)10:00頃にフォーム上で個人情報が閲覧可能であったことが判明したため。10時10分頃にホームページにアクセスできないように設定を変更しました。11:00頃までに、個人情報が閲覧できる状態を解消し、14:30頃に、個人情報が閲覧される可能性があった申込者には電子メール等を用いて、お詫びと経緯の説明を行いました。 

4.再発防止のための対応
今後、このような事態が生じないよう、各職員に対して個人情報保護の重要性等についての指導を徹底するとともに、ホームページ掲載にあたっては担当者による複層的なチェックを行い、再発防止に努めてまいります。 

ランサムウェアギャングが発表した被害組織リスト(2023年6月~7月)BY StealthMole

 

 StealthMole(旧Dark Tracer)による、2023年6月~7月のランサムウェア被害を受けた日系企業。

YKK株式会社(ykk.com)

ランサムウェアギャング:LockBit

 


ヤマハ株式会社(yamaha.com)

ランサムウェアギャング:BlackByte

関連事件簿:【セキュリティ事件簿#2023-230】ヤマハ株式会社 米国子会社への不正アクセスについて 2023年6月16日

株式会社プロット(www.plott.co.jp)

ランサムウェアギャング:BlackCat (ALPHV)

関連事件簿:【セキュリティ事件簿#2023-257】株式会社プロット 現在発生している障害について(第1報) 2023年6月13日

大和ハウス工業株式会社(daiwahouse.com)

ランサムウェアギャング:Qilin

ソニーグループ株式会社(sony.com)

ランサムウェアギャング:CL0P

 


JBCC株式会社(www.jbcc.co.jp)

ランサムウェアギャング:Mallox

パイオニア株式会社(pioneerelectronics.com)

ランサムウェアギャング:CL0P


ファナック株式会社(fanucamerica.com)

ランサムウェアギャング:CL0P

【セキュリティ事件簿#2023-363】元勤務先のクラウドシステムにある名刺情報数万人分を転職先に提供してタイーホされる。

 

2023年9月15日、警視庁は、以前勤務していた人材派遣会社の名刺情報管理システムにアクセス可能なIDやパスワードを転職先の同僚に提供し、システム内の個人情報を不正に提供したとして、会社員の人見正喜容疑者(43歳、埼玉県川口市在住)を個人情報保護法違反と不正アクセス禁止法違反の疑いで逮捕した。

事件の背景には、人見容疑者が以前勤務していた会社が使用していた名刺情報管理システム「Sansan」へのアクセス情報を、転職先の社員に提供したことがある。このシステムには、営業先の数万件の名刺データが保管されており、共有されたIDやパスワードを使用することで、これらの情報を全て閲覧することが可能だった。

人見容疑者は、「転職先での営業に使えると思った」との理由でこの行為を行ったと容疑を認めている。また、不正に得た名刺情報を元に、転職先での営業活動が行われ、実際に成約に至った事例も存在するとされている。

この事件は、個人情報保護法の不正提供罪を適用した初のケースとなり、関連する法律や規定の見直しの必要性が浮き彫りとなった。

【セキュリティ事件簿#2023-362】マイクロソフト、誤って38TBの内部機密情報をお漏らし

 
2023年9月18日 - テクノロジー業界が注目する中、マイクロソフトは公開されたGitHubリポジトリでのオープンソースAI学習モデルへの貢献中に、緩すぎるShared Access Signature (SAS) トークンを含むURLを誤って共有したことを公表しました。このミスにより、同社の内部ストレージアカウント内の情報が外部からアクセス可能となってしまい、セキュリティ専門家の間で大きな議論が巻き起こっています。

この問題を最初に発見したのは、セキュリティ専門家のグループ、Wiz。彼らはこの脆弱性をマイクロソフトに報告し、同社はこの問題を迅速に対応。該当のSASトークンを無効化し、ストレージアカウントへの外部からのアクセスを完全に遮断しました。この迅速な対応により、さらなる情報の漏洩を防ぐことができました。

漏れた情報には、2人の元従業員のワークステーションプロファイルのバックアップや、Microsoft Teamsの内部メッセージが含まれていました。しかし、幸いにも顧客データや他の重要な情報の漏れは確認されていません。この事件は、クラウドストレージやオンラインサービスのセキュリティが今後も業界の大きな課題として残ることを示しています。

マイクロソフトは、今回の事件を受けて、SASトークンの使用に関するベストプラクティスを見直し、顧客に提供することを発表しました。同社は、今後もSASトークンの機能を強化し、サービスの安全性を最初から確保する姿勢を維持していくとのことです。また、セキュリティ研究者との連携をさらに深め、共同でセキュリティの向上に努めるとコメントしています。

この事件を受け、セキュリティ研究者と企業との連携の重要性が再び浮き彫りとなりました。マイクロソフトは、今後も研究者との連携を深め、セキュリティの向上に努めるとコメントしています。同社は、今回のような事件を未来に防ぐための新しい技術や手法の開発にも注力しており、ユーザーや企業のデータ保護を最優先として行動していく方針を明らかにしました。

リリース文:Microsoft mitigated exposure of internal information in a storage account due to overly-permissive SAS tokenアーカイブ

参考:マイクロソフト、誤って38TBの内部機密情報を漏えい

【セキュリティ事件簿#2023-215】大塚商会 コクヨ株式会社が保有する弊社のお客様情報漏えいの可能性に関するお知らせとお詫び 2023年9月19日


このたび、弊社の取扱商品のメーカーであるコクヨ株式会社(本社:大阪市東成区、代表取締役社長:黒田 英邦)において発生した一部情報システムに対する外部攻撃に関する調査結果の報告を受けました。コクヨ株式会社の保有する情報の一部が外部に漏えいした可能性が否定できない状況であり、その中に弊社のお客様情報も含まれているとの報告がありましたのでお知らせいたします。

ご関係のお客様および販売店には多大なご迷惑とご心配をおかけしましたことを、深くお詫び申し上げます。

1.経緯

2023年6月5日に、コクヨ株式会社にて、ランサムウェアによる外部攻撃を受けたことを確認。コクヨ株式会社が外部調査機関による調査を実施し、その報告書によると、データが外部へ漏えいした可能性は極めて低いものの、漏えいの可能性を完全に否定することが困難な状況となっているとのこと、コクヨ株式会社が不正アクセスを受けた事実、弊社のお客様情報が漏えいした可能性を否定できないとの報告を受領しました。

2.漏えいした可能性があるお客様情報

対象者2016年1月5日~2023年6月5日の期間中に弊社および弊社の販売店から、
コクヨ株式会社の商品(オフィス家具等のメーカー直送品)をご注文されたお客様
件数29,878件(内、販売店経由5,556件)
情報お客様お届け先担当者の氏名、会社名、住所、電話番号
  • * 弊社からコクヨ株式会社に個人情報の取り扱いを委託している情報は上記項目のみです。

3.対応について

個人情報が漏えいした可能性があるお客様および販売店には、個別にご連絡させていただきます。

2023年8月10日に個人情報保護委員会およびプライバシーマーク審査機関に報告をいたしました。

弊社では、個人情報取り扱い業務における管理体制の厳重化を行うことに加え、個人情報委託先に安全管理措置の徹底を依頼するなどして、再発防止に努めてまいります。

【セキュリティ事件簿#2023-361】マツダ株式会社 不正アクセス発生による個人情報流出可能性のお知らせとお詫び 2023年9月15日

この度、弊社サーバー機器が外部からの不正アクセスを受け、弊社が管理している個人情報の一部が外部へ流出した可能性があることが判明いたしました。なお、不正アクセスを受けたサーバーにはお客様の個人情報は保管しておらず流出しておりません。

関係者の皆様には多大なるご迷惑とご心配をおかけすることとなり、深くお詫び申し上げます。

現在、鋭意調査を続けておりますが、現時点で判明している事実及び弊社対応について以下のとおりご報告いたします。

【概要】

2023年 7月 24日 (月) 、弊社サーバー機器を経由した不正な通信を検知し、直ちにサーバー機器をネットワークから切り離すなど必要な対策を実施しました。その後、第三者機関(外部セキュリティ専門家)の調査により、弊社システムのアカウント情報等を管理するシステム(ディレクトリサーバー)への不正アクセスの形跡が確認され、個人情報の一部が外部へ流出した可能性があることが判明いたしました。

【流出した可能性がある個人情報】
弊社及びグループ会社の社員、協力会社社員、お取引先様ご担当者の下記アカウント情報
( 104,732件)
  • 弊社が発行したユーザーID
  • パスワード(暗号化値)
  • 氏名(漢字、ローマ字)
  • メールアドレス
  • 会社名
  • 部署、役職名
  • 電話番号
現時点では確認されていませんが、今後、これらの個人情報を悪用し、フィッシングメールやスパムメール等が送付される可能性があります。不審なメールを受け取られた場合は慎重にご対応下さいますようよろしくお願いいたします。

【原因】

外部セキュリティ専門家の調査結果より、今回の不正アクセスは弊社に設置したアプリケーションサーバーの脆弱性が悪用されたものであったと判明しています。

【弊社の対応】

弊社は、本件事象の認知後、不正アクセスに用いられた を無効化し、サーバーをシャットダウンするとともに、外部セキュリティ専門家のフォレンジック調査を実施いたしました。外部セキュリティ専門家の調査にて、影響の範囲を確定させるまでに時間を要し、今回の発表までお時間をいただきましたこと、お詫び申し上げます。本件につきましては、すでに警察への相談及び個人情報保護委員会に必要な報告を行い、外部セキュリティ専門家の協力を得ながら、関係各機関と連携し、事実の確認及び適切な対応に務めております。また、弊社は今回の事態を重く受け止め、セキュリティ体制の改善、全てのウェブサイト及びネットワークに対する監視体制強化など、再発防止に全力で取り組んでまいります。

この度は皆様に多大なご迷惑ご心配をお掛けしますこと、改めて深くお詫び申し上げます。

リリース文アーカイブ

【セキュリティ事件簿#2023-360】アルプスアルパイン株式会社 当社グループが管理するサーバへの不正アクセスについて(第2報) 2023年9月14日


当社グループが管理している社内サーバにおけるランサムウェア(身代金要求型ウイルス)感染について、現状の生産活動状況および、北米における情報漏洩についてお知らせいたします。

1.生産活動について

2023年9月12日付「当社グループが管理するサーバへの不正アクセスについて」でお伝えしておりますように、ランサムウェアに感染したサーバ等の機器のネットワーク接続を速やかに遮断した上で、安全対策を施し、現在も機器及び生産機能の復旧に努めております。当社グループ内では、現時点ではメキシコの生産拠点を除き、システム障害に対する代替手法も含み、生産・出荷を再開しております。

お客様への出荷状況につきましては、影響が発生する場合には営業担当よりご連絡申し上げます。

2.情報漏洩について

今般、北米現地法人における社員の個人情報および業務ファイルが流出している事実を確認いたしました。原因は調査中ですが、今回の不正アクセスが関係している可能性が高いと考えています。

本件に関しては、現在も調査を進めておりますが、本日の時点で当社の顧客情報についての流出は確認されていません。今後、共有すべき新たな事実が判明した場合には速やかに開示をいたします。

関係者の皆様には、多大なご迷惑とご心配をお掛けすることとなり、深くお詫び申し上げます。

【セキュリティ事件簿#2023-360】アルプスアルパイン株式会社 当社グループが管理するサーバへの不正アクセスについて 2023年9月12日


当社のグループが管理している社内サーバの一部が第三者による不正アクセス(以下「本件不正アクセス」といいます)を受けたことを確認いたしました。本件不正アクセスはランサムウェア攻撃であり、本事由発生後、サーバ停止または隔離の対処をしたことにより、当社における生産、出荷等において影響が発生しておりますのでご報告いたします。

概要

2023 年 9月 10 日、当社グループで管理しているサーバに対する本件不正アクセスを検知いたしました。本件不正アクセスはランサムウェア攻撃であり、被害拡大防止のため、直ちに対象サーバを停止またはネットワークから隔離して対策を講じ、外部専門家の協力も得ながら影響範囲等の調査を開始しました。

現在、当社グループにおける生産活動は継続しているものの、一部でシステムの使用ができない状況となっており、生産、出荷等の業務において影響が発生しています。

その他の影響についての詳細は現在調査中です。

当社の対応

当社においては、不正アクセスの影響及び対象サーバの状況の確認を行い、必要な対処を行ったうえで一部のサーバのネットワークの復帰を行うとともに、依然として懸念の残るサーバについてはネットワークの隔離を継続して、調査及び対応を進めております。

また、お客様向けの生産、出荷活動については、継続しておりますが、今後、お客様への納入について、影響が発生する場合には速やかに担当営業よりご連絡させていただきます。

関係者の皆様には、多大なご迷惑とご心配をお掛けすることとなり、深くお詫び申し上げます。

【セキュリティ事件簿#2023-359】朝日新聞社 個人情報の流出に関するお知らせとお詫び 2023年9月6日


この度、朝日新聞社と朝日新聞販売所(ASA)でお客様の情報を管理しているシステムから、朝日新聞デジタルと紙面ビューアーの一部の会員のお客様の個人情報が外部に流出したことが判明しました。

現時点で判明している事実とこれまでの対応は以下の通りです。ご迷惑をおかけしたお客様に心よりお詫び申し上げるとともに、引き続き、関係機関と協議しながら対応を進めて参ります。

1. 経緯

2023年9月6日(水)未明に、社外の方から「朝日新聞の顧客の情報が流出している」とのご連絡をいただき、事態を確認しました。

2. 流出した可能性のある情報の内容

三重県の四日市市、鈴鹿市、亀山市、川越町のそれぞれ一部地域の、朝日新聞デジタルと紙面ビューアーの会員様884名の氏名・住所・電話番号・ご契約いただいたコースの種類。
※お客様のメールアドレスやクレジットカード情報は含まれておりません。

3. 弊社の対応

・お客様への対応
個人情報流出が判明したお客様には、ご連絡を差し上げました。7日以降、個別に訪問して改めて謝罪する予定です。

・行政機関への報告
警察と個人情報保護委員会に相談・報告をしております。

・再発防止策
該当するシステムの一部を停止し、新たな流出が起きないように対応しました。早急にシステムを解析し、原因究明と再発防止策の確立に努めます。

【セキュリティ事件簿#2023-358】アジア航測株式会社 高知県林業事業者登録制ウェブサイトより個人情報が流出した事案の発生について 2023年9月5日


このたび弊社は、高知県「令和5年度スマート林業支援委託業務」において、林業事業者登録制ウェブサイト(以下、本サービスという。)からこれを利用する林業事業者に対し、個人情報が含まれたデータを提供する事態を生じさせました。

住民の皆様、関係する方々に多大なご迷惑とご心配をおかけいたしました。深くお詫び申し上げます。

 1. 概要

本サービスは、林業事業者向けのデータダウンロードサービスで、登録申請を受け付けた林業事業者が使用(IDとパスワードを利用してログイン)しています。

本サービスが提供するデータのなかに、仁淀川町(旧仁淀村)と馬路村、土佐市の森林の所有者名と住所が含まれていました。(仁淀川町(旧仁淀村)3,605人、馬路村638人、土佐市1人)

2023年8月24日夕方、発注者である高知県の担当者から弊社に連絡があり、事態が発覚しました。これまでに、仁淀川町(旧仁淀村)、馬路村、土佐市のデータをダウンロードした事業者は分かっており、現時点で森林所有者の住所、氏名について、インターネットや第三者への情報流出の事実は確認されていません。また、事業者からは他者へデータを渡していないという確認はとれており、当該データは削除していただいております。

2. 今後の対応

このような厳重に管理すべき情報が入ったデータを誤って提供したことにつきまして、住民の皆様、関係する方々に深くお詫び申し上げます。

今後、情報管理と再発防止を徹底してまいります。

【セキュリティ事件簿#2023-357】神奈川県立こども医療センター 個人情報が保存されたUSBメモリの紛失について 2023年9月6日


病院の患者情報(氏名、生年月日、性別、病歴や治療経過等)が保存されたUSBメモリを外部で紛失するという事故が発生しました。患者さんの大切な個人情報を扱う組織として、深く反省するとともに、患者さん、ご家族、その他関係者のみなさまに、多大なご迷惑をおかけしたことを深くお詫び申し上げます。

該当患者さんや御家族に対しては丁寧な説明と謝罪を行うとともに、不審なことなどあった場合は、下記問い合わせ先で対応することとしております。

なお、現時点では、個人情報が不正に外部に流出したことは確認されていません。

 1 概要

令和5年9月2日(土)から3日(日)未明にかけて、当センターに勤務する医師の自宅で盗難事件が起こり、20人分の患者さんのカルテ情報が保存されたUSBメモリが持ち去られるという事件が発生しました。直ちに、警察に通報しましたが、USBメモリは未だに見つかっておりません。

2 経過

【令和5年9月2日(土)】

当該医師は、業務や診療内容の確認を行うため、自宅に個人情報を持ち帰り、就寝前に個人情報が保存されたUSBメモリが入っているバッグの所在を確認した後、寝室に移動して就寝しました。

【令和5年9月3日(日)】

○ 7時30分頃に起床した後、バッグがないことに気がつき、警察に通報しました。

○ 警察の取り調べと現場検証により、盗難被害の可能性が高いとのことで被害届を提出しました。

3 原因

病院では毎年、USBメモリの取り扱いについての内容を含めた情報セキュリティに関する研修を実施してきたところですが、病院が実施した研修やUSBメモリの取り扱いに係る通知を遵守せず、病院の許可なく自宅に持ち帰ったためです。

4 対応(今後の予定を含む。)

○ 該当する患者さん及びご家族に対して、お詫びの手紙を送付するとともに、担当医師及び担当医師が所属する診療科の責任医師等が直接説明とお詫びを行います。

○ 病院が管理するネットワークに接続するパソコンについては、特別な業務を除きUSBメモリに個人情報の保存ができないようシステム設定及び運用を行います。

○ 改めて、全職員あてに個人情報や外部保存媒体の取り扱いについての注意喚起を行います。また、情報セキュリティに関する研修を実施します。

【セキュリティ事件簿#2023-356】SMBC日興証券株式会社 日興イージートレードにおける不正アクセスにご注意ください 2023年9月4日


今般、当社の一部のお客さまの日興イージートレードにおいて、お客さま以外の第三者が不正に入手した口座番号とパスワード情報を用い、お客さまになりすましてログイン等を行っている事案が発覚しております。

本日までの当社の調査において、不正なログインのあったことが確認されたお客さまにつきましては、当社より、お電話やメール、および日興イージートレード内のメッセージボックスにて個別に状況をお知らせし、パスワードの変更を依頼しております。また、該当するお客さまにつきましては、パスワード変更が完了するまでの間、一時的にお取引を制限させていただいております。

当社より個別に連絡を差し上げているお客さまにおかれましては、不正アクセスの被害からお客さまのご資産を守るため、速やかなパスワードの変更をお願いいたします。

当社の日興イージートレードをご利用のお客さまにご心配とご迷惑をおかけする事態が生じましたことを、深くお詫び申し上げます。

また、個別の連絡を当社から差し上げていないお客さまにおかれましても、口座番号やパスワード等は、第三者に知られることがないよう、ご自身で厳重に管理していただきますようお願いいたします。万が一、身に覚えのない取引の履歴等があった場合には、下記コンタクトセンターまでお問い合わせください。

  1. 本件についての当社の調査状況
    本件に関する当社の調査において、当社からのお客さま情報の流出は確認されておりません。他方、悪意のある第三者が何らかの方法で取得したお客さまの口座番号やパスワード情報等を流出させていることが、公的機関により確認されております。不正にログインされたお客さまの一部においては、当該流出が確認された時期からパスワードを変更していない方が含まれることから、当社としては、流出したこれらの情報を利用して不正なログインを試みられた可能性があると考えております。
    現時点では、不正にログインされたお客さまの口座からご資産が流出する事態は確認されておりませんが、お客さま以外の第三者が、日興イージートレードにおいて、不正に保有株式の売却を行ったと思われる事態が1件判明しております。

  2. お客さまにお願いしたいこと
    より安心して日興イージートレードをご利用いただくために、お客さまご自身によるセキュリティ対策についてご紹介いたしますので、ご対応をお願いいたします。

    ・安全性の高いパスワードを設定する
    ・身に覚えがない前回ログイン日時や出金、取引が無いか確認する
    ・メールアドレスを登録する
    ・出金時に二要素認証を利用する
    (https://www.smbcnikko.co.jp/news/attention/security/index3.html)

  3. 不正アクセス防止への取り組み
    当社では、不正アクセスによる被害を未然に防ぐため、日本証券業協会が定める『インターネット取引における不正アクセス等防止に向けたガイドライン』に則り、継続的にログイン時等のセキュリティ対策やモニタリングの高度化に取り組んでおります。
    2023年7月以降、安全性の高いログインパスワードの設定を必須とさせていただいておりますので、当社の定める設定ルールを満たしていないお客さまにおかれましては、お早めの変更をお願いいたします。
(https://www.smbcnikko.co.jp/news/customer/2023/n_20230417_01.html)

リリース文アーカイブ

アンドロイド用プライバシー保護ブラウザ3選


ほとんどのアンドロイド端末は、工場出荷時にGoogle Chromeがインストールされています。ご存知の通り、Google Chromeはあなたのオンライン・プライバシーにとって非常に有害です。そうでないAndroid端末の場合、プライバシーに配慮していない、あるいはセキュリティに疑問のある他のメーカーのブラウザが搭載されている可能性があります。

このため、Androidユーザーは代替ブラウザを探すことになります。理想を言えば、ユーザーのプライバシーを尊重してくれるブラウザです。Google Chromeをアンインストールして、ここでお勧めするようなプライバシーを尊重した代替ブラウザに置き換えることができます。

ここに掲載されているすべてのブラウザがGoogle Playストアにあるわけではありません。ここに掲載されているブラウザのほとんどは無料ですが、Android用の本当にプライバシーを尊重するブラウザの多くはGoogle Playストアで見つけることができず、代わりにF-droidで見つけることができます。

ここにリストアップされたブラウザは順不同です。各ブラウザにはそれぞれ長所、短所、特別な使用例があります。ユーザーはブラウザを選択する前に、ブラウザに対する特定のニーズと欲求を評価したいと思うでしょう - しかし、ここにリストされているすべてのブラウザをダウンロードして試してみない理由はありません!

Brave

注目ポイント
  • ネイティブのアドブロッカー
  • 強力なサイト分離
  • プロキシされたGoogleサービス(Braveサービス)
  • 優れたプライバシー機能
BraveブラウザはChromiumの派生版であり、オープンソースで開発されています。このブラウザはBrave社によって維持されており、Brave社自身もプライバシー関連のスキャンダルに関わっています。Braveは、ほとんどのユーザーのプライバシーを向上させるための設定を必要とせず、すぐに優れたプライバシーを提供します。

Brave ブラウザは、デフォルトで広告ブロック(シールド)が有効になっています。Googleのサービスを "使用 "する一方で、BraveはデフォルトでGoogleへのすべてのリクエストを保護します。

Braveは、フィンガープリント・ランダマイザーなどのプライバシー機能を導入し、さらなるフィンガープリント耐性を提供しています。2023年5月、このブラウザーは「Forgetful Browsing」も導入し、サイトの特定を拒否しています。

Braveは通信の追跡を行いますが、無効にすることも可能です。

Ice Raven

注目ポイント
  • 高度にカスタマイズ可能
  • 通信制限が可能
Ice Ravenは、さまざまな開発者の幅広いコミュニティによって維持されているオープンソースのFirefoxの派生版です。中心的な開発者は Ice Raven Project です。

Ice Raven の主な使命は、拡張されたカスタマイズオプションと、Web ブラウザが訪問したページとどのように相互作用するかについての情報をユーザに提供することです。

Ice Ravenはabout:configオプションをサポートしています。about:configでカスタマイズ可能なオプションにより、Firefox、Waterfox、Librewolfといったデスクトップ版のGecko搭載ウェブブラウザとカスタマイズの可能性をより近づけています。

さらに、Ice Ravenは、他のFenixベースのブラウザでは必ずしもサポートされていない拡張機能を幅広くサポートしています。アドオンの中には、Mozilla関連の依存関係が欠落しているために動作しないものもあるので注意が必要です。さらに、fenixベースのブラウザでは、Androidデバイスでのサイトの分離はそれほど強力ではありません。

Ice Ravenはまた、ソースコードからテレメトリやプロプライエタリなコードをできるだけ取り除くことを目指しています。

Ice RavenはGoogleのPlayストアでは見つけることができません。リリースは.apkファイルとしてIce Raven Githubリポジトリに公開されます。


Mull Browser

注目ポイント
  • 多くの独自blobを排除
  • 拡張機能のサポート
  • arkenfox、Tor upliftプロジェクトの機能を取り入れる
Mull Browserは、Android上のFirefox(より具体的にはGeckoView)であるFenixから派生したものです。オープンソースですが、主にDivestOSによって開発されています。DivestOSは、プライバシーに配慮した他のアプリケーションや、同じ名前のLineageOSの非公式な分派も開発しています。

Mullブラウザの最も素晴らしい点は、最初からかなりプライバシーが保護されていることです。Mullブラウザは、Tor upliftプロジェクトの多くの機能を有効にし、arkenfox user.jsプロジェクトの環境設定を使用しています。

そのすぐに使えるプライバシー保護機能にもかかわらず、DivestOSは(そしてavoidthehackも)uBlock Origin拡張機能のインストールを強く推奨しています。ご存じかもしれませんが、uBlock Originはプライバシーコミュニティーの定番です。それは、プライバシーを損なうことなく、ウェブページ上の広範なトラッカー、広告、追加のトラッキング手法をブロックします。

最も特徴的なのは、Mullブラウザが自身のソースコードから多くのプロプライエタリなブロブ(クローズドソースのソースコード)を排除していることです。これは、Relanによって開発されたスクリプトを使用することによって達成さています。

Mull BrowserはF-droidで入手可能であり、GoogleのPlay Storeでは見つけることができません。


プライバシー重視のブラウザを推奨するための基準

  1. オープンソースであること: 透明性を促進し、カスタマイズを可能にするため、ブラウザはオープンソースであるべきです。特に、FirefoxのGeckoエンジンから派生したブラウザが、Chromiumから派生したブラウザよりも好まれます。

  2. 定期的な更新: ブラウザはしばしば悪用されるため、最新の脆弱性を修正するタイムリーな更新が必要です。これは、派生ブラウザにとって特に重要であり、セキュリティパッチを最新の状態に保つために定期的なアップデートが必要です。

  3. 開発段階のものは使わない: アルファやベータ段階のブラウザはバグが多かったり、適切に動作するために追加の注意が必要だったりします。適切なリリースバージョンに到達するブラウザが必要です。

  4. カスタマイズ提供: 最適なプライバシー重視のブラウザは、拡張機能やアドオンなしでブラウザ内で多くのカスタマイズオプションを提供するべきで、これによりユーザーはプライバシー関連の設定を変更できます。

  5. 限定的なデータ収集: テレメトリーについては、完全にオプトアウトできるようにし、収集された情報をすべて匿名化する必要があります。
最後に、Androidでは多くのプライバシー重視のブラウザオプションがあり、リストにない一部のブラウザはプライバシーの向上にほとんど貢献しない可能性があります。信頼できないブラウザはデベロッパーに対して静かにセンシティブな情報を送信し、プライバシーを侵害する可能性があります。

【セキュリティ事件簿#2023-355】関西ペイント株式会社 当社海外子会社への不正アクセスについて 2023年09月05日


関西ペイント株式会社(本社:大阪府大阪市中央区、代表取締役社長:毛利 訓士)の海外子会社であるKansai Nerolac Paints Ltd(本社:インドムンバイ、以下「KNPL」)において、2023年8月20日に第三者による不正アクセス(以下「本件不正アクセス」)を受けたことを確認しました。

KNPLでは本件不正アクセスの確認後、速やかに外部からのアクセスを制限、侵入経路の調査など必要な対策を講じており、関係機関への報告を実施しています。

現在、セキュリティ専門機関の協力を得て原因および影響範囲の特定を進めるとともに、セキュリティの強化および再発防止策の検討を進めています。

本件不正アクセスは、ランサムウェア(身代金要求型不正プログラム)によるものと確認しておりますが、詳細は現在調査中です。

KNPLでは既に営業活動を再開しております。また、現時点で、日本国内のシステムへの影響はないことを確認しております。

関係する皆さまに多大なるご迷惑とご心配をおかけすることになり深くお詫び申し上げます。関西ペイントグループでは、あらためてセキュリティ対策を強化し、再発防止に取り組んでまいります。

【セキュリティ事件簿#2023-354】ブリストル・マイヤーズ スクイブ株式会社 セキュアファイル転送サービス「MOVEit」への不正アクセスによる 個人情報の流出に関するお詫び 2023 年 8 月 29 日

 

この度、弊社がセキュアファイル転送サービスとして利用する Progress Software 社の「MOVEit」において、脆弱性が発覚し、弊社が取扱う個人情報を含むデータの一部が不正にアクセスされた可能性があることが判明しました。なお、「MOVEit」の脆弱性については、米国を含めて各報道機関により報じられているとおりです。

弊社は本件を非常に深刻に受け止め、迅速に対応し調査するための措置を講じており、サイバーセキュリティの主要な専門家と協力して、不正な方法でアクセスされたデータを分析・調査いたしました。

皆さまにはご心配とご迷惑をおかけすることとなり、深くお詫び申し上げます。

1. 経緯

5 月 31 日(水)、Progress Software 社から、弊社が第三者との情報共有のために使用する、同社のセキュアファイル転送ソフトウェア「MOVEit」において、重大な脆弱性が見つかり、ProgressSoftware 社の多くの顧客企業に影響を与えており、その結果、同システム上で保管されているデータが不正にアクセスされた可能性があるとの警告がありました。これを受け、弊社はこの問題を収め、リスクを軽減するため、外部のフォレンジック調査機関に調査を依頼し、迅速かつ包括的な対応を行いました。また、弊社日本法人においては、速やかに、個人情報保護委員会に本件の報告を行いました。

2. 現在の状況と影響範囲

サイバーセキュリティの専門家の協力のもと、調査を行った結果、MOVEit」のサーバーへの不正アクセスが情報漏えいの原因であると判明しました。また、調査の結果、2018年6月13日から 2023年 5 月 31 日までに弊社が運営する医療従事者専用サイトに任意にアカウントのご登録をいただいた医療従事者(※)及び弊社からヘルスケア、メディカル、サイエンスに関する情報を受け取ることにご同意頂いた医療従事者の皆様並びに 2014 年 2 月 28 日から 2023 年 5 月 31 日の期間中に弊社日本法人に在籍されていた弊社の役職員の皆様に関する以下のデータが流出した可能性があることが判明しました。なお、クレジットカード情報やマイナンバーに関する情報は、漏えいしたおそれはありません。

(※)対象となる医療従事者の方は、2018 年 6 月 13 日から 2023 年 5 月 31 日までに以下の専用サイトに登録された方になります。

https://www.bmshealthcare.jp/

https://www.bmsoncology.jp/

https://www.car-t.jp/

https://www.eliquis.jp/

https://www.empliciti.jp/

https://www.hemapedia.jp/

https://www.orencia.jp/

https://www.sotyktu.jp/

https://www.sprycel.jp/

https://www.yervoy.jp/ 

■流出した可能性のある個人情報

  • 弊社が運営する医療従事者専用サイトに任意にアカウントのご登録をいただいた医療従事者の皆様に関する以下の情報
    - 氏名、 勤務先、 勤務先住所、 勤務先電話番号、 E メールアドレス、職業、ハッシュ化されたパスワード
  •  2014 年 2 月 28 日から 2023 年 5 月 31 日の期間中に弊社日本法人に在籍されていた方に関する以下の情報
    - 氏名、生年月日、性別、住所、電話番号、業務用メールアドレス(ご退職された場合は現在は利用不可)
    - 弊社に勤務していた情報(入社日、離職日、ジョブグループ、ジョブ ID、役職名、現職・退職に関する情報、職種、担当していた施設の情報、出身地域等に関する情報)

3. 今後の対応

弊社は、今回の事態を厳粛に受け止め、再発防止のための対策を講じてまいります。引き続き、この件についての調査を継続し、皆様へのご迷惑を最小限に止めるべく取り組んでまいります。

また、パスワードを含め、流出した可能性のある個人情報については、ハッシュ化するなど一定の措置を講じており、現時点では二次被害の報告等は受けておりませんが、二次被害を可能な限り予防するべく、弊社が運営する医療従事者専用サイトにご登録をいただいた医療従事者の皆様におかれましては、パスワードの変更手続きをお願いしたく存じます。大変お手数をおかけしますが、ご協力のほど、よろしくお願いいたします。

万が一、身に覚えのない電子メール等が届いた場合には、不審な添付ファイルを開かない、不審な URL リンクをクリックしない等のご対応をお願いいたします。

リリース文アーカイブ

【セキュリティ事件簿#2023-353】アイホン 当社米国法人への不正アクセス発生について 2023年8月18日

 

2023年7月25日(米国時間)、当社米国の販売子会社であるAIPHONE CORPORATIONにおいて、第三者による社内ネットワークへの不正アクセスを受けたことが確認されました。

本事象を確認後、被害拡大を防止するため、ただちに他拠点とのネットワークを遮断する等の対策を講じ、外部の専門機関による調査を行っております。なお、現時点において当社グループの他拠点への影響及び、外部への情報漏洩やお客様をはじめ関係各位に影響を及ぼす被害は確認されておりません。今後、当社の経営成績に重要な影響を及ぼすことが明らかになった場合は、速やかに開示いたします。

御取引先様をはじめとする関係各位におかれましては、ご心配をお掛けすること深くお詫び申し上げます。

リリース文アーカイブ

【セキュリティ事件簿#2023-352】茨城・土浦市役所職員、同僚の人事情報を不正収集し書類送検される。



 茨城県土浦市役所の31歳の男性職員が、他の職員の人事評価や役職、経歴などの情報を不正に収集し、私用のハードディスクに保存していたとして、不正アクセス禁止法違反および市の個人情報保護条例違反の疑いで書類送検されました。この事件は、昨年9月に「人事課しか知らない情報を知っている職員がいる」との情報が別の職員から提供されたことをきっかけに発覚しました。

男性職員は、2021年12月18日に市のサーバーから836人の職員の情報を収集し、私用のハードディスクに保存していたとされています。彼はこの行為について、「自らの評価を上げるため、希望部署などの職員の評価を知りたかった」と説明しています。また、彼は今年3月から休職中であり、外部への情報の漏洩は確認されていません。

土浦市役所はこの事件について、市民や関係者に対して謝罪し、新たなセキュリティーシステムの導入や職員教育の強化を行うとの声明を発表しました。

出典:不正アクセス疑い、茨城・土浦市職員を書類送検

【セキュリティ事件簿#2023-351】高知工科大学 不正アクセス及び個人情報の漏洩の可能性に関するお知らせとお詫び 2023年9月4日


この度、本学の教員が運用している研究用サーバを介して、本学のサーバを含む本法人ネットワーク内の複数のサーバへの不正な侵入及び不審なプログラムの書込みがあった事案が確認されました。これに関連し、不正アクセス者により本学の教職員・学生を含む関係者の個人情報が参照された可能性を排除できないと判断いたしましたのでお知らせいたします。

なお、現在のところ、これらの情報を悪用した被害は確認されておりませんが、個人の情報が漏洩した可能性のある方々に対して謝罪するとともに、事案の説明及び二次被害を防ぐための対応についてお願いをしているところです。

このような事態が発生し、関係者のみなさまには多大なご迷惑をおかけしましたことを深くお詫び申し上げます。本学では、今回の事態を重く受け止め、調査及び原因究明に努めるとともに、ソフト・ハードの両面から情報セキュリティ対策を再点検し、より一層強化することで再発防止に取り組んでまいります。

1 本件の経緯

① [不正アクセス検知]

令和 5 年 8 月 13 日(日)、本学の教員が運用している研究用サーバを経由して、本法人ネットワーク内のサーバへの不正アクセスが検知され、不審なプログラムが書き込まれていました。この際、本学の教職員に付与された複数の業務用アカウントが不正に利用されたことが判明いたしました。

② [事後調査]

不正アクセス検知以降調査を進めた結果、令和 5 年 8 月7日(月)以降に本学の他の研究用サーバへも不正に侵入され、それらを介して、本学 Web サーバ及びメールサーバへも不正にアクセスが行われていたことが判明いたしました。

 

※本事案については、8 月 14 日(月)に文部科学省に第一報を入れるとともに、高知県警察にも報告いたしました。

2 漏洩の可能性のある情報

① 不正アクセス者により収集された情報
  • 本法人教職員のメールアドレス 991 件(一部氏名含む)
※退職者等、削除済みメールアドレス含む
  • 本学への求人実績のある企業・団体等のメールアドレス 808 件(一部電話番号含む)
② 一時的に参照可能な状態にあった情報

不正にアクセスされた業務用アカウント7人分の送受信メールのうち 1 人の受信メールに次の本学学生の個人情報リストが含まれていました。
    • 氏名、メールアドレス、授業の予習及び復習課題の評価 98 人分
    • 氏名、学籍番号及び所属研究室名 56 人分
3 現在までの対応

本事案の発覚後ただちに、不正に利用された業務用アカウントのパスワードを変更し、不正アクセスに利用された研究用サーバをネットワークから遮断し、隔離しました。不正アクセスを受けた法人内の業務用サーバについては、ウイルスチェックにより不審なプログラムを駆除し、セキュリティアップデートを最新の状態にしました。さらに、全教職員に対して、パスワード変更をはじめとするアカウントのセキュリティ強化等の注意喚起を実施しました。

4 今後の対応

再発防止に向けて、情報セキュリティポリシーの見直しをはじめ、ネットワークのセキュリティ強化を図るとともに、全教職員に対して個人情報の取扱い及び業務用アカウントの適切な管理を行うよう、周知徹底を継続して参ります。

また、本事案を受けて、問い合わせ窓口を次のとおり設置し、漏洩の可能性のあった方々からの問い合わせに対応いたします。

【セキュリティ事件簿#2023-350】株式会社ベネフィット-イオン 弊社が運営する「体臭対策ドットコム」への不正アクセスによる 個人情報漏えいに関するお詫びとお知らせ 2023年9月4日


このたび、弊社が運営する「体臭対策ドットコム」におきまして、第三者による不正アクセスを受け、お客様のクレジットカード情報(244件)が漏洩した可能性があることが判明いたしました。

お客様をはじめ、関係者の皆様に多大なるご迷惑およびご心配をおかけする事態となりましたこと、深くお詫び申し上げます。

なお、個人情報が漏洩した可能性のあるお客様には、本日より、電子メール及び書状にてお詫びとお知らせを個別にご連絡申し上げております。

弊社では、今回の事態を厳粛に受け止め、再発防止のための対策を講じてまいります。

お客様をはじめ関係者の皆様には重ねてお詫びを申し上げますとともに、本件に関する概要につきまして、下記の通りご報告いたします。

1.経緯
2023年3月17日、一部のクレジットカード会社から、弊社サイトを利用したお客様のクレジットカード情報の漏洩懸念について連絡を受け、2023年3月17日弊社が運営する「体臭対策ドットコム」でのカード決済を停止いたしました。
同時に、第三者調査機関による調査も開始いたしました。2023年5月19日、調査機関による調査が完了し、2022年11月5日~2023年3月17日の期間に「体臭対策ドットコム」で購入されたお客様クレジットカード情報が漏洩し、一部のお客様のクレジットカード情報が不正利用された可能性があることを確認いたしました。
以上の事実が確認できたため、本日の発表に至りました。

2.個人情報漏洩状況

(1)原因
弊社が運営する「体臭対策ドットコム」のシステムの一部の脆弱性をついたことによる第三者の不正アクセスにより、ペイメントアプリケーションの改ざんが行われたため。

(2)個人情報漏洩の可能性があるお客様
2022年11月5日~2023年3月17日の期間中に「体臭対策ドットコム」においてクレジットカード決済をされたお客様227名で、漏洩した可能性のある情報は以下のとおりです。
  • クレジットカード番号
  • 有効期限
  • セキュリティコード
【ユーザ個人情報】
  • メールマガジンリスト:氏名・メールアドレス
  • 購買履歴:住所、電話番号、氏名、購買情報、IPアドレス
上記に該当する227名のお客様については、別途、電子メール及び書状にてにて個別にご連絡申し上げます。

3.お客様へのお願い

既に弊社では、クレジットカード会社と連携し、漏洩した可能性のあるクレジットカードによる取引のモニタリングを継続して実施し、不正利用の防止に努めております。

お客様におかれましても、誠に恐縮ではございますがクレジットカードのご利用明細書に身に覚えのない請求項目がないか、今一度ご確認をお願いいたします。万が一、身に覚えのない請求項目の記載があった場合は、たいへんお手数ですが同クレジットカードの裏面に記載のカード会社にお問い合わせいただきますよう、併せてお願い申し上げます。

なお、お客様がクレジットカードの差し替えをご希望される場合、カード再発行の手数料につきましてはお客様にご負担をお掛けしないよう、弊社よりクレジットカード会社に依頼しております。

4.公表が遅れた経緯について

2023年3月17日の漏洩懸念から今回の案内に至るまで、時間を要しましたことを深くお詫び申し上げます。

本来であれば疑いがある時点でお客様にご連絡し、注意を喚起するとともにお詫び申し上げるところではございましたが、不確定な情報の公開はいたずらに混乱を招き、お客様へのご迷惑を最小限に食い止める対応準備を整えてからの告知が不可欠であると判断し、発表は調査会社の調査結果、およびカード会社との連携を待ってから行うことに致しました。

今回の発表までお時間をいただきましたこと、重ねてお詫び申し上げます。


5.再発防止策ならびに弊社が運営するサイトの再開について

弊社はこのたびの事態を厳粛に受け止め、調査結果を踏まえてシステムのセキュリティ対策および監視体制の強化を行い、再発防止を図ってまいります。
改修後の「体臭対策ドットコム」の再開日につきましては、決定次第、改めてWebサイト上にてお知らせいたします。

また、弊社は今回の不正アクセスにつきまして、監督官庁である個人情報保護委員会には2023年3月17日に報告済みであり、また、所轄警察署にも2023年8月8日被害申告しており、今後捜査にも全面的に協力してまいります。

【セキュリティ事件簿#2023-349】神奈川県 委託事業者による個人情報の流出について 2023年09月04日

生活困窮者支援を行う民間事業者のホームページが不正アクセスを受け、県の委託事業に関連して当該事業者が収集した個人や団体のメールアドレスが流出していることが判明しました。

1 概要

県の研修事業の委託先である民間団体「かながわ生活困窮者自立支援ネットワーク」が運営する「かながわ生活応援サイト」が不正アクセスを受けたことにより、 本日、県の所属メールアドレス及び職員の業務用個人メールアドレスに、複数の不審メールが送付されました。

当団体に状況を確認したところ、研修参加者に関する個人情報の流出が判明しました。

2 流出した個人情報

県の委託事業により収集している個人情報は、研修参加者の所属、氏名、メールアドレスですが、詳細については、委託事業者において、現在確認中です。

なお、これまでの研修参加者を含む流出データ数は約500名分です。

また、流出したデータについては、抜き出された可能性も含めて、当団体からはアクセスができない状況となっており、バックアップもないため、1件ごとの詳細は不明です。

3 今後の対応

データの復旧は難しい状況ですが、個人情報の流出など詳細については、委託事業者において、現在確認中です。


【セキュリティ事件簿#2023-348】新宿スタジオ、公式Webサイトを改ざんされる

8月31日から9月4日の間に、公式ウェブサイトが不正に改ざんされ、虚偽の「破産」情報が掲載されたという被害が報告されている。これらの情報は事実ではなく、関連性はまだ明らかではないが、調査が進行中である。

被害を受けたのは、鹿児島市の中華料理店「鹿児島王将」、神奈川県三浦郡の研修施設「湘南国際村センター」、東京都杉並区のコンサルティング会社「コミュニケーションコンサルティング」、東京都渋谷区の映像会社「新宿スタジオ」、東京都中野区の精肉店「西島畜産」など。

これらのサイトには、「2023年8月31日に破産手続きを開始した」との偽の情報が掲載されていた。また、湘南国際村センター、新宿スタジオ、西島畜産では、迷惑メールの送信も確認されている。

湘南国際村センターは、ファイル転送サーバーが攻撃を受け、データが改ざんされたと明らかにした。一方、西島畜産は、店舗で使用しているメール配信システムに不正アクセスの疑いがあり、ウェブサイトのデータも削除されたことが判明している。

出典:公式サイトに「破産した」の偽情報 改ざんの被害続々 研修施設、コンサルなどで

【セキュリティ事件簿#2023-347】コミュニケーションコンサルティング お客様への大切なお知らせ 2023年9月5日

 

平素より格別のご高配に賜り厚く御礼申し上げます。 

2023年9月4日午前0時頃、第三者からの不正アクセスにより弊社ホームページが改ざんされている事実が判明しました。

これをうけ、弊社ホームページを一時メンテナンスいたしました。

改ざん内容として「2023年9月4日付で破産手続きを開始いたしました。」との記載がございましたが、全くの事実無根です。本件に関してまして警視庁に報告を済ませております。

皆様にはたいへんご迷惑、ご心配をおかけし、誠に申し訳ございませんでした。

今後もコミュニケーションコンサルティングは皆様がゴールを実現するサポートに全力を尽くします。引き続きよろしくお願い申し上げます。  

リリース文アーカイブ

【セキュリティ事件簿#2023-346】山形大学 本学への不正アクセスによる個人情報の流出の可能性に関するお知らせとお詫び 2023年9月1日


このたび、本学で運用している研究室ホームページのサーバが不正アクセスを受け、改ざん・不正プログラムが書き込まれるという事案が確認され、本学が保有する個人情報が漏洩した可能性を排除できないということが判明しましたのでお知らせいたします。

今回このような事案が発生し、関係者の皆様に大変なご迷惑をお掛けすることとなり、深くお詫び申し上げます。本学では、今回の事態を重く受け止め、より一層、個人情報の保護、情報セキュリティ対策の適切な管理に努めて参ります。

1.本件の経緯

令和5年7月1日(土)にコンテンツサポート業者から、本学が運営している研究室の外部公開ホームページが改ざんされている旨の通報がありました。本学が調査したところ、当該ホームページで使用しているコンテンツマネージメントシステムを第三者から不正利用されたために、不正アクセスを受け、改ざん・不正なプログラムが書き込まれるという事案が確認されました。不正なプログラムは、当該サーバの仕様上、当該サーバ内の他のサイトの保存領域にもアクセス可能であること、そして当該サーバにある150サイトのうち、2つのサイトにおいて個人情報が保管されていることが判明しました。

2.漏洩の可能性のある個人情報

本学で使用していた氏名やメールアドレス等を含めた個人情報380人分

3.現在までの対応

発覚した7月1日(土)に改ざんされたドメインのホームページを閉鎖しました。対応後、再び、不正アクセスが確認されたため、7月10日(月)に該当サーバ内の全てのホームページを閉鎖しました。これまでのところ、個人情報を悪用された事実は確認されておりません。個人情報が漏洩した可能性がある方に対して、事実関係の説明、謝罪、対応窓口の設置を行いました。

なお、個人情報を取り扱うサイトは、セキュリティが強化された別サーバに移行する等の対策を行い、運営を再開しております。

4.今後の対応

個人情報を収集・保存する目的で使用する本学のサイトについて、点検・確認を実施します。

また、コンテンツマネージメントシステムの利用時には、管理者及び運用責任者を登録制にすることで管理体制を強化します。さらに、全教職員を対象とした情報セキュリティに関する研修を改めて実施して、個人情報の取り扱いについては、これまで以上に気を付けるよう徹底します。

【セキュリティ事件簿#2023-345】株式会社西島畜産 サイトメンテナンスのお知らせ 2023年9月2日

 
2023年9月2日深夜に第三者からの不正アクセスによるホームページ改ざんを受け、お客様及びお取引先様にはご心配及び多大なるご迷惑をおかけし、誠に申し訳ございません。既に警察に被害届を提出致しました

弊社小売店舗で利用しているメールマガジン配信システムに不正アクセスがあった可能性があり、メール配信システムが悪用され、一部のお客様にメールが配信されてしまいました。一部のお客様のメールアドレスが流失した可能性があります。 現在、メールアドレスを悪用されたことによる被害は報告されていませんが、警察にこれまでの事実を伝え対応をしております。また、ホームページのデータも全て削除されておりました。

お客様には多大なるご迷惑、ご心配をおかけすることになりましたこと深くお詫び申し上げます。弊社は今回の事態を重く受け止め、今後は個人情報保護対策の強化を徹底し再発防止に努めて参ります。何卒ご理解賜わりますよう、宜しくお願い申し上げます。

なお、お肉のお取り寄せ通販サイト及び自社配達は、不正アクセスを受けたものとは全く異なるサーバー・システムで運営しているため、影響はなく、クレジットカード情報をはじめとする個人情報の流出はありません。

現在、ホームページはメンテナンス中となりますが、不正アクセスを受けたサーバーではなく、新規のサーバーを用意しホームページの再構築を進めております。

お客様ならびにお取引先様には、大変ご迷惑をおかけし誠に申し訳ございませんでした。

今後もお客様にお喜びいただけるような店舗づくりを目指してまいりますので、今後とも何卒宜しくお願い申し上げます。

リリース文アーカイブ

【セキュリティ事件簿#2023-344】福岡市 個人情報の流出事案について 2023年9月1日


下記のとおり、個人情報の流出事案が発生いたしました。関係者の皆様に深くお詫びし申し上げますとともに、再発防止を図ってまいります。

1 事案概要
東平尾公園管理事務所(指定管理者:公益財団法人福岡市緑のまちづくり協会。以下、「協会」という。)の職員が、勤務時間中に自席端末からニュースサイトを閲覧していたところ、サポート詐欺に誘導され、端末を遠隔操作された。
しばらくして詐欺であると気づき、電源を遮断したが、その間に、協会のサーバーに不正アクセスされ、104 名分の個人情報が流出した可能性があるもの。

2 流出した可能性があると想定される個人情報:104 名
① 平成 30 年度ベスト電器スタジアムバックヤードツアー参加者名簿(32 名)
  • 氏名(漢字・フリガナ) ・郵便番号 ・住所 ・年齢
  • 属性(小学校名、学年、参加団体名)
② 東平尾公園野球場及び体育館の利用団体代表者連絡先一覧(72 名)
  • 団体名 ・代表者連絡先 ・代表者氏名(カナ) ・団体人数 ・種目

3 事案発生日時
 令和5年8月 16 日 19 時 55 分頃

4 事案発覚日時
 令和5年8月 23 日 11 時 40 分頃

5 事案発生後の対応等
 現在、対象者に対し、電話などにより事案発生について説明、謝罪を行っている。

6 再発防止策
 情報セキュリティ研修を行い、情報機器の適切な取扱いについて改めて周知徹底を行い、再発防止策を講じる。

【セキュリティ事件簿#2023-343】奈良県 不正に取得された教職員のメールアドレスからの不審なメールの送信について 2003年9月1日


このたび、奈良県教育委員会が運用しているドメイン(e-net.nara.jp)において、教職員のメールアドレスが不正に取得され、漏えいしたことが判明しました。詳細は現在調査中です。

現在のところ、不正取得された1件のメールアドレスから約 1,500 件の宛先にメールが送付されたことが確認されています。

不審なメールが送付された方々には、ご迷惑、ご心配をおかけしましたことを深くお詫び申しあげます。このような事態を招いたことを重く受け止め、今後、原因の究明に努めるとともに、セキュリティ対策を強化し再発防止に努めてまいります。

1 事案の内容
  • 8月 25 日(金)及び 28 日(月)に、メールアドレスを不正取得された者に対し、メール受信者から不審なメールが届いたと申告。
  • 8月 30 日(水)教育研究所(@e-net.nara.jp 管理者)に、メール受信者から不審なメールが届いたと連絡。県教育委員会が当該アカウントの履歴等を確認。同アカウントから約 1,500 件のメールが送信されていることを確認。
2 原因

外部からのメールを受信した際、確認が不十分なまま、メール本文中の URL をクリックしたため、メールアドレスを不正に取得されたもの。

3 対応
  • 8月 30 日(水)当該アカウントの停止
  • 8月 31 日(木)不審なメールの送信先に状況説明と謝罪をメールにて連絡。
  • 8月 31 日(木)全教職員(e-net.nara.jp のアドレス付与者)に不審メールへの対応について注意喚起をメールにて実施
  • 引き続き、ログを解析し、さらなる情報流出がないかの確認と流出経路の特定中。なお、上記不審なメール送信の他、本日までにこの情報流出による被害の報告はない。

【セキュリティ事件簿#2023-342】株式会社湘南国際村協会 弊社を装った迷惑メール(なりすましメール)につきまして 2023年9月1日


本日、実在する弁護士および弁護士事務所の名前で、湘南国際村協会のお客様や関係者あてに、
当協会が8月31日付で破産手続きを開始した、との事実無根のメールが配信されました。

これらのメールは弊社社員になりすまして送信された悪質なメールで、
弊社及び弊社代理人が送付したメールではございません。

また、当協会のFTPサーバーもハッキングされ、データを書き換えられましたため、
9月1日午前4時半ごろより16時ごろまでホームページを表示することができない状態となっておりました。

当サーバーへのアクセスログの確認および被害の状況につきまして確認を進めております。
詳細が判明しましたら、改めてご報告させていただきます。

メールを受信された皆様には多大なご迷惑をおかけしましたことを、深くお詫び申し上げます。