2024年版 危険な航空会社ランキング

航空格付け会社のエアラインレイティングス（AirlineRatings）は、2024年の安全な航空会社トップ25を発表した。

ワンワールドアライアンスからは以下の航空会社が選出された。

JALも選出されてめでたい限り

• カンタス航空（豪）
• カタール航空（カタール）
• フィンエアー（フィンランド）
• キャセイパシフィック航空（香港）
• アラスカ航空（米）
• ブリティッシュ・エアウェイズ（英）
• JAL（日）
• アメリカン航空（米）

ちなみに上記が安全性の観点からの最高評価（7スター）を獲得し、さらに世界トップ25に選出された航空会社なのだが、いい機会なので他のワンワールドアライアンス加盟航空会社もチェックしておきたい

★★★★★★★（7スター）

• イベリア航空
• ロイヤル・エア・モロッコ
• スリランカ航空
• ロイヤル・ヨルダン航空
• フィジー・エアウェイズ（oneworld connectメンバー）

★★★★★★（6スター）

• オマーン航空（2024年加盟予定）

★★★（3スター）

• マレーシア航空

残念なことに、マレーシア航空がワンワールドアライアンスの中でぶっちぎりに安全性評価が低い。

ついでに評価が低い、危険な航空会社も取り上げてみたい。

ちなみにロシアの航空会社はウクライナ侵攻の影響で評価ができないのか、星が無い。

ある意味ロシアの航空会社も危険なのだが、あまり面白くないのでシングススターの航空会社を挙げてみる。

• Pakistan International Airlines / パキスタン国際航空
  カラチを本拠地とするパキスタンの航空会社。

• Air Algérie / アルジェリア航空
  アルジェリアのアルジェを本拠地とする航空会社。

• SCAT Airlines / SCAT航空
  カザフスタンのシムケントを本拠地とする航空会社。

• Sriwijaya Air / スリウィジャヤ航空
  スマトラ島をベースにインドネシア国内の都市を結ぶインドネシアの航空会社

• Airblue / エアブルー
  カラチを本拠地とするパキスタンの格安航空会社

• Blue Wing Airlines
  スリナムの航空会社

• Iran Aseman Airlines / イラン・アーセマーン航空
  イラン・テヘランに拠点をおく航空会社。

• Nepal Airlines / ネパール航空
  ネパールで唯一の国営航空会社。また同国のフラッグ・キャリア。本拠地はカトマンズ。

昨年、23年度版を作っていたので、比較してみたが、危険な航空会社の顔ぶれは変わっていなかった。

出典：COMPARE AIRLINE SAFETY RATINGS

【セキュリティ事件簿#2024-010】一般社団法人 大阪コレギウム・ムジクム 当団サーバへの不正アクセスについて

2024年1月3日、当団が管理するサーバに対して、メールマガジンの配信を行っているソフトウェアの脆弱性を突いた不正アクセスが発生いたしました。

確認された被害については以下の通りです。

• メールマガジンにご登録いただいているお客様の、メールアドレスおよびお名前の情報の窃取
• メールマガジンにご登録いただいいるお客様に向けて、配信システムを利用した迷惑メール（内容は当団Webサイトをハッキングした、というもの）の送信
• 当団Webサイトのトップページの書き換え

お客様に多大なるご迷惑、ご心配をおかけしましたことを深くお詫び申し上げます。

＜対応状況＞

1/3 18:42 頃 攻撃が開始される

1/3 21:10 頃～ メールマガジンご登録者様に対して迷惑メールが送信される

1/3 21:50 頃 Webサイトの改竄を確認

1/3 22:15 頃 サーバを停止

1/3 22:50 頃 サーバの隔離を終え、解析を開始

1/3 24:00 頃 メールマガジンシステムへの脆弱性攻撃である事を確認

1/4 21:40 頃 メールマガジンシステム等一部システムを停止した状態にて、Webサイトを暫定復旧

1/6 11:00 頃 セキュリティ上の不備の対処措置を行い、メールマガジンシステムを復旧

ご登録のお客様には現在、ご報告のメールをお送りしております。

本件による二次被害となるような事案は現時点確認されておりませんが、本件に関係すると疑われる不審な出来事などがございましたら、お知らせをいただけましたら幸いです。

この度の事態を重く受け止め、再発防止に向けた対策の強化を引き続き進めてまいります。

皆様に多大なるご迷惑、ご心配をおかけしましたことを重ねて深くお詫び申し上げます。

リリース文（アーカイブ）

ランサムウェアギャングが発表した被害組織リスト（2023年8月～12月）BY StealthMole

 

 StealthMole（旧Dark Tracer）による、2023年8月～12月のランサムウェア被害を受けた日系企業。

株式会社 鼓月(www.kogetsu.com)

ランサムウェアギャング：Mallox

株式会社エフトリア（www.ftria.co.jp）

ランサムウェアギャング：NoEscape

関連事件簿：【セキュリティ事件簿#2023-335】株式会社エフトリア　セキュリティに関する重要なご報告  

株式会社 小森コーポレーション（komori.com）

ランサムウェアギャング：CL0P

住商グローバル・ロジスティクス株式会社（sgl.co.th）

ランサムウェアギャング：LockBit

セイコーグループ株式会社（www.seiko.co.jp）

ランサムウェアギャング：BlackCat (ALPHV)

関連事件簿：【セキュリティ事件簿#2023-306】セイコーグループ株式会社　当社サーバに対する不正アクセスに関するお知らせ

株式会社井上製作所（inouemfg.com）

ランサムウェアギャング：LockBit

アイホン株式会社（www.aiphone.com）

ランサムウェアギャング：Money Message

関連事件簿：【セキュリティ事件簿#2023-353】アイホン　当社米国法人への不正アクセス発生について

アルプスアルパイン株式会社（www.alpsalpine.com）

ランサムウェアギャング：BlackByte

関連事件簿：【セキュリティ事件簿#2023-360】アルプスアルパイン株式会社　当社グループが管理するサーバへの不正アクセスについて

株式会社フジシールインターナショナル（www.fujiseal.com）

ランサムウェアギャング：Akira

関連事件簿：【セキュリティ事件簿#2023-504】株式会社フジシールインターナショナル　当社米国グループ会社におけるランサムウェア被害および復旧状況について

シチズン時計株式会社（citizen.co.uk）

ランサムウェアギャング：Ragnar_Locker

郵船ロジスティクス株式会社（www.yusen-logistics.com）

ランサムウェアギャング：BlackCat (ALPHV)

フォルシアクラリオン・エレクトロニクス株式会社（www.clarion.com）

ランサムウェアギャング：BlackCat (ALPHV)

ソニーグループ株式会社（sony.com）

ランサムウェアギャング：RansomedVC

セイコーエプソン株式会社（epson.es）

ランサムウェアギャング：STORMOUS

株式会社NTTドコモ（www.docomo.ne.jp）

ランサムウェアギャング：RansomedVC

シークス株式会社（siix.co.jp）

ランサムウェアギャング：BlackCat (ALPHV)

関連事件簿：【セキュリティ事件簿#2023-169】シークス株式会社　ランサムウェアによる不正アクセスについて

株式会社シマノ（shimano.com）

ランサムウェアギャング：LockBit

日本航空電子工業株式会社（www.jae.com）

ランサムウェアギャング：BlackCat (ALPHV)

関連事件簿：【セキュリティ事件簿#2023-505】日本航空電子工業株式会社　当社サーバへの不正アクセス発生について

THK株式会社（www.thk.com）

ランサムウェアギャング：Hunters International

株式会社レスターホールディングス（restargp.com）

ランサムウェアギャング：LockBit

関連事件簿：【セキュリティ事件簿#2023-472】株式会社レスターホールディングス　当社及びグループ会社サーバーへの不正アクセス発生のお知らせ

社会福祉法人北広島町社会福祉協議会（kitahirosima.jp）

ランサムウェアギャング：LockBit

関連事件簿：【セキュリティ事件簿#2023-506】北広島町社会福祉協議会におけるシステム不調発生のご報告とお詫びについて

日産自動車株式会社（www.nissan.com.au）

ランサムウェアギャング：Akira

【セキュリティ事件簿#2024-009】LINEヤフー 当社が利用する外部サービスの設定不備に関するお知らせ

このたび、旧LINE社のIT資産管理に利用している外部サービスのAPI*1設定不備により、登録している役職員*2の情報が外部から取得できる状態にあったことが判明いたしました。

なお、原因となるAPI*1設定不備の修正はすでに完了しております。 

1.　発生した事象

旧LINE社の社内資産管理・社内問合せ管理を目的として利用している外部サービスにおいて、当社によるAPI*1の設定不備により、登録している役職員情報が外部から取得できる状態にありました。 

本事象は、特定の操作により外部からデータ抽出が可能となっていた設定不備を、LINE Security Bug Bounty Program*3を通じた報告により判明いたしました。

外部から取得できる状態にあった情報は以下の通りです。現在は外部からのアクセスによる役職員情報等の取得ができないように設定変更を完了しております。

〈役職員に関する情報〉

氏名、メールアドレス、役職名 

＜社内問い合わせに関する情報＞

添付ファイル名、問い合わせ対応満足度サーベイ名、サーベイの回答者　

※ユーザー情報および取引先情報は上記に含まれません。

2.本事象の経緯と対応時系列

■2023年10月18日

・LINE Security Bug Bounty Programの参加者より、事象の通知を受け発覚

・担当が報告を受けて調査を開始

・外部からアクセス可能な設定になっていた機能を外部からアクセスできないように設定変更

■2023年10月19日

・利用するすべての環境で設定変更したことを確認

■2024年1月18日　

・本事象に関する公表を実施 

3.対象者へのお知らせ

該当する役職員には個別に連絡します。退職等により個別にご連絡ができない方には、本発表を以て、通知とさせていただきます。

本件によるフィッシング被害等の増加を含む二次被害は現時点で確認されておりませんが、漏えいしたメールアドレス宛てに第三者が不審なメール・詐欺メールを送信するおそれがございます。十分にご注意くださいますようお願い申し上げます。

関係者の皆さまに多大なるご迷惑とご心配をおかけしておりますことを、深くお詫び申し上げます。発生させてしまった事象について深く反省し、再発防止に努めてまいります。

※なお、本件は11月27日に公表した「不正アクセスによる、情報漏えいに関するお知らせとお詫び」の事案との関連性はございません。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-008】横須賀市 電子メールの誤送付について

このたび、契約課において電子メールを誤送付したことを報告します。

1.事故の概要

(1)発生の経緯

令和6年1月16日（火曜日）、かながわ電子入札共同システムの資格申請を勧奨するメールを一斉送信する際に、宛名をBCCで送るべきところをTOで送ってしまい、メールを送信した事業者に、同時にメールを送信した事業者のメールアドレスが見えてしまうこととなりました。同日、メールを送信した職員がメールの送信状況を確認した際、誤送信が判明しました。

(2)漏洩した個人情報

個人の特定につながるおそれのあるメールアドレス。

一斉送信したメールの本文及び添付文書には、会社名や氏名を記載していませんでしたが、漏洩したメールアドレスの中に、個人の特定につながるおそれのあるメールアドレスが含まれていました。

(3)事故に係る個人情報の対象人数

71人

漏洩したメールアドレスは、165件ありましたが、その中で71件が個人の特定につながるおそれのあるメールアドレスでした。

2.事故発生後の対応

令和6年1月17日（水曜日）に、メールを送信した事業者へメールにて事情説明と謝罪、受信メールの削除依頼をしました。併せて1月16日（火曜日）に送信したメールをBCCにより再送信しました。

3.事故の発生原因

複数人による確認不足。

4.今後の防止策

今後は、複数人による確認作業の工程を見直し、誤送付が発生しないよう努めてまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-007】株式会社ケーズホールディングス 通販サイトへの不正ログイン・なりすまし注文の発生について

株式会社ケーズホールディングス（以下「当社」）は、当社が運営するインターネット通販サイト(ケーズデンキオンラインショップ)において、不正に入手したと思われる情報を用いた第三者による不正ログイン、なりすまし注文が発生したことを確認いたしました。今後の調査により対象件数や状況が変動する可能性がございますが、現時点で確認できた事実と対応状況をご報告いたします。

現時点では、今回の不正によるお客様への直接的な金銭被害は発生していないことを確認しております。なお、不正ログイン被害の対象と見られるお客様には順次ご連絡を差し上げ、登録情報やパスワードの変更のお願いなどを進めております。引き続き、警察をはじめとする関係機関の協力を仰ぎつつ、不審なアクセスや注文が発生していないか注視して参ります。

現時点で確認している事実と当社の対応は下記の通りです。

1. 経緯

◇2024 年 1 月 12 日

注文情報のチェックで不審な注文を確認。

第三者が不正にログインし、登録情報の商品お届け先住所やメールアドレスを書き換え、不正なクレジットカードで注文する、なりすまし注文であることを確認。

※本件は、別途不正に入手したと思われるクレジットカードを使用した注文となります。なお、当社サイトではクレジットカード情報を保持しておりませんので、不正ログインに伴うクレジットカード情報の漏洩はございません。

◇2024 年 1 月 15 日

 警察に報告相談。

◇2024 年 1 月 16 日

 JUAS（一般社団法人 日本情報システム・ユーザー協会）、個人情報保護委員会に報告。

2. 不正ログイン・なりすまし注文の状況

(１)不正ログイン、情報の改ざんが発生したオンラインショップ会員数：8 件

(２)なりすまし注文件数：17 件

　※上記のうち 12 件は出荷前に不正と判断できたため商品は出荷しておりません。

3. 当社の対応

・不正ログインが確認されたアカウントによる未出荷注文の出荷を停止。

・不正利用されたお客様のアカウントを停止。

・該当のお客様に連絡の上、登録情報やパスワードの変更を依頼。

・当社通販サイト上でパスワードの定期的な変更の注意喚起を実施。

・警察をはじめとする関係機関への報告、相談。

4. 対象となるサイト

当社が運営するインターネット通販サイト

「ケーズデンキオンラインショップ」（https://www.ksdenki.com/）

5. 今後の対応

従来より実施しておりました不正アクセス監視を継続の上、セキュリティレベルの向上に努

めて参ります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-006】上智大学 統合データベースへの不正ログインについて

2023年12月後半に、本学のICTアカウント情報（ソフィアICTアカウントといい、ソフィアメールやmoodle等を利用できるもの）を管理している「上智大学 統合データベース」システムに、不正ログインがありました件について、報告いたします。

１．不正ログインについての概要

ソフィアICTアカウントの情報を管理している「上智大学 統合データベース」システムへの不正ログインが発生し、在学生及び卒業生10名のユーザー情報が改ざんされた可能性があります。発覚の経緯は、12月16日(土)頃より、在学生1名と卒業生1名から「メールシステムにログインできない」という問い合わせが続いたため、ログを確認したところ、10件の不正ログインが確認されました。

２．不正ログイン期間とアクセス元について

2023年12月15日(金)から、12月17日(日)の数日間に行われていた可能性があります。

不正アクセスの元となったIPアドレスは、主に海外のもの（複数）であることが確認されています。

３．改ざんされた可能性がある内容

「上智大学 統合データベース」システムのログを確認したところ、対象者のパスワードとリマインダの情報が、変更されていたことが判明しました。

４．対応状況　

対象者全員のパスワードを強制的に変更し、リマインダ登録情報をクリアしました。

2023年12月21日(木)に、学内(学生と教職員)向けに、ソフィアICTアカウントのパスワードの変更を促す注意喚起を掲出しました。

５．原因調査

本トラブルの原因については現在調査中ですが、現時点で考えられる要因としては、同じログインIDとパスワードを使いまわしていた可能性がある、他の商用サイト等から流出した情報をもとに、それを取得した第三者によるなりすましの不正ログインが行われた可能性があります。(リスト型アカウントハッキング)　

なお、対象者のソフィアメールの不正ログイン後7日間の送信記録を調べたところ、スパムメール等の踏み台等にされてはいないことを確認しました。

６．ソフィアICTアカウント利用者へのお願い（パスワード管理について）　

ソフィアＩＣＴアカウント(ソフィアメール、moodle等)を利用しているユーザーの皆様には、下記の対応をお願いいたします。

　・パスワードを複雑化する

　・同じパスワードを複数のシステムなどで使い回さない　

　・紙に書いて保存・管理しない

　・パスワード管理ツール等を使用する

リリース文（アーカイブ）

【セキュリティ事件簿#2024-005】独立行政法人教職員支援機構 電子メール関連システムへの不正アクセスに伴う個人情報等漏洩のおそれについて

今般、独立行政法人教職員支援機構の利用していた電子メール関連システムに対し、不正アクセスがあり、個人情報を含む電子メールデータ（電子メールアドレス及び電子メールの内容）の一部が外部へ漏洩したおそれがあることが確認されました。

これは、メーカーにおいて確認できていなかった電子メール関連システムに係る機器の脆弱性を原因とするものであると考えられ、同様の事案は国外においても確認されております。

当機構では、個人情報は、個人情報保護に関する法律等に則り適切な管理を行ってまいりましたが、本事案により、メールアドレス等の個人情報が漏洩した可能性を排除できない方に対して個別に連絡するとともに、事案の公表を行うこととしたところです。

関係者の皆様には、御迷惑をおかけすることになり、お詫び申し上げます。再発防止に努めて参ります。

1. 経緯

令和5年6月13日 保守運用事業者から脆弱性に関する情報を受ける

令和5年6月17日 当該製品の切り離しを行う

令和5年7月5日 不正アクセスの確認

令和5年10月31日 職員にて当該製品を調査した結果、マルウェアを発見

2. 漏洩のおそれがある情報と期間

令和4年10月31日～令和5年6月16日17:00までに当機構（@nits.go.jp又は@ml.nits.go.jp）へ電子メールを送信された方の電子メールデータ（電子メールアドレス及び電子メールの内容）

3. 二次被害又はそのおそれの有無及びその内容

現時点で、漏洩の事実や情報の悪用等による二次被害は確認されておりませんが、念のため、不審な連絡、訪問者等には御注意いただきますとともに、万が一何かございましたら、下記の問い合わせ先まで御連絡ください。

4. 再発防止

当機構では令和5年6月16日に当該製品の利用を停止するとともに、セキュリティ対策を強化した電子メール関連システムの製品への契約の変更を行っております。今後もセキュリティ対策の強化に努めるとともに、セキュリティ関係機関等とも連携しながら、一層のセキュリティ対策に努めてまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-004】株式会社イズミ ブランドショップ X-SELL 求人応募者に関する個人情報漏えいおよび漏えいの可能性に関するお詫び

この度、弊社が運営するブランドショップ X-SELL のホームページより過去に求人にご応募いただいた一部の方の個人情報が、インターネット検索サイトで検索した結果として閲覧できる状態にあることが判明いたしました。対象の皆様には、大変なご迷惑とご心配をおかけする事態となりましたことを、深くお詫び申し上げます。

早期対応にあたり、現在、個人情報は閲覧ができない状態に修正を完了しております。また、対象の皆様にはメールにてご報告後、ご連絡をさせていただいております。弊社といたしましては、今回の事態を重く受け止め、再びこのようなことがないよう、より一層の管理体制の強化に努めてまいります。対象の皆様には重ねてお詫び申し上げますとともに、本件に関する概要につきまして、以下の通りご報告いたします。

１．本件の経緯

2024 年 1 月 4 日に、ブランドショップ X-SELL のホームページより、過去に求人にご応募いただいた一部の方のご応募の際にご入力いただいた「個人情報（氏名、メールアドレス、電話番号、性別）」および「応募コメント」が、前述の個人情報のいずれかのキーワードにてインターネット検索サイトで検索を行った場合に、検索結果として閲覧できる状態になっておりました。

即時、web サイト作成の委託会社に調査を依頼し、翌 1 月 5 日 14 時頃、web サイトサーバー内のデータおよび検索履歴の削除が完了し、閲覧できない状態になっていることを確認いたしました。

２．発生事象

①対 象：2016 年 6 月 14 日～2022 年 8 月 28 日の期間に、ブランドショップ X-SELL のホームページより、求人にご応募いただいた方の一部

②項 目：応募者の氏名、電話番号、メールアドレス、性別、応募コメント

③件 数：41 名

３．原因

SEO 対策時における設定のミスによるものと判明いたしました。現在は、web サイトサーバー内のデータおよび検索履歴の削除が完了し、閲覧できない状態になっております。

４．対応

①対象の皆様へのお知らせ

2024 年 1 月 8 日に対象の皆様にメールにてご報告を行い、個別にお電話でご連絡をさせていただいております。

※対象の皆様におかれましては、不審な電話やメールがあった場合は、絶対に個人情報をお伝えしたり、web サイト等にアクセスされたりしないようご注意ください。弊社から、口座情報などの重要な個人情報をお聞きすることはございません。

②行政

2024 年 1 月 9 日に個人情報保護委員会へ報告しております。

今後は委員会からの指導等に従ってまいります。

５．再発防止

調査会社によるブランドショップ X-SELL のホームページのセキュリティ調査を実施し、個人情報を保有するページを制作・保持しない運用に変更いたします。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-003】アニエスベージャパン株式会社 当社サーバーへの不正アクセスについて

平素はアニエスベーをご愛顧いただき、誠にありがとうございます。

アニエスベーではお客様からの信頼を第一に考え、ここに重要なお知らせをいたします。

2023年12月26日、弊社アニエスベージャパンが管理するサーバーが第三者による不正アクセスを受けたことが明らかとなりました。不正アクセスが確認されて以降、被害拡大を防ぐため、ネットワークの遮断などの対応をただちに実施し、外部の専門機関と連携して可能な限りの調査対応を進めております。

現段階では個人情報が漏えいした事実は確認できておりませんが、予防の観点から、不審に思われるメッセージには十分にご注意いただきますようお願いいたします。

弊社は、お客様の個人情報の保護を最優先とし、その対策に最善を尽くしてまいりますので、ご理解賜りますようお願いいたします。

この度は、弊社の事情により、多大なるご迷惑およびご心配をおかけしますことを、深くお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-002】株式会社熊谷組 当社サーバへの不正アクセスについてのご報告

2024年1月9日、当社が運用管理する一部のサーバに対し、第三者による不正アクセスを受けたことを確認しました。

現在、情報漏洩した内容について確認中ですが、今後の調査によって新たに報告すべき事項が判明次第、速やかにお知らせいたします。

当社は、危機管理委員会にて本件の対策方針を定めて、外部専門機関の協力を受けながら、調査を継続し、被害拡大の防止及び再発防止に向けて総力を挙げて対応して参ります。なお本件については、すでに警察当局への被害申告ならびに個人情報保護委員会への報告を行い、捜査機関とも連携して事件の解明に努めております。

関係者の皆さまには、多大なるご心配とご迷惑をおかけすることを、深くお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-456】日本ルツボ株式会社 ランサムウェアによるアクセスに関するお知らせ

昨年、当社春日井工場のデバイスの一部がランサムウェアによる第三者からの不正アクセスを受けたことに関して、以下の通り続報致します。

本件につきましては、速やかに対策本部を設置のうえ、外部専門家による原因の特定、被害状況の確認、情報流出の有無などの調査を行いました。

その結果、業務に使用していない PC にインストールされていたリモートデスクトップツールを通じた不正アクセスがあり、春日井工場のデータの一部がロックされましたが、バックアップ・データにより復旧できております。他のデバイスについてはこれまでに実施してきたセキュリティー強化の効果もあって影響を受けなかったものと判断しております。

今後は、導入済みのセキュリティーツールの運用強化も含め、適時、外部専門家のアドバイスを受けるなど、セキュリティー対策の拡充に努めて参ります。

改めまして、この度の件でご心配をお掛けしましたことを、深くお詫び申し上げます。

リリース文（アーカイブ）

Kivaローンで社会貢献しながらマイルをゲットできるか検証（2024年1月号）

以前掲載したブログを基に検証を進め、その記録を残すためのブログ

今回は初回なので、2案件に30USDずつ投資してみる。

融資No：2705613号

• 融資国：フィリピン
• Lending partner：Negros Women for Tomorrow Foundation
• 期間：8か月
• 融資実行：2024年1月
• 融資額：30USD（≒4,727.5円）

融資No：2707642号

• 融資国：ニカラグア
• Lending partner：FUNDENUSE
• 期間：8か月
• 融資実行：2024年1月
• 融資額：30USD（≒4,727.5円）

【セキュリティ事件簿#2023-503】JR西日本ホテルズ 梅小路ポテル京都メールアカウントへの不正アクセスによる迷惑メールの送信に関するお詫びとお知らせ

2023年12月17日(日)～翌18日(月)にかけて、梅小路ポテル京都が運用するメールアカウントの一つが不正アクセスを受け、不特定多数のメールアドレスに迷惑メール(フィッシングメール)が送信されるという事案が発生し、多大なご迷惑、ご心配をおかけしたことを深くお詫び申し上げます。

前回(2023年12月21日)のお知らせ以降、調査により判明しました事実につきまして、以下のとおりご報告いたします。

 

1．被害状況に関する調査結果

事象①サーバーに保存されたメールが第三者に閲覧された可能性について

メールサービス提供会社に調査を依頼しましたところ、メール受信サーバーに不正アクセスの痕跡はないと報告を受けております。よって、第三者に個人情報を含むメールが閲覧されたことを疑わせる事実は発生していないと判断いたしました。

事象②不特定多数のメールアドレスに迷惑メール(フィッシングメール)が送信された件について

メール送信サーバーが第三者による不正アクセスを受け、スパムメール不正送信の踏み台とされたことを確認いたしました。配信されたメールによる被害の報告は現時点ではございません。引き続きご注意いただき、そのようなメッセージの配信を受けた場合は返信や貼付されたURLリンクへのアクセスをされないよう、お願い申し上げます。

 

2．再発防止策

調査結果及び関係機関等からの助言を踏まえ、メールアカウントに対するセキュリティ対策の拡充を図ります。

リリース文（アーカイブ）

AWSとAzureのクラウドデータをハッカーから守る、無料のクラウドセキュリティツール5選

サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、企業がクラウドベースの環境を保護するために役立つ無料のツールのリストを公開しました。これらのツールは、クラウドベースまたはハイブリッド環境で発生する脅威、既知の脆弱性、および異常を緩和、特定、検出するために、インシデント対応アナリストおよびネットワーク防御者を支援します。

しかし、クラウド環境では膨大な数の攻撃ベクトルが利用可能であるため、クラウドへの移行が急速に拡大していることに引き込まれ、クラウドシステムを標的とする脅威行為者もいます。

クラウドベースの攻撃に対する防御に必要な能力を備えていない組織は、CISAが提供するツールを利用することで大きなメリットを得られます。これらのツールは、データ窃盗、情報漏洩、そして情報窃取からクラウドリソースを保護するのに役立ちます。CISAが提供するツールのリストは以下の通りです。

1. Cybersecurity Evaluation Tool (CSET).
2. The SCuBAGear tool.
3. The Untitled Goose Tool
4. Decider Tool
5. Memory Forensic on Cloud.

Cybersecurity Evaluation Tool (CSET)

CISAは、企業のサイバーセキュリティ態勢を評価するためのツールを開発しました。このツールは、業界で広く受け入れられている標準、ガイドライン、推奨事項に基づいており、運用ルールや手順、システムの設計に関する質問に回答することで、企業の長所と短所を把握します。その結果を踏まえて、改善のための提案とともに報告書を作成します。

CSETバージョン11.5では、米国国立標準技術研究所（NIST）がコンピュータセキュリティ産業協会（CISA）と共同で策定したクロスセクター・サイバー・パフォーマンス・ゴール（CPG）が含まれています。CPGは、企業のサイバーセキュリティ態勢を評価するための共通基準を提供します。

The SCuBAGear tool

SCuBAGearは、SolarWinds Orion Softwareのサプライチェーン攻撃への対応として開発された、連邦民間行政機関（FECB）とCISAのMicrosoft 365（M365）セキュアコンフィギュレーションを比較する自動化ソフトウェアです。

CISAは、SCuBAGearと連携して、クラウドセキュリティのガイドとなるような、あらゆるタイプの企業に役立つ数多くの資料を作成しました。このツールの結果、3種類の文書が作成されました。

• SCuBAGearガイド：SCuBAGearの使用方法と、その結果を解釈する方法について説明します。
• SCuBAレポートテンプレート：SCuBAGearを使用して作成したレポートのフォーマットを定義します。
• SCuBAベストプラクティス：クラウドセキュリティのベストプラクティスをまとめたドキュメントです。

SCuBA Technical Reference Architecture (TRA)

クラウドストレージ環境の安全性を強化するための基本的なフレームワークを提供します。クラウドベースのビジネスアプリ（SaaSモデルの場合）と、その保護と監視に使用されるセキュリティサービスは、いずれもTRAの範囲に含まれます。

ハイブリッドアイデンティティソリューションアーキテクチャ

クラウド上でホストされる環境でアイデンティティ管理に取り組むための最善の方法を提供します。このアーキテクチャは、オンプレミスとクラウドの両方の環境を統合し、一元的に管理することを目的としています。

M365セキュリティコンフィギュレーションベースライン（SCB)

Microsoft 365（M365）環境のセキュリティを強化するために、M365のすべてのサービスに対する基本的なセキュリティ設定を提供します。SCBガイドラインに準拠していないポリシーを識別し、そのポリシーの逸脱を示すHTMLレポートを生成します。

The Untitled Goose Tool

Untitled Goose Toolは、Sandia National Laboratoriesと共同で開発された、Microsoft Azure、Active Directory、Microsoft 365環境での異常の検出と調査を支援するツールです。監査ログのクエリ、エクスポート、調査も可能です。

SIEMプラットフォームにログをインポートしていない組織にとって、このツールは非常に役立ちます。PowerShellツールにAzure、AAD、M365のデータ収集機能がなかったため、このツールは当時利用可能だったPowerShellツールの代替として設計されました。

Untitled Goose Toolは、Active Directory、Microsoft Azure、Microsoft 365からクラウド成果物を抽出するツールです。

Unified Audit Logs (UAL)にタイムバウンディングを行うことで、特定の期間のログのみを収集できます。また、MDE（Microsoft Defender Endpoint）データデサイダーツールのタイムバウンディング機能を利用して、特定の期間のデータを収集することもできます。

インシデント対応アナリストは、このツールをMITRE ATT&CK 手法と組み合わせることで、悪意のあるアクションをマッピングするのに役立ちます。このツールは、アナリストの手法をより利用しやすく、適切な方法で行動をレイアウトするための方向性を提供します。

Decider Tool

このツールは、CSETと同様に、ユーザーの環境やニーズを理解するために、多くの質問を行います。これらの質問に答えることで、ユーザーは以下のことができるようになります。

• ATT&CK Navigatorからヒートマップをエクスポート。
• 収集した脅威インテリジェンスに関するレポートの公開。
• 適切な予防策の実施。
• 搾取の防止

さらに、CISAはDeciderツールの使い方を説明したリンクを提供しています。

Memory Forensic on Cloud.

このツールは、AWS上のWindowsメモリイメージを構築および分析するために、Volatility 3を使用しています。また、最近流行しているファイルレスマルウェアの検出にも役立ちます。

メモリイメージ解析は、インシデントレスポンス対応において重要な役割を果たす可能性があります。インシデント発生時に、メモリイメージを分析することで、攻撃者の痕跡を特定し、対応策を検討することができます。

出典：TOP 5 FREE CLOUD SECURITY TOOLS, THAT CAN PROTECT YOUR AWS & AZURE CLOUD DATA FROM HACKERS

【セキュリティ事件簿#2023-506】北広島町社会福祉協議会におけるシステム不調発生のご報告とお詫びについて

 

北広島町社会福祉協議会では、12月４日から、システム不調が生じております。

現在、個人情報等の保護とシステムの安定性を最優先に考え、専門業者と協力して迅速な復旧に全力で取り組んでいるところです。

現時点では個人情報等の漏洩は確認されておりませんが、この不調により、各種業務への対応の遅れ、メールの不通による連絡の遅れ等が発生しており、皆様には多大なご迷惑をおかけしておりますことを深くお詫び申し上げます。

ご不便をおかけし誠に申し訳ございませんが、ご理解とご協力を賜りますようお願い申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-505】日本航空電子工業株式会社 当社サーバへの不正アクセス発生について

 

2023年11月2日、当社グループの一部サーバにおいて、外部からの不正アクセスを受けたことを確認しました。本件不正アクセスは、ランサムウェアによる攻撃であり、サーバ内のファイルが暗号化されたほか、不正アクセスを受けた海外子会社JAE Oregon, Inc.（米国オレゴン州）にて、サーバ内に保存されていた情報の一部が流出したことが判明しております。

現在、対策本部を設置し、外部専門家の協力のもと被害状況の調査と復旧作業を進めております。

本件につき、関係諸機関への報告、相談を継続しており、影響を受けた可能性のあるお客様、お取引先様には順次、報告をするとともに、セキュリティの強化及び再発防止策の検討を進めております。

お客様、お取引先様、関係の皆様には多大なご迷惑をお掛けして誠に申し訳ございません。被害拡大の防止と再発防止に向け、総力を挙げて対応してまいります。

今後、調査によって判明した内容は、随時webサイトでお知らせいたします。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-504】株式会社フジシールインターナショナル 当社米国グループ会社におけるランサムウェア被害および復旧状況について

 

株式会社フジシールインターナショナルは、米国グループ会社（American Fuji Seal, Inc. 等。以下、「AFS」）で発生している身代金要求型ウィルス「ランサムウェア」による被害およびその復旧状況についてお知らせします。

AFS では、異常を検知した後速やかに、外部の現地セキュリティコンサルティング会社の支援も得ながら、同被害の封じ込め、復旧および調査に取り組んでおり、被害を受けたサーバの復旧を完了しております。

お客様・お取引先関係の皆様にご迷惑、ご心配をおかけしたこと、また、調査に時間を要したことを深くお詫び申し上げます。

（経緯および調査で判明した事実）

 現地 8 月 30 日(金)未明、AFS のサーバの一部で異常を検知しました。AFS は速やかに状況の把握や対策を開始し、本件がランサムウェア被害であることを確認いたしました。

AFS ではその後、通常の生産活動に向けた復旧活動と併行して、外部の現地セキュリティコンサルティング会社の支援も得ながら、同被害の封じ込め・復旧・調査に取り組んでまいりました。その結果、これまでに同様のランサムウェア攻撃に対する適切な対処を実施し、被害を受けたサーバの復旧を完了しております。

また、今回のランサムウェアによる被害に伴い漏洩した可能性のある情報・データを確認・分析した結果、漏洩した可能性のある情報は、AFS の従業員等に係る個人情報であることを確認しております。現時点において、AFS のお客様・お取引先に関する情報が社外に漏洩したという事実は確認されておりません。

なお、本ランサムウェアによる被害に関連して、弊社グループの米州以外のリージョン（日本・欧州・アセアン）では、同様の被害・サイバーアタックは確認されておりません。

（今後の対応および再発防止策）

AFS は、本件被害に伴う個人情報の漏洩について、従業員等対象者に通知および適切な対処を行うとともに、関係各所への報告を行ってまいります。また、ランサムウェア被害の再発防止に向け、AFS のみならずグループ全体の IT セキュリティーの見直し・強化に努めてまいります。

リリース文（アーカイブ）

IHG 100%ボーナス付ポイント購入セール（2024年2月2日まで）

IHGは2024年、会員限定のポイント購入フラッシュセールを初めて開催しました。2月2日までの8日間、通常よりもお得にポイントを購入できるチャンスです。

100％ボーナスなので、1ポイント0.5USセントで購入できます。

ポイント購入は本当に得なのか？

ポイント購入は、単なるセールだからという理由で購入するのは避けるべきです。しかし、ポイントを有効活用すれば、宿泊費を大幅に節約することができます。

IHGのポイント購入がおすすめな理由

IHGは最近、価格変動制のアワードに移行しました。 これにより、ポイントを利用したお得なプランがいくつか登場しています。

ポイント購入にはボーナスが付与されることがあります。 2024年1月26日～2月2日まで開催されているIHG初のポイント購入フラッシュセールでは、最大100％のボーナスが付与されます。

ポイントを使って、客室のアップグレードや特典と交換することができます。

ポイント購入を検討する前に

• ポイントの有効期限を確認しましょう。 IHGリワーズクラブのポイントは、獲得から12ヶ月間有効です。
• ポイントの使い道について計画しましょう。 ポイントを使って宿泊したいホテルや時期を決めましょう。
• 現在のポイント数を確認しましょう。 すでに十分なポイントを持っている場合は、購入する必要はありません。
• ポイント購入は、賢く利用すれば、旅行をよりお得に楽しむことができます。 上記の情報を参考に、ポイント購入を検討してみてはいかがでしょうか。

ポイント購入は、賢く利用すれば、旅行をよりお得に楽しむことができます。

というのが前書きだが、IHGのポイント購入セールは100%ボーナスが最大であり、また100%ボーナス以外でのセールは買う価値が無い。

また、100%ボーナスは11,000ポイント以上の購入からとなり、それ以下の購入ではボーナスポイントはつかない。

結論：今回は見送り。

【セキュリティ事件簿#2023-502】ANAN２０２３プレミアム付き商品券運営事務局 市民の皆様へ

ANAN２０２３プレミアム付き商品券事業ホームページにおきまして、令和５年１２月３１日、海外からの不正アクセスが確認されたため、安全が確認されるまで当サイトを閉鎖しております。大変なご心配、ご不便をおかけいたします事、お詫び申し上げます。

今回の事案において、同ホームページ内の「お問い合わせフォーム」が何らかの影響を受けた可能性があり、その状況等について現在調査中でございます。

なお、「お問い合わせフォーム」をご利用いただいた方の個人情報（氏名、メールアドレス、電話番号等）につきましては、同ホームページ及びサーバー内に設計上保存されない仕組みになっていることから、外部への漏えいの可能性は極めて低いと考えておりますが、念のため該当するお客様には個別に注意を呼び掛けさせていただいております。

現在、同ホームページの復旧にむけての作業を行っており、セキュリティ強化対策を行うなどこれまで以上の技術的な安全管理を強化したうえで、再度オープンする予定です（1月19日予定）。

なお、購入申込者及び登録店舗に関する情報等につきましては、同ホームページのサーバーとは別のサーバーにおいて保存されていることから、この度の不正アクセスによる影響はございませんが、ANAN２０２３プレミアム付き商品券事業をご利用いただいている市民の皆様並びにご参加いただいている登録店舗関係者様にご心配をおかけしております事、重ねて、お詫び申し上げます。

本件に関してお問い合わせがございましたら、下記運営事務局迄お問い合わせいただきますよう、お願い申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-501】京都市立芸術大学 日本伝統音楽研究センター ウェブサイトへの不正アクセスについて

2023年12月20日、本学 日本伝統音楽研究センターのウェブサイト（https://rcjtm.kcua.ac.jp/）に不正なアクセスがありました。

　当該サイトのデータが削除されており、詳細については、現在、調査中です。

　二次被害を防ぐため、残されたデータはすべて削除し、現在公開停止としております。

　削除されたデータには、メールアドレス等が含まれているため、それらメールアドレスが特定できた場合は、本学から不審なメールの削除などを促す注意喚起を行う予定です。

　現在、原因の調査・再発防止策の検討を進めており、このようなことが生じないよう全学的に情報セキュリティ対策に万全を期してまいります。

　ご不便をおかけいたしますが、当該サイトの復旧まで、日本伝統音楽研究センターからのお知らせは、本ウェブサイトのトップページのお知らせ欄（http://www.kcua.ac.jp/category/info/）をご覧いただきますよう、お願い申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-500】株式会社丹青社 業務委託先からの個人情報漏洩に関するお詫びとお知らせ

当社がIRニュースメールの配信業務を委託していた外部委託会社のサーバーが不正アクセスを受けたことにより、当社保有の個人情報の一部が漏洩していることが判明しました。関係者の皆さまには、多大なるご迷惑とご心配をおかけしましたことを深くお詫び申し上げます。既に10月30日付で当社コーポレートウェブサイトにお知らせ「当社からのメールを装ったなりすましメールにご注意ください」を掲載しておりますが、その後の対応と再発防止策について以下のとおりお知らせします。

当社におきましては、今回の事実を厳粛に受け止め、同様の事態が再び発生しないよう、業務委託先の管理監督を含め個人情報管理体制の一層の強化を図ってまいります。

1．経緯

2023年10月30日、当社従業員および取引先が、送信元情報を当社ドメイン（@tanseisha.co.jp）のメールアドレスに偽装した「なりすましメール」を多数受信しました。同時に警視庁サイバー犯罪対策課から、業務委託先のサーバーが乗っ取られている可能性を指摘され、本事態を把握しました。

同日中に業務委託先のサーバーへのドメイン許可を停止し、当社ドメインからメールが送信されることがないように対処しました。あわせて当社コーポレートウェブサイトのお知らせにて社外への注意喚起を行い、二次被害拡大の防止に取り組みました。

なお、本件については、個人情報保護委員会および一般財団法人日本情報経済社会推進協会へ適時報告を行っております。

2．漏洩した個人情報

（1）個人情報の項目

　　当社IRニュースメールに登録されているメールアドレス。

　　※銀行口座番号、クレジットカード番号等の情報は一切含まれておりません。

（2）対象者と件数

　　株主、投資家、顧客、従業員のメールアドレス641件。

3．発生原因

当社の業務委託先のサーバーに対して第三者からの不正アクセスがあったことが原因と認識しております。

4．二次被害またはそのおそれの有無

漏洩したメールアドレス宛に、送信元情報を当社ドメイン（@tanseisha.co.jp）のメールアドレスに偽装した「なりすましメール」が複数件送信されたことを確認いたしました。

なお、既にサーバーへのドメイン許可を停止しているため、現在は同事象の発生はありません。

5．再発防止策

当該委託会社への業務委託を2023年11月で停止し、現在は適格性を確認できた新たな委託先へ契約変更しています。

また、従業員への教育や業務委託先の適格性の審査・確認、継続的な管理監督を実施し、当社の個人情報管理体制の一層の強化を図ってまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-499】株式会社エイチーム 個人情報漏えいの可能性に関するご報告とお詫び

当社グループが利用するクラウドサービス上で作成した個人情報を含むファイルがインターネット上で閲覧可能な状態にあったことが判明し、2023年12月7日に「個人情報漏えいの可能性に関するお知らせ（以下、既報）」を公表いたしました。この度、本事案に関して調査及び精査が完了いたしましたので、当該調査結果及び再発防止に向けた取り組みについてご報告いたします。

なお、既報の通り、本事案の判明後にクラウドサービス上のファイルへのアクセス制限を実施し、個人情報を閲覧できる状態は解消しております。お客様ならびに関係者の皆様には大変なご迷惑、ご心配をおかけすることを心より深くお詫び申し上げます。

概要

当社グループで利用しているクラウドサービス「Googleドライブ」で管理する一部のファイルにおいて、個人情報がインターネット上で閲覧可能な状態にあったことが2023年11月21日に判明いたしました。当該ファイルの閲覧範囲を「このリンクを知っているインターネット上の全員が閲覧できます」と設定したことから、リンクを知っていれば誰でも閲覧できる状態であり、端末識別番号・顧客管理番号・メールアドレス・氏名などを含む個人情報がインターネット上において閲覧できる状態でありました。要配慮個人情報や財産的被害が発生するおそれがある個人データは含まれておりません。

発覚の経緯は、グループ全体で導入を検討しているセキュリティ製品の精度を検証したレポートにより、リスクのあるファイルとして検知されたことによります。

1.個人情報漏えいの可能性がある対象者

① サービスご利用のお客様

￭ 当社グループで運営するサービス・アプリを過去にご利用いただいたことのある一部のお客様

② 取引先企業・法人のお客様

￭ 当社グループとご契約・お取引があった一部の取引先企業・法人のお客様

￭ 当社グループの担当者とメール等の対応があった一部の法人のお客様

③ 採用候補者

￭ 過去に当社グループの採用選考に応募いただいた一部の新卒採用及び中途採用の採用候補者

￭ 当社グループのインターンシップに参加した一部の学生

④ 当社グループ従業員

￭ 当社グループに在籍している従業員（退職者含む）

2.漏えいした可能性のある情報

詳細の調査及び精査の上、判明した個人情報の漏えいの可能性がある情報は以下の通りです。

￭ 個人情報を含むファイル数：1,369件

￭ 対象となる人数：935,779人

　※対象となる人数はユニーク数でカウントしております

■個人情報の漏えいの可能性がある人数

個人情報の漏えいの可能性がある人数は以下の通りです。

※ 個人情報保護委員会に報告書を提出した対象企業を記載しております

※ 「④当社グループ従業員」の人数の内訳の記載は省略しております

■漏えいした可能性がある項目

漏えいした可能性がある主な項目は以下の通りです。なお、要配慮個人情報や財産的被害が発生するおそれがある個人データは含まれておりません。

※ 個人情報保護委員会に報告書を提出した対象企業を記載しております

※ 対象ファイルによって記載項目が異なります

3.インターネット上で個人情報の閲覧が可能となっていた期間

2017年3月～2023年11月22日まで

※ 対象ファイルを調査した結果、ファイル作成日が最も古かった時期を閲覧可能期間として記載しております

※ 各ファイルの作成日により、閲覧可能期間は異なります

4.経緯

グループ全体で導入を検討しているセキュリティ製品の精度を検証したレポートにより、リスクのあるファイルとして検知されたことで本事案が発覚しました。当社グループで利用しているクラウドサービス「Googleドライブ」で管理するファイルを調査したところ、個人情報を含む一部のファイルがインターネット上で閲覧可能な状態にあったことが2023年 11月21日に判明いたしました。

本事案が判明後の2023年11月22日にクラウドサービス上のファイルへのアクセス制限を実施し、個人情報を閲覧できる状態は解消した上で詳細の調査及び精査を開始しました。

本事案が発覚した後、速やかに個人情報保護委員会に速報を提出し、調査状況のご報告といたしまして2023年12月7日に当社コーポレートサイトに「個人情報漏えいの可能性に関するお知らせ」を掲載しました。

グループ全体で詳細の調査及び精査が完了しましたので、2023年12月20日に個人情報保護委員会に確報を提出しました。

5.原因

当社グループで利用しているクラウドサービス「Googleドライブ」を利用して作成した個人情報を含む一部のファイルに対して、閲覧範囲の公開設定を「このリンクを知っているインターネット上の全員が閲覧できます」としており、閲覧範囲の設定が適切に行えていなかったことによるものです。

6.対象者の皆様への連絡について

個人情報が漏えいした可能性のある方で、ご連絡先が把握できた皆様には、本事案の調査及び精査が完了した2023年12月20日より順次、個別に電子メール等により本事案のご報告とお詫びのご連絡をさせていただいております。

また、当社グループ各社でのコーポレートサイトでも本事案についてお知らせを掲載しております。個人情報の漏えいの可能性に関連する皆様に向け、本事案のお問い合わせ窓口を設置し、本記事の末尾に記載しております。

7.二次被害の有無とその可能性について

本事案に関し、ご報告の現時点においては不正使用などの被害が発生した事実は確認されておりません。

情報の対象となった皆様には大変ご迷惑をおかけしますが、不審な問い合わせについては十分ご注意いただきますようお願い申し上げます。当社では、被害の拡大防止に取り組んでまいりますが、万が一、第三者の悪用を確認した場合は、末尾のお問い合わせ窓口へ連絡をお願い申し上げます。

8.再発防止策

今後の再発防止策として、①セキュリティツールによる監視強化、②ファイル共有設定・権限の見直しによる制御、③個人情報の取り扱いに関する役員及び全従業員の意識向上に取り組んでまいります。

①セキュリティツールによる監視強化

セキュリティツールを活用した監視の強化を図り、情報システム部門による厳格な管理によって情報漏えいのリスクを抑えます。

②ファイル共有設定・権限の見直しによる制御

「Googleドライブ」をはじめとしたファイル管理・共有を行うクラウドサービスにおいて、アクセス範囲設定を見直し、アクセス制限がない公開設定を無効化することにより外部共有の制御を実施しました。

③個人情報の取り扱いに関する役員及び全従業員の意識向上

個人情報に関する管理体制の強化、規程やルール等の見直し及び社内への周知徹底を行い、個人情報を含めた情報管理に関する意識の向上を図ります。また、役員及び全従業員の意識向上に向け、第三者である外部講師を招いた研修を実施予定です。

今回の事態を重く受け止め、今後このような事態が発生しないよう、再発防止に向けて個人情報の管理強化・徹底に努め、信頼回復に全力を尽くしてまいります。この度は、多大なるご迷惑とご心配をおかけいたしますこと、心より深くお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-492】千葉市 委託事業者による個人情報の流出した可能性のある事案の発生について

千葉市が事業を委託する事業者が利用するサービスに、第三者からの不正アクセスがありましたので、お知らせします。

このたびは、対象事業の参加者の皆様にご迷惑をおかけしたことを心よりお詫び申し上げるとともに、今後、個人情報のさらなる厳正な管理の徹底に努めてまいります。

なお、このことに関して、便乗した詐欺等のご連絡に十分ご注意ください。

１　対象事業

（１）委託事業名　令和５年度千葉市特定保健指導（ＩＣＴ機器活用型）業務委託

（２）委託事業者　株式会社Ｙ４．ｃｏｍ

２　事案の概要

１２月１８日（月）、事業者から本市に、事業者が利用するアプリサービスの一部に対し、第三者から不正アクセスがあり、本市のＩＣＴ機器活用型特定保健指導参加者の情報（氏名、住所、電話番号、性別等）が外部に流出したとの報告がありました。

不正アクセスは１２月１０日（日）に行われ、１２月１１日（月）に事業者が本事案を確認した。その後、事業者により詳細な調査が開始され、１２月１５日（金）に本市に第１報を受けました。

なお、直ちに被害のあったサービスをシステムから隔離するなどの処置がとられており、現時点で、不正に公開されたり悪用されたり等の被害の発生等は確認されておりません。

〈参考〉特定保健指導（ＩＣＴ機器活用型）について

４０歳から７４歳までの国民健康保険被保険者を対象に生活習慣病予防を目的に実施している特定健康診査受診者のうち、特定保健指導の対象となった者に対し、ウェアラブル端末を活用し保健指導を行うもの。

３　サービスに記録されていた情報

氏名、住所、電話番号、性別、生年月日、メールアドレス、被保険者番号、健診結果（身長、体重、腹囲、血圧、血液検査記結果、尿検査結果、問診項目）　２５人分

４　対応状況等

・１２月１８日（月）午後、事業者のホームページに本事案を公表しております。

　※事業者が問い合わせ窓口（電話・メール）を開設しています。

　　　株式会社Ｙ４．ｃｏｍ　個人情報お問い合わせ窓口

　　　電話番号　０９２－４０６－３８３３（受付時間　１０時～１７時、土日祝日を除く）

　　　メール　　info@y-4.jp

・同日、市における個人情報の流出可能性事案に関して、個人情報保護委員会に報告しました。

・今後、参加者本人への通知とお詫びを実施する予定です。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-492】伊丹市 委託事業者による個人情報の流出事案の発生について

伊丹市が事業を委託する事業者が利用するシステムに、第三者からの不正アクセスがありましたので、お知らせします。

このたびは、対象事業の参加者の皆様にご迷惑をおかけしたことを心よりお詫び申し上げるとともに、今後、個人情報のさらなる厳正な管理の徹底に努めてまいります。

なお、このことに関して、便乗した詐欺等のご連絡に十分ご注意ください。

1 対象事業

（1）委託事業名 令和5年度伊丹市特定保健指導（ICT機器活用型）業務委託

（2）委託事業者 株式会社Y4．com

2 事案の概要

12月18日（月曜）、事業者から本市に、事業者が利用するアプリサービスの一部に対し、第三者から不正アクセスがあり、本市のICT機器活用型特定保健指導参加者の情報が外部に流出したとの報告がありました。

不正アクセスは12月10日（日曜）に行われ、12月11日（月曜）に事業者が本事案を確認しました。その後、事業者により詳細な調査が開始され、12月14日（木曜）に本市に流出の可能性があることの第1報を受けました。

なお、直ちに被害のあったサービスをシステムから隔離するなどの処置がとられており、現時点で、不正に公開されたり悪用されたり等の被害の発生等は確認されておりません。

〈参考〉特定保健指導（ICT機器活用型）について

40歳から74歳までの国民健康保険被保険者を対象に生活習慣病予防を目的に実施している特定健康診査受診者のうち、特定保健指導の対象となった者に対し、ウェアラブル端末を活用し保健指導を行うもの。

3 サービスに記録されていた情報

20人分の氏名、住所、性別、生年月日、被保険者番号、健診結果

4 対応状況等

・12月18日（月曜）午後、事業者のホームページに本事案を公表しております。

※事業者が問い合わせ窓口（電話・メール）を開設しています。

株式会社Y4．com 個人情報お問い合わせ窓口

電話番号 092－406－3833（受付時間 10時～17時、土日祝日を除く）

メール info@y-4.jp

・今回の流出事案に関して、国の個人情報保護委員会に報告しました。

5 本市の対応状況

漏洩が確認された方に対し、市と事業者より、電話連絡等でお詫びと状況報告を実施いたしました。

6 再発防止策

事業者側において、影響を受けたシステムのセキュリティ強化と、パスワードの変更により対応します。今後の調査で、脆弱性が判明した際には、さらなるセキュリティレベルの向上と再発防止策を実施予定です。

リリース文（アーカイブ）

航空会社特典航空券のストップオーバー規定ガイド

その昔、ほとんどの航空会社のロイヤリティプログラムでは、特典航空券での途中降機が無料でした。残念なことに現在では、そのようなユニークな機会を提供するプログラムは少なくなってきています。

今回は、特典航空券でのストップオーバーを無料で認めているマイレージプログラムについて、ワンワールドアライアンスを中心にまとめたいと思います。

途中降機、オープンジョー、乗り継ぎ

まず、重要な用語について説明しましょう。ストップオーバーとは何か、オープンジョーとは何か、乗り継ぎとは何か。これらの用語の意味はまったく異なるので、前もって確認しておきましょう。

途中降機

途中降機（ストップオーバー）とは通常、出発地と最終目的地の間にある乗り継ぎ都市に24時間以上滞在することを指します。乗り継ぎ都市とは、航空会社のハブ空港であったり、目的地までの途中都市であったりします。

ルーティングに工夫を凝らすことで、通常は経由地として考えないような場所でのストップオーバーが可能になることも多いです。例えば、アメリカからアジアへ旅行する場合、ヨーロッパを経由し、そこでストップオーバーすることも可能かもしれません。

乗り継ぎ

乗り継ぎとは、通常24時間以内の都市での滞在を指しますが、プログラムによっては、特典旅程の乗り継ぎ時間が最大4時間と短い場合もあります。アワード・プログラムでは、アワード規約やプログラム利用規約を記載する際に、乗り継ぎを意味する言葉としてトランスファーという言葉を使用することがあります。

オープンジョー

オープンジョーとは、ある都市に到着し、別の都市から出発するフライトのこと。例えば、米国（LAX）からアジアへ向かう場合、往路はシンガポール着（LAX⇒SIN）、復路はバンコク発（BKK⇒LAX）みたいなルートのこと。

特典航空券での途中降機

特典航空券での途中降機（ストップオーバー）を認めている航空会社のロイヤルティプログラムを見てみよう。最も寛大なものから順に、どの程度寛大なポリシーなのかを大まかにリストアップする。

アラスカ航空

アラスカ航空は、途中降機に関して最も寛大なプログラムのひとつで、地域間の移動であれば、特典航空券でのストップオーバーを認めてくれます。アラスカ航空にはさまざまな提携航空会社があるので、たとえば、ロサンゼルスから東京経由でシンガポールまで日本航空を利用し、日本でストップオーバーすることも可能です。

ストップオーバーは片道でも可能なので、往復航空券で2回のストップオーバーができる可能性があることになります。アラスカ・マイレージ・プランのマイルには素晴らしい使い道がたくさんあります。

ストップオーバーの予約は無料で、アラスカ航空のウェブサイトから直接予約することが可能です。

キャセイパシフィック航空

キャセイパシフィック航空のアジアマイルは、キャセイパシフィック航空を利用する際にも、提携航空会社を利用する際にも、驚くほど便利なプログラムです。キャセイパシフィック・アジアマイルでは、往復特典航空券でのストップオーバーが可能です。ストップオーバーは、キャセイパシフィック航空を利用する場合でも、提携航空会社を利用の場合でも可能です。

日本航空

JALマイレージバンクは、提携航空会社を利用する場合に限り、ストップオーバー（途中降機）に対して最も寛大な規定を設けています。JALは距離ベースの特典チャートを採用しており、特典の価格は移動距離の合計によって決まります。

JALマイレージプログラムは、マイルの交換方法によってルールが異なります。基本的にJALマイレージバンクは3種類の特典を提供しています。

• JAL特典航空券：日本航空のみを利用する場合。
• 提携航空会社特典航空券：JALの提携航空会社1社のご利用に限ります。
• ワンワールド特典航空券：ワンワールド加盟航空会社を2社以上利用する場合。

JAL特典航空券ではストップオーバーはできません。

提携航空会社特典航空券を1回の利用で最大3回の途中降機が可能です。一部の例外を除き、合計6区間まで可能です。ただし、特定のパートナーには制限があります。

• 大韓航空の場合、2区間までしか利用できませんが、途中降機は可能です。
• 中国東方航空の場合、合計4区間までとなり、中国での途中降機はできません。
• ハワイアン航空、ロイヤル・エア・モロッコ、ヴィスタラ航空の場合、合計4区間までとなります。

ワンワールド特典航空券を利用する場合、ストップオーバーはなんと7回まで可能です。特典航空券は合計8区間しか利用できないため、ストップオーバーの実用性は制限されます。7回のストップオーバーを最大限に利用しようとすると、乗り継ぎの各都市でストップオーバーしなければなりません。

その他の特筆すべきプログラム

ブリティッシュ・エアウェイズのエグゼクティブ・クラブは無料のストップオーバーはできませんが、1回の旅行で複数の目的地を訪れようとする人には便利かもしれません。

エグゼクティブ・クラブは、アワードの価格が各区間の距離とクラスで計算されるというユニークなプログラムです。1枚の航空券で何区間でも予約できますが、料金は累積されるため、区間ごとに支払うことになります。

多くの場合、短い区間の料金が安いので、リーズナブルな料金で複数の目的地を訪れることができます。

エグゼクティブ・クラブには、"シークレット "マルチキャリア特典チャートがあります。ワンワールド加盟航空会社2社以上（ブリティッシュ・エアウェイズ利用区間がある場合は3社以上）を利用する場合、この特典チャートを利用すれば、各区間を個別に予約するよりも支払うAviosが少なくなります。

この方法で最大8区間まで予約でき、各都市でストップオーバーすることも可能です。

ストップオーバーは、マイルやポイントの価値を増大させる素晴らしい方法です。残念なことに、多くの航空会社では、このような機会を長年にわたってなくしてきました。

個人的には、JALマイレージバンクのワンワールド特典航空券を愛用しています。

出典：Guide To Stopover Rules On Airline Award Tickets

【セキュリティ事件簿#2023-498】パナソニック コネクト株式会社 不正アクセスのお知らせとお詫び

パナソニック コネクト株式会社アビオニクスビジネスユニット（以下、ABU）およびパナソニック アビオニクスコーポレーション（以下、PAC）は、不明の第三者がPACの企業ネットワーク環境内の一部のシステムに不正にアクセスし、ABUおよびPACが管理する従業員および元従業員に関連する個人情報に影響を与えたことが判明しましたので、本事案についてお知らせいたします。

本事案に関して、対象となる従業員および元従業員の皆様にご心配とご迷惑をおかけいたしますことを深くお詫び申し上げます。

【事案概要】

2022年12月30日、PACの企業ネットワーク環境のシステムに影響を及ぼす可能性がある不正アクセスを受けたことが判明しました。PACは、事案に関する調査を直ちに開始し、サイバーセキュリティおよびフォレンジックの外部専門家の協力を得て、事案全体および個人情報への影響の有無、その範囲について徹底的な調査を行いました。2023年12月初旬に調査が完了し、その結果、ABUおよびPACが当時管理していたABUまたはPACに在籍する従業員または在籍していた元従業員に関連する個人情報の全部または一部が影響を受けた可能性があることが判明しました。なお、当該の不正アクセス以降、これらの個人情報について悪用または悪用された可能性があることを示す事実は確認されていません。

対象者：

ABUおよびPACの従業員および元従業員

対象となる個人情報：

ABUおよびPACが業務上管理していた従業員および元従業員の個人情報

対象者によっては、氏名、電話番号、金融機関口座番号（パスワードは含みません）、その他人事・雇用関連情報が含まれている可能性があります。

対象となる従業員の皆様には社内メールまたは郵送にてお知らせするとともに、元従業員の皆様には、順次ご連絡がつく限り、個別にご通知をお送りしています。

このお知らせは、ご通知を受け取られていない元従業員の皆様へのお知らせです。

ABUおよびPACは、今回の事態を重く受け止め、この事案の影響抑止のために速やかに対応し、再発防止に向け複数の安全管理措置を講じました。また、関連法令に従い、すでに本事案について関係当局にも通知しましたが、皆様ご自身においても、さらなるセキュリティ対策および不審な連絡がないか等、ご留意いただきますようお願い申し上げます。本件に関し、お心当たりやご不明な点がありましたら、以下までご連絡いただきますようにお願い申し上げます。

リリース文（アーカイブ）

2023年のセキュリティ事件・事故・情報漏えい・不正アクセス ベスト10

2023年に発生したインシデントを被害規模順にランキング化すると以下のようになるらしい。

10 位：【セキュリティ事件簿#2022】ならコープ　重大なシステムトラブルに伴う個人情報についてのお知らせ

原因：不正アクセス

件数：489,085 人

個人情報の漏えいは確認されていないが、法律の専門家及び外部専門機関等との協議の結果、個人情報漏えいの可能性を完全には否定できないということらしい。

9 位： 【セキュリティ事件簿#2023-011】チューリッヒ保険会社　個人情報漏えいに関するお詫びとお知らせ

原因：不正アクセス

件数：最大757,463 人

業務委託での個人情報漏えい。顧客の個人情報が海外のサイトに掲載されていたらしい。

8 位： 【セキュリティ事件簿#2023-010】アフラック生命保険株式会社　個人情報流出に関するお詫びとお知らせ

原因：不正アクセス

件数：1,323,468 人

8 位と同内容。

7 位： 【セキュリティ事件簿#2023-022】株式会社アダストリア　当社サーバーへの不正アクセス発生について

原因：不正アクセス

件数：1,414,751 件

顧客情報以外にも中途採用・アルバイト採用選考参加者の応募者情報や従業員情報など、幅広くお漏らし。

6 位： 【セキュリティ事件簿#2023-422】Suishow 株式会社　当社運営の「NauNau」をご利用いただいているお客様への 重要なお知らせとお詫びについて

原因：紛失

件数：200 万人

NHKの報道を受けての公表という、組織体としては最もだらしのないパターン

5 位： 【セキュリティ事件簿#2023-175】トヨタ自動車株式会社　クラウド設定によるお客様情報の漏洩可能性に関するお詫びとお知らせについて

原因：システム管理上のミス

件数：約 230 万人

クラウド環境の誤設定が原因。半端ない量のお漏らし。

4 位： 【セキュリティ事件簿#2023-109】株式会社IDOM　当社サーバへの不正アクセスに関するご報告とお詫び

原因：不正アクセス

件数：2,402,233 件

第三者調査機関の調査結果では、個人データを閲覧された可能性は否定できないが、外部に送信した痕跡は見つかっていないということらしい。

3 位： 【セキュリティ事件簿#2023-107】株式会社NTTドコモ　【お詫び】「ぷらら」および「ひかりTV」をご利用のお客さま情報流出のお知らせとお詫び

原因：不正持ち出し

件数：約 596 万件

元派遣社員が使用していたパソコンから、業務では行うことがない外部への通信を検知したことで発覚。

2 位：【セキュリティ事件簿#2023-416】株式会社NTTマーケティングアクトProCX　NTTビジネスソリューションズに派遣された元派遣社員によるお客さま情報の不正流出について（お詫び）

原因：不正持ち出し

件数：約 900 万件

NTTマーケティングアクトProCXにテレマーケティング業務を委託していたクライアント 59 件の顧客情報 約 900 万件が持ち出しの対象。

1 位： 【セキュリティ事件簿#2023-119】株式会社出前館　アカウント連携システム不備による『出前館』アカウント情報閲覧の恐れに関するお詫びとお知らせ

原因：システム管理上のミス

件数： 924 万 4,553 件

1 台の PC やスマートフォンを複数の顧客で共有し、顧客が出前館サービスにログインしない状態でサードパーティーアカウントと連携した後、同じ PC やスマートフォンで別の顧客がログインし、さらにその後、最初の顧客が「アカウント連携によるログイン」を選択した場合に発生するらしい。

出典：2023年に最も読まれたセキュリティ事件・事故・情報漏えい・不正アクセス記事 ベスト10

【セキュリティ事件簿#2023-497】いちごの里 個人情報漏えいについてのお詫びとご報告

この度、（株）いちごの里ファームにおきまして、数名のお客様よりメールアドレスが流出しているとのご連絡がありました。

関係者の皆様におきましては、多大なるご不安やご迷惑をおかけすることとなり、心からお詫び申し上げます。

1.事案の概要

12月13日、お客様より「メールアドレスが流出しているとセキュリティソフトから警告があった」とのご連絡をいただきました。

12月14日、HP運営会社に事実関係を確認したところ、「2014年～2019年に当時使用していた予約システムから流出した可能性がある」との報告がありました。

2.漏洩したと思われる情報

メールアドレス

3.漏洩の原因

調査中

4.今後の対応

警察、弁護士、個人情報保護委員会等に相談し、被害届の提出も含めて検討します。

※漏えいした恐れがあるデータは、すべて削除済みであります。新システムへの引継ぎも行っておりません。

※現在の予約システムは「Table Check」を利用しており、セキュリティについて問題ないと思われますのでご安心ください。

リリース文（アーカイブ）