市立函館高校で模試成績など流出・ＳＮＳ掲載 部内者の仕業か

函館市の市立函館高校で、生徒３人の模擬試験の成績や偏差値などの個人情報が流出してＳＮＳに投稿され、９０人ほどが閲覧していたことがわかりました。

市立函館高校によりますと、今月１８日、生徒３人の模擬試験の成績や偏差値などの個人情報がＳＮＳの「インスタグラム」に一時掲載され、５０分ほどで削除されましたが、その間に９０人ほどが閲覧していたということです。

この高校では、生徒の成績などは教員がインターネット上で学習支援ソフトを使って管理していましたが、高校によりますと、何者かが教員のＩＤとパスワードを使って成績などの情報を入手して３人とは別の生徒１人に流出させ、この生徒が「インスタグラム」に掲載していたということです。

この高校では、生徒用のタブレット端末を使ってＩＤとパスワードを入力していたケースもあり、その端末では、成績などの情報が誰でも閲覧できる状態になっていたということです。

高校では、外部からのサイバー攻撃などの形跡はなく、高校の内部で、何者かがこのタブレット端末を使って情報を入手した可能性が高いとしています。

市立函館高校は「生徒が授業で使うタブレット端末を業務で使用していたほか、端末の使用記録が正確に残されていないなど、学校の管理が不十分だった。生徒や保護者におわびしたい」としています。

出典：市立函館高校で模試成績など流出・ＳＮＳ掲載 部内者の仕業か

警部補が同僚らに“なりすまし” 不正アクセス100回

警視庁の37歳の男性警部補が他の職員の指紋登録情報に自身の指紋を登録し、約100回にわたって不正アクセスを繰り返していたとして処分されました。警部補は2022年7月22日付けで依願退職しました。

警視庁によりますと、大崎警察署の警務課に所属する37歳の男性警部補は、おととし3月から今年4月にかけて、警視庁のネットワークへのログインに必要な指紋情報について他の同僚らの指紋情報に自らの指紋情報を登録し、不正にアクセスをしていたとして今月22日、戒告の懲戒処分を受けました。

男性警部補は同僚ら男女6人分の指紋情報に自らの指紋情報を登録していて、約100回にわたって不正アクセスをしていました。

指紋情報には複数の指の登録を行うことが可能となっていますが、男性警部補はこのシステムを悪用し、同僚らになりすまして昇任試験の合格発表日の確認や個人情報を閲覧などを繰り返していたということです。

なりすまされた職員が不在の際にファイルが使用中になっていたことから不正が発覚しました。

この男性警部補は不正アクセス禁止法違反などの疑いで22日に書類送検され、依願退職しました。

出典：警部補が同僚らに“なりすまし”　不正アクセス100回

栃木県 森林簿に係る個人情報の掲載について 2022年7月21日

1 事故内容

県ホームページ（オープンデータ・ベリーとちぎ）に掲載されている「森林簿データ（渡良瀬川森林計画区（足利市）、那珂川森林計画区（那須烏山市））」の一部に、個人情報（森林所有者氏名及び住所）が含まれ、不特定多数の者が閲覧可能な状態となっていた。

掲載していた個人情報 1,786人分（内訳 足利市 315人、那須烏山市 1,471人）

2 経緯

令和3年12月6日（月曜日）、森林簿データの一部に森林所有者氏名及び住所が含まれていることに気づかず掲載。

令和4年7月20日（水曜日）、職員が個人情報が掲載されていることを確認。同日、上記情報の掲載を停止。

3 二次被害

現時点（7月21日14時）で確認されていない。

4 原因

個人情報を担当者が削除した上で掲載することとしていたが、一部に削除漏れがあったことによる。

5 森林所有者への対応

対象となる森林所有者には文書でお詫びする。

6 再発防止策

改めて情報の取扱いについて十分注意するとともに、ホームページへの掲載の際には、職員2人以上で確認を行うなど、チェック体制を強化する。

栃木県リリース（アーカイブ）

オープンデータ・ベリーとちぎリリース（アーカイブ）

マリオット・ホテルで2022年2回目のデータ流出事故が発生 / Marriott Hotels Suffers Second Data Breach in 2022

マリオット・インターナショナルは、2022年7月6日（水）、今年2件目の情報漏えいがあったことを確認しました。

報告によると、攻撃者はクレジットカード情報、機密文書、顧客支払情報などの機密情報を含む合計20GB相当のデータを盗み出したという。

マリオットは、このデータ侵害について、対象となる300人から400人に通知する準備を進めています。

マリオットホテルの情報漏えいは今に始まったことではありません。2020年初め、マリオットホテルは520万人の宿泊客の個人情報を流出させる事件を起こしています。

それよりもはるかに深刻だったのは、2018年に発覚した、2016年にマリオットが買収したホテルグループであるスターウッドホテルグループ5億人分の宿泊客に影響を与えた事件です。

マリオットは、個人情報の適切な保護を怠ったとして、英国の裁判所から約2,000万ポンドの罰金を課されました。

最初に情報漏洩を報告したDatabreaches.netは、直近の情報漏洩を起こしたハッカーと話をしたと主張しています。

DatabreachesがGroup with No Nameまたは、GNNと呼ぶこのグループは、「彼らのセキュリティレベルは非常に低く、データの持ち出しに問題はなかった」と述べています。「少なくともデータベース全体にはアクセスできなかったが、奪った部分にも重要なデータは満載だった」と述べています。

マリオットの前四半期の売上高は41億9000万ドルでしたが、同社は一貫して顧客の情報セキュリティに対する配慮を欠いた態度を示してきました。残念ながら、このような態度は企業においてあまりにも頻繁に見受けられます。

大企業は、従業員が高度なフィッシング攻撃を検知し、より安全な行動を取るよう促す必要があります。

出典：Marriott Hotels Suffers Second Data Breach in 2022

神奈川県 委託事業者（一般社団法人ソーシャルコーディネートかながわ）によるメールアドレスの流出について 2022年07月19日

県が事業者に委託して実施する事業で、受託事業者が受講予定者に電子メールを送信した際、受信した方が他の受信者のメールアドレスを見ることができる状態になっており、メールアドレスが流出したことが判明しました。

1　概要

(1)発生の状況

　令和4年7月19日（火曜日）14時59分に、「かながわコミュニティカレッジ講座」の運営を受託している一般社団法人ソーシャルコーディネートかながわが、災害ボランティア入門講座の受講予定者のうち、電子メールでの連絡を希望した31名に対し、開催概要を確認する旨の電子メールを送信した際、送信相手のメールアドレスをBCC欄に入力すべきところ、誤って宛先欄に入力しました。

　このため、受信した方が他の受講予定者のメールアドレスを見ることができる状態となり、個人情報（メールアドレス）が流出しました。

(2)判明した経緯

　令和4年7月19日（火曜日）15時25分頃に、メール受信者1名の方から受託事業者あてに電話があり、個人情報（メールアドレス）の流出が判明しました。

　県は、受託事業者より16時5分に報告を受けました。

2　流出した個人情報

31名分の個人メールアドレス

3　原因

メール送信の際に、宛先について複数人での確認を怠ったことによるものです。

4　対応

本日、受託事業者から31名に対しメール及び電話で謝罪するとともに、受信したメールの削除を依頼しているところです。

5　再発防止策

県から受託事業者に対して、個人情報の厳格な管理を行うとともに、メール送信の際には、複数人での確認を徹底するよう強く指導し、再発防止を図ります。

プレスリリース（アーカイブ）

週刊OSINT 2022-23号 / Week in OSINT #2022-23

 

今号は、フィッシングキット、Telegram、ビデオについて調査し、CCTVシステムとCAPTCHAについて見ていきます。

• Investigate Phishing Kits
• CCTV Locations
• Telegram Investigations
• Investigate and Find Videos
• Dark Web CAPTCHAs

メディア: Investigate Phishing Kits

5月にこのビデオを見逃したのですが、このテーマは私の好みにぴったりです。フィッシングキットをオープンソースで調査する。DarkTowerのAlex SlotnickとHaley Copelandは、URLScanやurlqueryなどのサイトを使って、フィッシングのドメインを見つけたり、ドメインのDNSレコードに含まれる情報を調査したりする方法を紹介しています。オープンソースの情報を使ってサイバー犯罪者を追跡する方法についての素晴らしいビデオチュートリアルです。

サイト: CCTV Locations

TOCP Discordで、'BroquePicker'によるCCTVカメラに関するメッセージを見ました。海賊党のウェブサイトでは、約160,000台のプライベート・カメラ（時にはオープン・フィード付き）と、OpenStreetMapでマッピングされた他のCCTVカメラが地図上にプロットされている。このサイトでは、調査対象地域内のカメラを簡単に検索することができます。面白いのは、一部のカメラにmapillary keyがあることです。マピラリーでカメラを見るには、そのキーを持って以下のURLにアクセスすると、その場所がマピラリーで表示されます。

https://mapillary.com/map/im/{key}

これは、Google StreetViewがあまりカバーしていない地域、例えばドイツで特に便利です。

メディア: Telegram Investigations

5月末にSkopeNowはTelegram調査に関するウェビナーを開催し、スティーブ・アダムスがTelegramの情報を抽出する様々なツールやテクニックについて話しました。Telegramを初めて使う人にとって、ユーザー情報、チャット、グループやチャンネルを見つけるための検索ツールなどを抽出するための便利なテクニックを紹介するものです。

チュートリアル: Investigate and Find Videos

Ben Heublは、オンラインでビデオ素材を検索する方法について、Mediumに投稿しました。彼は、ある出来事について、より多くの映像や文脈を見つけるのに役立つさまざまなテクニックについて述べています。逆画像検索やGoogle Lensから、動画の詳細情報を表示するためのChrome拡張機能の使用まで。

記事: Dark Web CAPTCHAs

Madame HTTPSが最近立ち上げたウェブサイトで2つ目のブログ記事を書き、Torサイトで見られるさまざまなCAPTCHAの旅を紹介しています。さまざまな「ちゃんねる」から「Dread」、マーケットプレイスからフォーラムまで、すべて異なるタイプが使われており、それぞれの違いを見るのは興味深いものです。これからも良い仕事を続けて、ブログの投稿を続けてください。

株式会社大塚商会 クリーンテックス社が保有する弊社のお客様情報流出の可能性に関するお知らせとお詫び 2022年7月20日

このたび、弊社が運営するオフィスサプライ通信販売事業「たのめーる」の仕入先である丸美工藝株式会社（本社：東京都千代田区、代表取締役社長：大辻誠一郎　以下 丸美工藝）の報告で、メーカー（クリーンテックス・ジャパン株式会社（本社：神戸市西区、代表取締役社長：大山済世、以下 クリーンテックス））において、悪意のある第三者からの不正アクセスがあったことが確認されました。

クリーンテックスの保有する情報の一部が外部に流出した可能性があり、その中には「たのめーる」にてご注文されたお客様情報も含まれているとの報告がありましたのでお知らせいたします。

ご関係のお客様には多大なご迷惑とご心配をおかけしましたことを、深くお詫び申し上げます。

1．経緯

• 2022年7月8日（金）
  クリーンテックスにて不正アクセスを検知した。
  被害の拡大を防ぐため関連するサーバへのすべてのアクセスを遮断し、その後、復旧作業と併せ安全性の確認を実施した。以降、クリーンテックスにて不正アクセスの流入経路や流出ファイルの特定等の調査を実施した。
  
  
• 2022年7月15日（金）
  丸美工藝より、クリーンテックスが不正アクセスを受けた事実、弊社のお客様情報が流出した可能性があること等の報告を受領した。

2．流出した可能性があるお客様情報

対象者	2017年以降に「たのめーる」において、 クリーンテックスの商品（玄関マット）をご注文されたお客様
件数	約950件（詳細な件数は現在調査中）
情報	お客様の氏名、住所、電話番号、会社名

3．今後の対応について

個人情報が流出した可能性があるお客様には、詳細が判明次第、個別にご連絡させていただきます。

関係各所への報告は、2022年7月20日(水)に個人情報保護委員会およびプライバシーマーク審査機関には、報告をいたしました。なお、2022年7月11日(月)、クリーンテックスから所轄警察署への届け出は完了しております。

弊社では、個人情報取り扱い業務における管理体制の厳重化を行うことに加え、再委託先も含めた個人情報委託先の安全管理措置への調査方法も再徹底し、再発防止に努めてまいります。

大塚商会プレスリリース（アーカイブ）

クリーンテックスプレスリリース（アーカイブ）

Aviosで予約できる航空会社 / Which 30 airlines can I book with Avios points?

今日は、Aviosのポイントで予約できる航空会社を見てみたいと思います。

ブリティッシュ・エアウェイズは有名ですが、Aviosを一部または全部のフライトに使用できる航空会社は、実は30社もあります。

カタール航空がAviosを採用したため、ブリティッシュ・エアウェイズ、イベリア航空、エアリンガス以外のカタール航空提携航空会社でもアビオスを利用することが可能となりました。

以下にAviosの交換が可能なすべての航空会社をリストアップしてみました。

(BA)と表示されているものは、ba.comで予約することができます。 つまり、ブリティッシュ・エアウェイズの特典航空券を予約するのと同じ手順となります。

(AC)と表示されている航空会社は、avios.comで予約することができます。 エアリンガスのウェブサイトからavios.comのアカウントを開設し、ba.comまたはavios.comの「Combine My Avios」でポイントを移行することが可能です。

(IB)と表示されている航空会社は、イベリア・プラス・アカウントから予約可能であることを意味します。イベリア・プラス・アカウントに移行するには、イベリア・アカウント開設後90日経過＆1Avios以上を保有している必要があります。Aviosは購入することが可能です。

(QR)と表示されている航空会社は、カタール・プリビレッジクラブのアカウントから予約可能であることを意味します。

Aviosで予約できる航空会社は？

このリストの括弧内は、その航空会社のAviosに交換できるプログラムを追加しています。BAはブリティッシュ・エアウェイズ・エグゼクティブ・クラブ、IBはイベリア・プラス、ACはavios.com / AerClub / Vueling Club、QRはカタール・プリビレッジ・クラブを表しています。

一部の提携航空会社では、Aviancaなど、関連プログラムのサービスセンターを通じて電話でしか予約できない場合があります。特定の航空会社が運航するすべての路線を予約できるわけではありません。

エアリンガス (AC, BA)

エア・ノストラム / イベリア・レヒオナル (IB, BA)

アラスカ航空 (BA, IB, QR)

アメリカン航空 (BA, IB, QR)

アビアンカ航空 (IB)

バンコク・エアウェイズ (QR)

ビンター・カナリア (IB)

ブリティッシュ・エアウェイズ (AC, BA, IB, QR)

キャセイパシフィック航空 (BA, IB, QR)

フィンエアー (BA, IB, QR)

イベリア航空 (AC, BA, IB, QR)

イベリア・エクスプレス (AC, BA, IB)

インテルジェット (IB, only valid when linked to an Iberia flight to/from Mexico)

日本航空 (BA, IB, QR)

LATAM航空 (IB, QR)

レベル (IB)

マレーシア航空 (BA, IB, QR)

ミドルイースト航空 (QR)

オマーン航空 (QR, Doha to Muscat route only)

カンタス航空 (BA, IB, QR)

カンタスリンク (BA – telephone only, read here)

カタール航空 (BA, IB, QR)

ロイヤル・エア・モロッコ (BA, IB, QR)

ロイヤル・ヨルダン航空 (BA, IB, QR)

ルワンダ航空 (QR)

S7航空 (BA, IB, QR but currently suspended)

スリランカ航空 (BA, IB, QR)

サンエアスカンジナビア (BA)

ヴァージン・オーストラリア (QR from July 2022)

ブエリング航空 (AC, IB)

オマーン航空は最近oneworldアライアンスに加盟する計画を発表しましたので、2024年からAviosの交換が可能になります。

出典：Which 30 airlines can I book with Avios points?