【セキュリティ事件簿#2023-397】薩摩川内市 令和5年度上半期 懲戒処分の公表について(市長部局)


鹿児島県薩摩川内市は、市民の個人情報を業務外で不適切にアクセスしたとして、水道局の40代職員を戒告の懲戒処分にし、上長には訓告処分を行ったと発表しました。この処分は9月27日付けで通知されました。市によると、職員は5月1日に市の住民情報システムを使って、漏水の問題で対応した住民の情報を業務終了後も2回閲覧していました。職員は約6カ月間漏水関連の調査業務に従事しており、閲覧した理由として、漏水を訴えた住民のその後が気になったためと述べ、悪意はなかったものの、業務外での閲覧については反省していると表明しました。また、職員は情報漏洩を否定しています。

この問題は、住民からの相談がきっかけで発覚しました。相談者は職員が第三者に対して住民の旧姓、年収、勤務地、親戚の住所などの個人情報を話していると訴えました。しかし、市の調査では、職員に与えられた閲覧権限を超えたアクセスは確認されず、親戚の住所については調べる手立てがないとされました。そのため、市は職員による第三者への情報漏洩はなかったと判断しました。

同市は再発防止策として、職員全体に対して個人情報の取り扱いを含むセキュリティ研修を進めるとともに、綱紀粛正の通知を発出しています。


【セキュリティ事件簿#2023-396】野辺地町 USBメモリー紛失についてのお詫びとご報告


このたび、健康づくり課において、業務に関わる町民の個人情報を保存した公用USBメモリーを紛失する事案が発生しました。

皆様には、多大なるご迷惑をおかけしたことを深くお詫び申し上げますとともに、再発防止に努めてまいります。

また、身に覚えのない者からの不審な手紙やハガキが届くこと等がありましたら、お手数ですが相談窓口までご連絡いただきますようお願いいたします。

1 概要

(1) 発覚の日時
令和5年8月31日(木)15時頃

(2) 経緯
8月31日(木)15時頃に健康づくり課職員が当該USBメモリーを使用するため保管場所を開けたところ、当該USBメモリーがないことに気付きました。そのため、当該USBメモリーを最後に使用したと思われる同課の他の職員に確認したところ、前日の8月30日(水)に使用し、17時30分頃に保管場所に戻し、帰宅していたことがわかりました。
その後、執務室内を捜すとともに課内職員への確認を行いましたが発見には至りませんでした。
翌日以降も執務室内を数回確認し、捜索範囲を健康増進センター全館や公用車内にも広げ、また、最後に使用したと思われる職員の自宅や自家用車内も捜しましたが、現在まで発見には至っていません。

2 漏えいのおそれのある個人情報

新型コロナワクチン接種済者等約13,400人分(転出、死亡者含む。)の、住所、氏名、生年月日、性別、接種履歴等

3 発生原因

使用管理簿等を用いた管理が行われていなかったことや、USBメモリーを鍵のかからない脇机引き出しで保管するなど、適正な管理がなされていなかったことによるものです。

4 二次被害のおそれの有無

現在のところ二次被害の報告は入っていません。

5 相談窓口

相談窓口を設置しています。

6 再発防止策

職員に対し、改めて関係規定の遵守の徹底をするとともに、USBメモリー等の外部記憶媒体の取扱方法を次のとおり全庁で強化します。
    1. 保管は施錠可能な場所とし、所属長が管理します。
    2. 職員が使用又は返却する際は、使用管理簿に記入した上で、所属長の確認を得ることとします。
    3. USBメモリーは一時記憶媒体として使用し、使用した後は保存データを削除します。
    4. USBメモリーを暗号化対応型のものに切り替えます。
    5. 指定した業務以外でのUSBメモリーの使用を禁止します。
○ 不審な者からの連絡や訪問、手紙・ハガキ等が届き身に覚えのない料金の請求をされたなどといった場合は、下記の相談窓口又は、最寄りの警察署にご相談くください。

【セキュリティ事件簿#2023-395】千葉市 市立小学校教諭によるSDカードの紛失について


市立小学校教諭による、個人情報を含むSDカードの紛失がありましたので、お知らせします。

このたびは、関係者の方にご迷惑をおかけしたこと、また、市民の皆さまへご心配をおかけしたことを心よりお詫び申し上げるとともに、今後、再発防止および個人情報の適正な管理に努めてまいります。

1 概要

令和5年9月5日(火)に、教育委員会宛てにSDカードが郵送され、内容を確認したところ、市立小学校教諭個人が所有していたSDカードで、当該教諭が紛失したものであることが判明した。紛失経緯は、現在確認中である。

当該SDカードには市立小学校に在籍していた児童の個人情報が含まれていた。

なお、現在のところ個人情報の漏えいによる被害等は確認されていない。

2 SDカードに保存されていた個人情報

令和2年度、当該小学校に在籍していた6学年児童の動画(6年生を送る会で流した動画など) 約90人分

3 現在の対応について

対象児童および保護者への説明と謝罪

4 再発防止の取り組みについて

  1. 情報セキュリティ事故のない信頼される学校の実現を目指すため、毎月発行しているコンプライアンス通信を活用する等、職員の情報セキュリティ意識の向上を図る。

  2. 教育委員会および学校の職員に対して、千葉市情報セキュリティ対策基本方針に基づき、情報セキュリティ対策の徹底についての通知を速やかに発出し、再発防止に努める。

【セキュリティ事件簿#2023-394】兼松株式会社 元従業員の逮捕について


昨日(2023/9/27)、昨年 6 月末に当社を退職した元従業員(以下「元従業員」)が不正競争防止法違反の容疑で警視庁に逮捕されました。

当社は、元従業員の退職後に実施した社内調査によって、元従業員が当社の営業秘密(以下「営業秘密」)を不正に取得した疑いがあることを把握したため、直ちに警視庁に相談し、捜査に全面的に協力して参りました。

本日現在、元従業員による営業秘密の不正利用や第三者に対する漏洩等は確認されておらず、公判への影響を避ける必要もございますので、詳細の公表は控えさせていただきます。

当社は、引き続き、捜査当局による捜査に全面的に協力して参ります。

【セキュリティ事件簿#2023-393】三重県聴覚障害者支援センターのパソコンへの不正アクセスによる 個人情報の漏えいの可能性のある事態の発生について (お知らせとお詫び) 2023/9/30


このたび、三重県聴覚障害者支援センターのパソコンが不正アクセスを 受け、センターが保有管理する個人情報の漏えいの可能性のある事態が発生いたしました。

このような事態を招き、利用者をはじめ関係者の皆様にご迷惑、ご心配をおかけすることとなり、深くお詫び申し上げます。

漏えいの有無については現在調査中であり、後日、調査結果が判明した際は改めて皆様にお知らせさせていただきます。

リリース文アーカイブ

【セキュリティ事件簿#2023-392】内閣府職員の不正行為: 公益財団に対する情報を意図的に漏洩

 

2023年9月29日、内閣府は公益法人行政担当室に所属する職員Aが公益財団の職員から受け取った情報を故意にその公益財団に漏らしていたことを公表しました。

この情報提供は2022年10月に行われ、職員Aは公益財団のウェブサイトの問い合わせフォームを通じて情報提供の事実と情報提供者の氏名を漏らしました。

この事態は2023年8月に情報提供者が国を相手に訴訟を起こしたことで明らかとなりました。

職員Aは、この漏洩事件を認め、その時点で文部科学省から公益法人行政担当室に出向していたことも判明しました。

内閣府の公益法人行政担当室はこの事件を受けて、マニュアルを改訂し、研修を強化することで再発防止を図ると明言しています​。

出典:内閣府の職員が公益財団に情報提供者の氏名や内容を流出

【セキュリティ事件簿#2023-391】三重県 宇治山田高校における高校生活入門講座参加登録者の個人メールアドレスの再漏洩について 2023年09月27日

 

1 要旨

宇治山田高校において、高校生活入門講座参加登録者421名に対し、メールアドレスが宛先欄に入ったメールが送信され、再度、メールアドレスが漏洩しました。

2 内容

(前回の概要)

令和5年9月19日(火)、本校教頭が高校生活入門講座参加登録者421名に、入門講座のアンケートへの回答依頼のメールを送信した際、メールアドレスを宛先欄に入力して送信したことにより、メールアドレスが漏洩しました。 

(今回の概要)

・9月26日(火)11時26分、教頭が、19日の誤送信メールを整理した際、メール機能について十分に理解しないまま操作を行ったため、高校生活入門講座参加登録者421名にメールアドレスが宛先欄に入ったメールが自動的に送信されました。

・教頭は、19日付メールを削除する目的で、メールの「メッセージの取り消し」機能を使用しました。「メッセージの取り消し」機能では、送信済みのメールは削除できず、19日付メールの送信先全員に「このメールを取り消します」旨が自動的に送信されました。宛先も19日と同様の状態で送信されました。

・11時30分頃、入門講座参加登録者の保護者から学校に電話で「メールが届いたが、今回もアドレスが見られる状態にある」と指摘があり、漏洩が判明しました。

・13時06分に、学校から参加登録者全員にお詫びと、再度削除依頼のメールを送信しました。


3 今後の対応

今後、決してこのようなことのないよう、改めてメールアドレスの管理を確実に行うとともに、アプリケーションソフトの操作方法についての研修を深め、再発防止を徹底します。

【セキュリティ事件簿#2023-390】株式会社チューリップテレビ 個人情報の漏えいについて 2023年10月4日


株式会社チューリップテレビ(本社 富山県富山市 代表取締役社長 山野昌道)は、自社制作番組で収集している個人情報が漏えいしたことを確認しました。ご紹介させていただきました方、ご応募をいただいた方をはじめ、視聴者や関係先の皆様に多大なるご迷惑をおかけし、深くお詫び申し上げます。

なお、これまでに本件に関する個人情報の不正な利用などは確認されておりません。

漏えいの内容

お誕生日をお祝いする番組『ハッピータイム』でご紹介した方や、その応募者の方の個人情報が、チューリップテレビの公式アプリ「チュプリ」の画面上で閲覧可能な状態になっていました。

1.閲覧できる状態になっていた時間
2023年10月3日(火)午後3時ごろ~午後11時ごろ

2.閲覧できるようになっていた個人情報
ハッピータイムに応募した方の電話番号
お誕生日の方の氏名、生年月日、住所(都道府県と市町村)、性別、それに写真応募者とお誕生日の方の関係、お祝いのメッセージ

3.閲覧できる状態になっていた件数
32件(2023年5月2日から9月7日までに応募された方)

4.漏えいが発覚した経緯
2023年10月3日(火)午後10時54分頃に、チュプリ会員から「チュプリ」の画面上で個人情報が閲覧可能な状態になっている旨、指摘を受けて確認した。

5.原因
システムを担当する委託業者が、アプリのプログラム改修を行ったことにより、既存のプログラムに影響が出た。作業後の確認が不十分だった。
今後、作業前に影響等についての十分な検証を行い、また、作業実施後は、正常な動作になっているか詳細に確認することとし、再発防止に努めてまいります。ご迷惑とご心配をおかけしたことを重ねてお詫び申し上げます。

リリース文アーカイブ) 

【セキュリティ事件簿#2023-389】富士ソフト株式会社 当社の社内システムに対する不正アクセスについて(10/2追記) 2023/9/27

 

今回発生した不正アクセスは、当社を狙った標的型攻撃であることが調査により判明しました。攻撃により一部の環境の侵害を受けましたが、すぐに封じ込めができており、また他の環境にもマルウェア感染等の被害が出ていないことを確認できています。攻撃者の侵入経路は既に特定し封鎖済みであり、9月22日以降は攻撃も確認されていません。

本日時点において当社内で影響範囲の特定と対策はできておりますが、引き続き第三者機関にも協力を頂き、さらに厳密な範囲の確認、発生事象の詳細確認等を行い、最終的な対応を行う予定です。

本件に関して、関係する皆様にご迷惑とご心配をおかけいたしますことを心よりお詫び申し上げます。

今後、同様の事態を起こさないよう、再発防止に努めるとともに、不正アクセスなどの犯罪行為には厳正に対処してまいります。

リリース文アーカイブ

セゾンプラチナ・ビジネス・アメリカン・エキスプレス・カードの改悪に伴い、解約を決意

 

これまでセゾンプラチナビジネスカードを愛用していたが、「SAISON MILE CLUB」の改悪に伴い、解約することにした。

セゾンプラチナビジネスカードは一時期最大1.4%近くのマイル還元率を狙える最も優秀なカードで、年会費も決済額が200万円を超えると半額になるなど、コストパフォーマンスも高いカードだった。

その後細かい改悪が続き、今回の「SAISON MILE CLUB」の改悪を受けて遂に撤退を決定した。

後続をどうするかだが、現在の方針は下記の通り。

・JALカードSuicaの活用

 現在使用しているJALカードSuicaの”CLUB Aカード”を”CLUB Aゴールドカード”にアップグレードする。JALカードSuicaのCLUB Aゴールドカードは毎年100万円以上決済すると5,000JREポイント(≒3,333JALマイル)がもらえるので、これでセゾンプラチナビジネスカードの還元率を超える。


・JQ CARD エポスゴールドの検討

JALカードの決済ボーナスは100万円までなので、マイル還元率1%を超えるカードがあればそのカードを併用するのが良い。現在検討しているのはJQ CARD エポスゴールド。

一定条件を満たすと年会費がかからない。

10,000円の決済につき、100エポスポイント⇒100JRキューポポイント⇒100Pontaポイント⇒50JALマイルと遷移させることが可能。

JALマイル還元率は0.5%になるが、年間100万円決済すると10,000ポイント(=5,000JALマイル)獲得できる。

これだけだとJALカードでいいじゃんっていう話になるが、Pontaポイント⇒JALマイルは定期的にレートアップキャンペーンをやっているため、これらを活用できると1%を超えることができる。

さらに、JQ CARD エポスゴールドの特典として、「選べるポイントアップショップ」なるものがあり、事前に3店舗まで登録して使うと、登録した店舗に限りポイントが3倍になる。

これらを活用できると最大1.25倍程度のJALマイル還元率が狙える。

いきなりJQ CARD エポスゴールドに入会してもよいのだが、ちょっと芸が無いため、コチラのサイトを参考に一旦エポスカードを発行してクレカ発行ポイントを頂いたのちにJQ CARD エポスゴールドへのインビテーションを貰う作戦を取ってみることにした。

さて、どうなることやら。

【恥ずかしい話】優待取りは意外にコスト高だったことを今更知る

 

株主優待を通じたポイ活をしばらくやっていたのだが、先日冷静に振り返ったところ、意外にコスト高であることが今更ながら分かった。

やっている優待取りはターゲットとなる株式を現物で買いつつ、信用取引で同じポジションを空売りする方式。

この方法だと、同じ金額で売買するためリスクは少ないと思っていた。

当然コストは発生するが証券会社の手数料程度でバイマイルの範疇に入ると思っていた。

今回反省するきっかけになった取引は以下。

【アウトライン】

某L社株

仕掛かり:826円(成行)

手仕舞:794円(成行)

取引数量:2,000

優待:2,400JALマイル

【当初想定】

現物仕掛かり手数料:-660円

現物手仕舞い手数料:-660円

現物売却損:-66,660円

信用貸株手数料:-199円

信用返済益:66,660円

現物配当:2,550円

信用配当調整金:-2,709円

---------------------------------

コスト計:1,669円


こんな感じで、1マイル0.7円で調達できる算段だった。


ところが、ふたを開けてみるとこんな感じ。


【結果】

現物仕掛かり手数料:-660円

現物手仕舞い手数料:-660円

現物売却損:-66,660円

信用貸株手数料:-199円

信用返済益&支払い日歩:-22,599円

現物配当:2,550円

信用配当調整金:-2,709円

---------------------------------

コスト計:90,937円


こうなると1JALマイルのコストが37.89円となり、全くメリットが無い。

想定を大きく狂わせたのは日歩。

これは信用取引で株式を借りる際にかかる手数料。

実は仕掛時に前日の日歩はチェックしていたのだが、実際にどうなるかがやってみないと分からないところに恐ろしさがある。

しかも仕掛けは権利落ち日に実行するので、日歩のコストが高いからやめるといった柔軟な行動ができない。

こういうコツコツドカンは避けなければいけないというのは小次郎講師の教え。

という訳で優待取りによるマイル調達からは手を引くことを決定。

JALマイルの調達に関してはマリオットポイントを地道に貯めていくのが最も確実であることが分かった。

幸いにして住信SBIネット銀行の外貨積立スキームでドルを低コストで調達するスキームが確立できたので、マリオットポイントの最大セールス時にまとめ買いをして効率よくJALマイルを調達していきたい。

【セキュリティ事件簿#2023-389】富士ソフト株式会社 当社の社内システムに対する不正アクセスについて 2023/9/27


富士ソフト株式会社は、社内システムに対して第三者から複数の不正アクセスがあり、2023年9月22日に社内情報の一部に情報漏えいの可能性があることを確認いたしました。現在、関係機関への報告は完了しており、その後の対策で被害も最小限にとどめられていると判断しています。

また、第三者機関の協力も得ながら、引き続き、発生事象の詳細および原因の調査、防衛対策に取り組んでおりますが、今後の調査により、関係者の皆様に影響の可能性がある事象が明らかになった場合には、速やかにご報告させていただきます。

【搭乗記】日本航空JL464 徳島阿波おどり空港(TKS)⇒羽田空港(HND)

 

四国旅行を終えて羽田に帰るフライト

今回の旅程はざっくり↓の感じ。


徳島市を中心に淡路島行ったり、南下したり、山奥行ったりし、最終日は大歩危から高松を経由して徳島に戻る行程。

フライトは最終便なので、ギリギリまで敢行したこともあり、空港に着いたときはグロッキー状態だった。

この日はハッピーハロウィンということで、JALは空港スタッフが仮装していた。


行きの羽田発徳島行きは30分遅延したが、帰りは定刻通り出発。

機材は安定のB767。


非常口座席を選択したので足元広々。

足裏を壁面に付けるような下品な真似はしません。

そして限られた人のみが読むことのできる特別なカード(!?)を頂く。


平日の最終便ということもあり、隣は空席でとっても快適。

ツアー客が多かった印象だった。程なくして徳島を離陸。


暖かい飲み物が欲しくなり、ドリンクはビーフコンソメスープをオーダー。


ドリンク飲んだら寝落ちし、気が付いたら羽田に着陸していました。

ただ、どんなに疲労していてもミッションは忘れずに遂行します。これらの積み重ねが3年後の長距離国際線ビジネスクラス特典航空券に繋がります。


【Playback of flight JL464 on 31 OCT 2023】

PontaポイントからJALのマイル交換で20%のレートアップキャンペーンを実施:2023年11月1日(水)~12月31日(日)

 

日本航空(JAL)、ロイヤリティマーケティング、およびKDDIは、PontaポイントをJALマイレージバンクのマイルに交換する際のレートを通常より20%増加させるキャンペーンを、11月1日から12月31日まで実施します。このキャンペーンはJMB×Ponta会員またはJMBローソンPontaカードVisa保有者に適用され、交換レートは通常2Pontaポイントあたり1マイルから、20%のボーナスマイルが付与されます​​。

出典:JAL、Pontaからのマイル交換でレートアップ 通常より20%増、12月末まで

出典:PontaポイントからJALのマイル交換レート20%アップキャンペーン

【セキュリティ事件簿#2023-387】UTコネクト株式会社 個人情報漏洩のお知らせとお詫び  2023 年 9 月 19 日


この度、UTコネクト株式会社(本社:東京都品川区、代表取締役社長 外村学)は、当社へご応募いただいた求職登録者の情報が外部に流出したことが判明しました。現時点で判明している事実とこれまでの対応は以下の通りです。当社のサービスへご登録をいただきました求職者の皆様、およびメールをお送りしましたお客様には心よりお詫び申し上げます。当件につきましては引き続き、協議しながら対応を進めて参ります。

1.経緯概要
9 月 12 日、当社営業社員が新規お客さま向けの営業DMをメールにて配信。配信時に、求職登録者の個人情報の記載がある Excel データを添付し送信。その後 9 月 13 日、お客様からのご連絡によりファイルに 2259 名分の個人情報が含まれていることが発覚いたしました。

2.流出した個人情報の内容
当社の求人へご応募いただき、ご登録をいただいている 2259 名のデータ。氏名、生年月日、年齢、性別、住所、電話番号、保有資格、辞退理由等)となります。

3.原因詳細
今回のメール送付に関して、開示できる情報内容に加工し送付するという予定でしたが、当事者の個人情報の取扱いに対する意識不足とまた送付時の慎重な確認、組織内でのチェックが機能していなかったことによりこのような事態となりました。

4.弊社の対応
 9 月 15 日、まずは送信を行ったお客様 44 社すべてに「メール転送の有無」「印刷有無」「デスクトップ保存の有無」の確認及びデータ破棄の確認を完了しております。また個人情報保護委員会への報告を完了しております。なお、漏洩対象の皆様へは 44 社すべてのデータ破棄を確認後、19日より、ご連絡をさせていただきます。

5.二次被害又はそのおそれの有無
上記のように、送信先の特定とデータ破棄の確認を完了しており、二次被害のおそれはございません。

6.今後の対応
各事業所内における情報の取り扱い、チェック体制の再整備、営業社員への情報取り扱い教育を強化いたします。

この度は当社のサービスへご登録をいただきました求職者の皆様、およびメールをお送りしましたお客様には、多大なるご迷惑とご心配をおかけしますことを深くお詫び申し上げます。今後は一層の組織体制の強化と再発防止策に努めてまいります。

【搭乗記】日本航空JL465 羽田空港(HND)⇒徳島阿波おどり空港(TKS)

 

古い友人と徳島旅行に行くことになった。

日本国内、旅行先の候補は数多くあるが、あまり徳島を率先して選択するケースは少ないのではなかろうか?

で、何故今回徳島を選んだか?航空券が安かったからである。

Googleフライトを使うと、東京発で国内線のどこの便が安いかを簡単にチェックすることができる。テクノロジーの進化は素晴らしい!!


そんな訳で今回はある金曜日の最終便で徳島入りし、翌火曜日の最終便で羽田に戻るスケジュールを立てた。

今回は団体旅行なのでラウンジ利用は無し。

そういう時に限って遅延が発生する。。。

ただ、周りを見ると全体的に遅延祭りが発生している感じだった。


なんだかんだで30分遅れで搭乗。

機材はB767。通路側の席が2列なので、この機材は国内線ではお気に入りです。


今回は最後方の座席50Kを選択。

最後部なので、後ろに気兼ねなく席を倒せるのはメリットだが、窓が無いのがデメリット。

徳島便だからとなめてかかっていたが、搭乗便は金曜便の最終だったせいか、ほぼ満席だった。


後方座席に座ることはあまりないため、機内全体を眺められるのは新鮮だった一方、機内サービスは当然最後になります。


ドリンクは暖かいものが飲みたくなり、ビーフコンソメスープをオーダー。

自分の数列前でスープが入ったボトルが空になり、CAさんが補充に戻っていた。ビーフコンソメスープは人気のドリンクなのだろう。

そんな訳で、最後部にいながら、出来立てアツアツのビーフコンソメスープを頂くことに成功。

しばらく前からカップの蓋が紙製になっているが、どうしても不安が大きく、外してしまう。。。


そうこうするうちに着陸。最後部席は降機も最後です。たまーにやるなら新鮮でいいです。


空港バスからの移動はバスを利用。定刻発車ではなく、フライトに合わせてくれます。乗車券の購入はキャッシュレスに対応していました。


【Playback of flight JL465 on 27 OCT 2023】

【セキュリティ事件簿#2023-386】慶應義塾大学病院 電話診療による処方箋発行申込フォームをご利用いただいた皆様へ 個人情報管理上の不備に関するお詫びとご報告 2023年09月28日


このたび、「電話診療による処方箋発行申込フォーム(※)」よりお申し込みをいただいていた患者様の個人情報が、慶應義塾の関係者が特定の操作を行った場合に閲覧できる状態になっていたことが判明いたしました。

本件の対象は、当該フォーム(※)によりお申し込みをされた患者様です。対象の皆様には、フォームにご入力いただいたメールアドレス宛てに、8月25日に当院より「個人情報の漏えいに関するお詫びとご報告」というメールをお送りいたしました。

対象となられた患者様に多大なご迷惑とご心配をお掛けいたしましたことを深くお詫び申し上げます。経緯および対応については以下のとおりです。
詳細な調査に時間を要し、ご報告が遅れましたことを重ねて深くお詫び申し上げます。

(※)「電話診療による処方箋発行申込フォーム」は、「新型コロナウイルス感染症に係る診療報酬上の臨時的な取り扱い」の特例措置を受けて実施していた電話診療による処方箋発行のための申込フォーム(Googleフォーム)ですが、特例措置の終了に伴い現在は終了しております。

1.概要
病院ウェブサイトのお知らせに掲載していた「電話診療による処方箋発行申込フォーム」(Googleフォーム)について、2022年末に一時申込を休止し、2023年1月5日(木)に申込を再開する際、誤って回答用のURLではなく管理用のURLを公開しておりました。
管理用のURLを開いた場合も通常は回答用のフォームが表示されますが、「慶應義塾共通認証システム(以下、認証システム)」にログインした状態で管理用URLを開くと、回答用フォームではなく管理用フォームが表示され、かつ、管理用フォームの「回答タブ」を選択して表示を切り替えた場合に、個人情報を含む過去の申込内容を閲覧することができる状態となっていました。認証システムのIDは、慶應義塾の教職員のほか学生、一部の卒業生等も所有しています。
2023年4月28日(金)にこの認証システムのIDを所有する患者様からご連絡をいただき、事態が判明いたしました。
誤って管理用のURLを掲載していた期間は、2023年1月5日13時頃から4月28日9時頃までとなります。

2.認証システムにログインした場合に閲覧可能となっていた情報
2020年5月11日から2023年4月28日までに「電話診療による処方箋発行申込フォーム」で申し込みをされた患者様(4,858名)の以下の情報です。
氏名、生年月日、住所、電話番号、メールアドレス、診察券番号、6カ月以内に診察を受けたか、薬が何日分残っているか、前回受診時から保険証が変わっているか、次回予約日、受診予定診療科、予約医師名または予約名、処方の受取を希望する薬局名・店舗名、薬局の住所・電話番号・FAX番号

3.事態判明後の対応
事態が判明した4月28日(金)に本来の回答用URLへの差し替えを行った上で、管理用フォームのアクセス権限を本来の管理者のみに変更し、それ以外の者が管理用URLで管理用フォームを開こうとしても開かないようにしました。併せて、同日より本件に関する原因の調査を開始しました。
また、閲覧されたアクセスの記録の調査を行いましたが、画面上で一定の操作を行った閲覧者においてはアクセス記録を確認することができ、その閲覧者はいずれも他人の情報は取得していないことを確認しています。
これらの状況については、5月2日(火)に「令和2年 改正個人情報保護法」に基づき、本件について国の個人情報保護委員会及び東京都福祉保健局及び大学の所轄官庁である文部科学省に報告いたしました。
当該フォームを利用された対象の皆様には、フォームにご入力いただいたメールアドレス宛てに、8月25日に当院より「個人情報の漏えいに関するお詫びとご報告」というメールをお送りいたしました。
現在のところ今回の管理用URLへのアクセスを原因として、患者様に関する個人情報が不正に使用された事実は確認、報告されておりません。

4.再発防止について
このたびの事態が起こった原因は、Googleフォームの管理権限が本来の管理者のみに限定されず認証システムのID所有者全体についていたことと、申込再開時に誤って管理用URLを公開してしまったことにあります。
事態判明後は、Googleフォームの管理権限を必ず担当者に限定する、また、ウェブサイトを編集、公開する際には必ず複数人で内容を確認するなど、再発防止の対策を講じています。

慶應義塾大学病院では、医療個人情報の保護に関する規程を定めており、定期的な研修を実施するなど、個人情報の適切な管理に努めてまいりましたが、この度の事案により、患者様に多大なご迷惑とご心配をおかけいたしましたことを深くお詫び申し上げます。
今後、教職員一同、個人情報の管理と運営に関する意識をより一層高め、再発防止に全力を尽くして参ります。

【セキュリティ事件簿#2023-385】浜松城北工業高校の貸出iPad事件:1168名の生徒のテスト成績が露呈


浜松市の静岡県立浜松城北工業高校で、学校が生徒と教職員に貸し出していたiPadが一部教職員の不注意により、2018年度から2023年度までの1168名の生徒のテスト成績及び評定が見られる状態になっていたことが静岡県教育委員会によって明らかにされました​​​。

県教委によると、問題の根源は4名の教職員が割り当てられたアカウントからログアウトせず、その結果4台のiPadが教職員が保存していたデータにアクセスできる状態となっていたことです。このうち2名の教職員は担当授業の生徒名簿やテストの成績を保存しており、結果としてこれらのiPadを借りた任意の者が1168名の生徒のテストの点数や通知表の評定を閲覧できる状態になっていました​。

事件は25日夜、学校のホームページに匿名の通報があったことで発覚しました。その後、学校は全校生徒にアンケート調査を実施し、テストの点数等を見たり、噂を聞いたりした生徒はいなかったことが確認されました​​。

再発防止策として、県教委は貸出用端末を教職員用と生徒用に明確に区別し、管理を徹底するよう指示しています​​。

しかし、この事件は学校の情報セキュリティ管理についての議論を呼び起こし、デジタル教育リソースが増加する中で、生徒と教職員の個人情報をどのように保護し、同様の情報漏洩事件を防止するかが教育機関と学校にとって深く考慮し解決する必要がある問題となっています​​。

【セキュリティ事件簿#2023-384】下仁田厚生病院 個人情報紛失のお詫びとご報告 2023/9/29


この度、下仁田厚生病院(以下「当院」という。)において、患者様の診療情報が保存された電子記録媒体(USBメモリ)の紛失が判明いたしました。

当院といたしましては、今般の事案を重く受け止めており、該当する患者様をはじめご家族の方、日頃より当院をご利用いただいております皆様に対し、多大なるご迷惑とご心配をおかけすることに深くお詫び申し上げます。

今後におきましては、院内の個人情報対策を強化し、再発防止策の徹底に努めてまいります。

なお、現時点で、本件に係る個人情報が第三者に流出したという情報や不正に使用された事実は確認されておりません。 

1.概要

当院では、医療事務を受託業者へ委託しておりますが、当該受託業者が診療報酬明細書点検業務を行うにあたり、院内において患者様の診療記録情報を保存している当院の端末から週1回の頻度でUSBメモリを活用して受託業者が所有する端末にレセプトデータの移管作業を行っており、その過程において、所定の場所にUSBメモリが無いことが判明し、院内を捜索したものの発見に至りませんでした。 

2.個人情報の項目

紛失したUSBメモリには、令和5年6・7月分の外来患者様及び入院患者様2,013件分の診療記録情報が保存されておりました。

紛失した患者様の情報は以下のとおりです。
 ・氏名、性別、生年月日
 ・傷病名
 ・保険者番号
 ・被保険者証記号番号
 ・受診日等の診療行為情報
 ※患者様の住所や電話番号は含まれておりません

3.二次被害の可能性の有無とその内容

USBメモリは院内での紛失と認識しており、外部に流出した可能性は低いと考えておりますが、レセプトデータには傷病名や診療行為といった要配慮個人情報を含みます。

第三者に流出した場合には患者様への不審な連絡が生じるなどの可能性が考えられます。 

4.再発防止策

受託業者に対し、十分な再発防止策を講じるよう指示しており、個人情報取り扱い規定の周知徹底、業務に直接携わる者以外も含めた個人情報取り扱いに関する再教育、及び定期的な監視・モニタリング体制の整備等に取り組み、委託元として管理監督を徹底して参ります。

また、当院の職員においても、同様に個人情報の取り扱いには十分に留意し、再発防止の徹底に努めてまいります。 

5.対応

 (1) 紛失への対応
本件発覚後、8月8日付で国の「個人情報保護委員会」に対し、「個人情報の保護に関する法律(平成15年法律第57号)」第26条第1項の規定に基づき、所定の届け出を行いました。

 (2) 該当する患者様への対応
本件に該当する患者様に対し、9月27日付で一連の経緯説明とお詫びの書面をお送りしました。 

【セキュリティ事件簿#2023-208】日本国際協力センター 社会保険業務で使用する外部システムへの不正アクセスについて 2023/09/28

 

当センターの業務委託している社会保険労務士法人が社会保険等の手続きに使用するクラウドサービスについて、ランサムウェアによる第三者からの不正アクセス(以下、「本事案」)を受け、サービス提供の停止を余儀なくされておりました。

このたび、当該社会保険労務士法人よりクラウドサービス提供会社の停止していたシステムの復旧連絡とともに、調査の結果、情報漏洩の事実は確認されなかった旨の説明を受けました。しかし、個人情報の漏えいを完全に否定できる状況にはないため、不審な照会電話や郵便物等にご注意いただきますようお願い申し上げます。

1.事態の概要

 2023年6月13日(火)に、当センターが業務委託している社会保険労務士法人より次の報告を受けました。

 ①社会保険等の手続きに使用するクラウドサービス提供会社である株式会社エムケイシステム(以下、「エムケイシステム社」)社から2023年6月5日(月)に本事案に関する連絡を受けた。

 ②2023年6月6日(火)に、本事案の原因がランサムウェアによる第三者からの不正アクセスである旨の連絡を受領した。

 ③個人情報保護委員会宛本事案の速報を行った。

 その後、2023年8月8日(火)に当該社会保険労務士法人から、エムケイシステム社が外部専門機関を通じて調査した結果、システム内の登録されていたデータが外部に転送された痕跡は確認されなかった旨の連絡を受領いたしました。

 不正アクセスによる侵害のため、登録データの「漏えいのおそれ(可能性)」を完全に否定することはできませんが、現在の技術水準において可能な限りの調査を、外部専門機関を通じて実施した結果、漏えいの事実は確認されていない旨の報告を受けています(詳細は2023年7月19日付のエムケイシステム社のリリース(https://www.mks.jp/company/topics/)をご参照ください)。

 なお、社会保険労務士法人との事実関係確認等に時間がかかり、本件連絡が遅くなりましたが、当事案に関しまして不明な点等ございましたら、エムケイシステム社が設置している末尾記載の【当件に関するお問い合わせ先】にて対応いたします。

2.対象となり得る方

 当センターと雇用契約を締結したことのある方ならびにその被扶養者

3.対象となるデータの項目

 氏名、生年月日、住所、性別、電話番号、基礎年金番号、被保険者整理番号、雇用保険被保険者番号(左記の項目について、その一部又は全部)

 (注)なお、マイナンバーは流出の恐れの情報範囲には含まれていません。

4.原因

 エムケイシステム社サーバに対するランサムウェアによる第三者からの不正アクセスによるものです。

5.二次被害又はそのおそれの有無及びその内容

 エムケイシステム社がシステムの診断調査を専業とするセキュリティ専門会社に依頼し、精密な調査を実施しておりましたが、調査の結果、システム内の登録されていたデータが外部に転送された痕跡は確認されず、また、登録されていたデータがダークウェブ等に掲載されていないか調査を実施してきましたが、当該データの掲載や公開は確認されませんでした。このことを裏付けるように、本報告時点までに不正利用など二次被害の報告も寄せられておりません。

リリース文アーカイブ

【セキュリティ事件簿#2023-383】株式会社ECC 不正アクセスによる個人情報流出の可能性に関するお知らせとお詫び 2023/09/29

 

この度、弊社においてECC学習支援システム「インターセクション」開発サーバーへの不正アクセスが確認されました。2023年9月12日に第三者による不正アクセスを確認し、改めて事実関係を調査いたしましたところ、同5月16日以降、複数回の不正アクセスにより、本システム利用者のうち1,249名の生徒様の情報および教材情報の一部が流出した可能性があることが判明いたしました。

流出した可能性のある情報には、個人情報(氏名、ID、一部受講情報)が含まれておりました。情報流出の対象となった皆様、関係者の皆様には、大変なご迷惑とご心配をおかけしておりますことを心よりお詫び申し上げます。

※メールアドレス、性別、生年月日、住所、電話番号、クレジットカード情報は含まれておりません。

弊社では、これまでも個人情報取り扱い業務にあたっては、厳格な管理・運用を求め、情報管理の徹底に努めてまいりましたが、このような事態が発生したことを踏まえ、通信制限などセキュリティ強化を実施し、アカウントのID/パスワードにつきましてもより強固なものに変更するなど、再発防止策をすでに講じております。

本件につきましては、弊社内の開発サーバーの運用体制が不十分だったと重く受け止め、健全な開発運営が行えるよう改善に努めてまいります。

この度は生徒様・関係者の皆様に多大なご迷惑、ご心配をおかけしますこと、重ねて深くお詫び申し上げます。

リリース文アーカイブ

【セキュリティ事件簿#2023-382】助成金クラウド 不正アクセスに関する報告書掲載のご案内 2023/09/29

 

いつも助成金クラウドをご利用くださり誠にありがとうございます。

2023年9月25日に発生した不正アクセスによるWebサイト改ざんに関する報告書を以下ページに掲載いたしました。

https://joseikin-cloud.jp/mypage/manuals/download/report_20230929.pdf

※脆弱性対策についての記載があるため、ログイン必須とさせていただいております。

第一報より詳細なご報告内容となりますが、これまでのご報告内容と異なる要素はございません。翌日9月26日に実施した脆弱性対策により今回の不正アクセス対策は完了しておりますが、引き続き脆弱性対策、認証強化等の再発防止に取り組んでまいります。

今般の事態に至りましたこと、重ねて深くお詫び申し上げます。

リリース文アーカイブ

【セキュリティ事件簿#2023-381】株式会社酒商山田 迷惑メールに関するお詫びと注意喚起について 2023/09/22

 

平素は格別のご高配を賜り、厚く御礼申し上げます。

2023年9月20日13時30分~17時09分の間に、 弊社社員を装った「迷惑メール」が不正に送信されているという事実を確認いたしました。

該当のメールを受信された皆様には多大なご迷惑をおかけしましたこと深くお詫び申し上げます。

 件名や記載の問合せ先等を確認すると、弊社社員から送信されたメールに見えますが、 実際は無関係の第三者が送信したメールです。

 ●日時 2023年9月20日13時30分~17時09分

 ●不正利用されたメールアドレス fukuda@s-yamada.jp

 ●送信されたメールの件名

「署名済みドキュメント 09/19/2023」

「署名済みドキュメント」

「Signed Documents 09/19/2023」

 この件に関しましては既に広島県警に通報、  広島県警察本部サイバー犯罪対策課で捜査をしていただいております。

 また、心当たりのないメールや、本文の記載がない等、不審な点があるメールにつきましては、 ウイルス感染、フィッシングサイトへの誘導、不正アクセス等のリスクが高いため、 メールの開封、添付ファイルのダウンロード、あるいはメール本文中の URL のクリック等を行わず、速やかにメールごと削除して頂きますようによろしくお願いいたします。

 弊社におきましては、不正アクセスの防止など情報セキュリティには十分注意しておりますが、引き続き対策を強化して参ります。

ご理解とご協力をいただきますようよろしくお願い申し上げます。

リリース文アーカイブ

【セキュリティ事件簿#2023-380】株式会社Hajimari 当社情報の漏洩に関するご報告とお詫び 2023/09/08


日頃、ご愛顧賜りまして誠にありがとうございます。

このたび、弊社サービス「ITプロパートナーズ」において、システムの不具合により、一部のサービス利用企業様の承認者様メールアドレスが 弊社「ITプロパートナーズ」ご利用中の稼働者様宛に送付されてしまう事象が発生し、個人情報の一部が漏洩してしまっていたことが判明いたしました。

弊社サービスをご利用いただいている方々をはじめ、関係者の皆様には多大なご迷惑およびご心配をお掛けいたしましたことを深くお詫び申し上げます。
弊社では、今回の事態を重く受け止め、より一層の管理体制の強化に努めてまいります。

また、プライバシーマークを取得している弊社としましては各関係機関への報告が完了しております。

皆様には重ねてお詫び申し上げますとともに、本件に関する概要等につきまして、下記の通りご報告いたします。

1.本件の概要等

2023年9月1日(金)16時26分、「ITプロパートナーズ」をご利用中の企業様からのご指摘により、稼働者様宛のメールのCCに承認者様のメールアドレスが含まれていたことが発覚いたしました。

翌営業日より弊社エンジニアチームが調査を行ったところ、稼働者様向けに送付されるメールのCCに企業側承認者のメールアドレスが含まれる実装になっており、2023年2月1日(水)〜2023年9月4日(月)に送付されたメール総数890件/稼働者様メールアドレス638件/承認者様メールアドレス679件が影響範囲であることが特定されました。

事象の原因については、弊社サービスユーザー向けシステム「Hajimari Works」の不具合によるものと特定されました。

2.対象となる個人情報の内容

今回の対象となる主な個人情報の項目は以下です。
・「ITプロパートナーズ」利用企業様の承認者様メールアドレス
・「ITプロパートナーズ」経由での稼働者様のメールアドレス

3.今後の対応

<お客様への対応>
影響範囲内の稼働者様・企業様双方には、9月5日(火)、メールにてお詫びと事象のご説明をさせていただいております。
<個人情報保護委員会への報告>
また、プライバシーマークを取得している弊社としましては各関係機関への報告が完了しております。

4.再発防止策

稼働者向けのメール送信時にCCを入れない形に実装を修正完了いたしました。
また、今後以下の対策も実施を予定しております。
・メール送信機能の宛先の見直し(対応時期目安:9月末)
・受け入れテストの体制再構築(対応時期目安:9月末)
・重要機能に対してのテストコードの導入(対応時期目安:11月末)
・外部企業によるセキュリティテストの実施の検討(対応時期目安:12月末)

【セキュリティ事件簿#2023-379】株式会社ワコールホールディングス 英国子会社への不正アクセスについて 2023 年 9 月 27 日

 

当社の子会社である株式会社ワコールヨーロッパ(本社:英国、社長:Geoff Embley、以下「ワコールヨーロッパ」)において、社内ネットワークへの第三者による不正アクセスを受け、正常なシステム稼働に支障が生じたことを、9 月 19 日(火)(日本時間)に確認いたしました。

ワコールヨーロッパでは、現在、外部専門家の助言を受けながら全容に関する調査、システムの復旧対応、事業活動に対する障害への対処などを行っています。同時に、取引先等の関連者に対して、システム障害の影響について適切な通知を実施しました。

また、今回の不正アクセスはワコールヨーロッパにとどまり、ワコールヨーロッパ傘下の事業所を除く、当社グループのシステムへの影響がないことを外部の専門家とともに確認しています。

関係する皆さまにご迷惑とご心配をおかけしていることにつきまして、深くお詫び申し上げます。

なお、本件が当社グループの当期の業績予想に及ぼす影響については現在精査中です。

【セキュリティ事件簿#2023-378】NHK、外部からの不正アクセスを受け、個人情報をお漏らし、、、

 

NHKは最近、東京・渋谷区の放送センターの業務用サーバーが外部からの不正アクセスを受けたことを公表しました。この不正アクセスの結果、従業員やスタッフを含む2万3,435人の個人情報が漏えいした可能性があるとのこと。漏えいの恐れがある情報には、氏名、メールアドレス、部署名、役職名、内線番号、ユーザーID、ハッシュ化されたパスワードなどが含まれています。

NHKの調査によると、2023年7月31日にシステムへの侵害の可能性が判明し、速やかに外部の調査機関に協力を依頼していたとのこと。その結果、情報が外部へ明確に流出した証拠は確認できなかったものの、情報漏えいの可能性を完全に否定することはできないとされています。

NHKは、この件に関して「関係者の皆様にご心配、ご迷惑をおかけし、深くお詫び申し上げます」とのコメントを発表。今後、セキュリティ対策の強化に努めていくとの立場を明らかにしました。

【セキュリティ事件簿#2023-377】クロバー株式会社 ウェブサイト改ざんに関するご報告とお詫び 2023年9月21日

 

今般、クロバー株式会社が運営する「クロバーホームページ」ウェブサイトが改ざんされ、不適切なウェブページが表示されていたことが判明いたしました。深くお詫びいたしますとともに、以下のとおり、本件の概要についてご報告いたします。

令和5年9月19日(火曜日)、同ウェブサイトにおいて、本来とは異なるウェブページが表示されることを確認いたしました。調査の結果、サーバーに不正アクセスされ、ウェブサイトが改ざんされていたことが判明いたしました。並行して、ウェブコンテンツの正常な状態への復旧や被害を受けたサーバー上のコンテンツを全て削除するなどの緊急対策を実施いたしました。

同ウェブサイトでの個人情報等の取扱いや流出はなく、現在のところ不適切なウェブページが表示されたことによる被害等について、利用された方々からのご連絡もいただいておりません。

現在、当社で把握している情報は以下のとおりとなっております。

改ざん期間:令和5年9月15日(金曜日) 20時00分~9月19日11時00分

この期間にアクセスされた可能性のある利用者様におかれましては、念のため誠にお手数ですが、お手持ちのセキュリティソフトを最新の状態にし、ウイルスチェック・駆除の実施をお願いいたします。

また、一部の利用者様においては、セキュリティソフトにより当社ウェブサイトがアクセス出来ない状態になっている場合がありますが順次アクセスできるようになる見通しです。

当社といたしましては今後、このような問題が発生しないよう、より一層の注意を払い、当社の各サイトの管理を実施してまいります。

この件につきましては、ご不明な点がございましたら、下記までご連絡くださいますようお願い申し上げます。

リリース文アーカイブ

【セキュリティ事件簿#2023-376】SB C&S株式会社 事業者向けECサイト「Mobile Solution Market」への不正アクセスについて 2023年09月25日

 

このたび、2023年9月20日に、当社が運営する事業者向けECサイト「Mobile Solution Market」(以下「本サイト」)の関連システムに外部からの不正なアクセスがあったことを確認いたしました。同日中に該当のシステムへのネットワーク通信を遮断し、安全が確認できるまでの間、本サイトの提供を一時停止しております。

お客さまがご購入された本サイト上の各種ソリューションサービスはこれまで通りご利用いただけますが、契約内容の変更および契約・請求内容の確認などの各種操作、ならびに新規購入およびご利用料金の請求を通常通り行えない状況となっております。

ご利用のお客さまには、多大なるご迷惑とご不便をお掛けしますことを深くお詫び申し上げます。

本事象による登録情報(氏名、メールアドレスおよび電話番号)の流出、二次被害等の可能性につきましても、現在調査中となりますが、個人情報の保護に関する法律に基づき、個人情報保護委員会に報告いたしました。

現在、外部専門会社と連携しながら調査を開始し、IPSにより検知した不正アクセスの内容と影響範囲の調査・特定を進めております。調査の結果、本事象に関してご報告すべき事項が判明した場合は、あらためてお知らせいたします。

当社は今回このような事象が発生したことを重く受け止め、再発防止策の徹底を図り、システムの安定的な運用に向けて全力で取り組んでまいります。

リリース文アーカイブ

【セキュリティ事件簿#2023-375】熊本県観光連盟の委託事業にて、委託先の日本旅行熊本支店がメール送信ミスでアドレスをお漏らしする。


2023年9月14日、熊本県観光連盟の委託事業において、電子メールの誤送信が発生し、59の事業者のメールアドレスが流出したことが公表されました。この誤送信の原因は、メールの送信形式の指定ミスで、本来「BCC」を使用すべき場面で「To」欄にメールアドレスを入力し、一斉送信してしまったことによります。

この誤送信を起こしたのは、熊本県観光連盟から委託を受けていた日本旅行熊本支店であり、熊本豪雨の被災地域支援を目的とした「くまもと行くモン旅割!」の運営・管理業務を担当していました。事業に関連する電子メールを事業者らに送信する際に、このミスが発生しました。

現在、このメールアドレスの流出による具体的な被害は報告されていません。日本旅行社は公式に謝罪を行い、熊本県観光連盟からは情報の適切な取扱いについての指導を受けています。

出典:被災地応援で誤送信、熊本県観光連盟の委託先がアドレス流出

【セキュリティ事件簿#2023-374】埼玉県 生徒の個人情報を含むUSBメモリの紛失について 2023年9月22日


県立飯能高等学校において、生徒の個人情報を含むUSBメモリを紛失する事故が発生しました。

なお、現在のところ、第三者による不正使用等の事実は確認されていません

1 事故の概要

9月9日(土曜日)午後6時頃、県立飯能高等学校の職員が生徒の個人情報を含むUSBメモリを生徒会室に置いたまま部屋を出た。

9月10日(日曜日)午前7時頃、当該職員がUSBメモリを生徒会室に置き忘れたことに気づき、その後、生徒会室を捜索したが見つからなかった。

2 個人情報の内容

75名分の生徒氏名

3 学校の対応

9月10日(日曜日)~  当該職員が生徒会室を捜索

9月15日(金曜日)~  全教職員で生徒会室及び校内を捜索

                                    生徒及び保護者に対して事故の経緯を説明し謝罪した

4 再発防止策

今後、校長会議等を通じて、改めて全県立学校において個人情報の適正な管理を徹底するよう指示する。