Kali Linux 2022.3リリース


Offensive Securityは、仮想マシンの改善、Linux Kernel 5.18.5、新しい遊びのツール、ARMサポートの改善などを行った2022の第3バージョンであるKali Linux 2022.3をリリースしました。

Kali Linuxは、ホワイトハッカーがネットワークに対する侵入テスト、セキュリティ監査、サイバーセキュリティの調査を行うために設計されたディストリビューションです。

今回のリリースで、Kali Linuxチームは、以下のようなさまざまな新機能を導入しました。
  • 仮想マシンのサポート強化
  • 新しいツール
  • Kali ARMのアップデート
  • Kali NetHunterのアップデート
  • Kali-Toolsレポジトリへの投稿を受付中
Offensive Securityは、Black Hat、BSides LV、DefConのセキュリティカンファレンスに合わせて、"みんなが楽しめる素敵なサプライズ！"として、Kali Linux 2022.3のリリースを決定しました。

このリリースで、Kali LinuxはLinux Kernel 5.18.5を使用しています。ただし、Raspberry Piのリリースは、バージョン5.15を使用しています。

また、Offensive Securityは、Kaliのリリースごとに、同社のDiscordサーバー「Kali Linux & Friends」で、新しい変更点について1時間のボイスチャットセッションを行うことを発表しました。

仮想マシンサポートの改善

Kali LinuxはすでにVMwareとVirtualBox用のVMイメージを持っていましたが、VM上にKaliを簡単に展開できるように、いくつかの新しい変更を加えました。

Offensive Securityは、VirtualBoxイメージをVDIディスクと.vboxメタデータファイルとして配布するようになり、Kaliを新しいVMとして迅速に追加することができるようになりました。

さらに、Kali Linux用のVMイメージは、最先端のパッケージを含む週次ビルドがリリースされます。しかし、これらは通常のリリースほど徹底的なテストは行われません。

Kali Linux 2022.3で追加された5つの新ツール

今回のリリースでは、パスワードスプレーツール、PHPポストエクスプロイトツールキット、ネットワーク分析ツールなど、5つの新しいツールが追加されています。

Kali 2022.3で追加された5つの新ツールを紹介します。
  • BruteShark - ネットワーク分析ツール

  • DefectDojo - オープンソースのアプリケーション脆弱性相関とセキュリティオーケストレーションツール

  • phpsploit - ステルスなポストエクスプロイトフレームワーク

  • shellfire - LFI/RFI とコマンドインジェクションの脆弱性を突く

  • SprayingToolkit - Lync/S4B, OWA, O365 に対するパスワードスプレー攻撃
kali-linux-labs パッケージも更新され、Damn Vulnerable Web Application (DVWA ) と OWASP Juice Shop (Juice Shop) が追加されました。

Kali Linux 2022.3の入手方法

Kali Linux 2022.3 を使い始めるには、既存のインストールをアップグレードするか、プラットフォームを選択するか、新規インストールとライブディストリビューション用の ISO イメージを直接ダウンロードすることができます。

以前のバージョンからアップデートする方は、以下のコマンドで最新バージョンにアップグレードできます。

echo "deb http://http.kali.org/kali kali-rolling main non-free contrib" | sudo tee /etc/apt/sources.list

sudo apt update && sudo apt -y full-upgrade

cp -rbi /etc/skel/. ~

[ -f /var/run/reboot-required ] && sudo reboot -f

Windows Subsystem for Linux上でKaliを実行している場合、グラフィカルなアプリのサポートを享受するためにもWSL2を使用していることを確認してください。

Kali がインストールされている WSL のバージョンは、Windows のコマンドプロンプトで 'wsl -l -v' コマンドを使用することで確認することができます。

アップグレードが完了したら、以下のコマンドを使用してアップグレードが成功したかどうかを確認できます。

grep VERSION /etc/os-release

Kali 2022.3では、ハイライトされた改善点のみを紹介しましたが、完全な変更点については、KaliのWebサイトでご覧いただけます。


Labels:

青森県薬剤師会　「イベントペイ」不正アクセスによる情報流出について　2022年8月17日



本会で、研修会の参加申込・参加費のお支払いに利用しているWEB システム「イベントペイ」の不正アクセスによる情報流出について、「イベントペイ」側より下記のとおり発表がありました。

＜不正アクセスによる情報流出に関するご報告とお詫び＞


上記には不正アクセスの原因及び情報流出の内容・規模、今後の対応・補償に関する情報が掲載されております。今後、「イベントペイ」側より対象となる方に対し2022/3/1（火）より順次通知があり、下記 補償窓口が開設されています。

本会行事の「イベントペイ」決済において2021/5/1（土）以降にクレジットカードをご利用の皆様におかれましては、改めてクレジットカードのご利用明細およびクレジットカード会社からの不正利用検出のメール連絡等のご確認をお願い申し上げます。

クレジットカード再発行手数料は「イベントペイ」側の負担となりますので、クレジットカード会社へのご連絡の際には、「メタップスペイメントの不正アクセスの件」である旨を必ずお申し出下さい。

Labels: ,

スイス政府、バグバウンティプログラムの開始を発表


スイスの国家サイバーセキュリティセンター（NCSC）は、連邦政府向けに新たなバグバウンティプログラムを開始すると発表しました。

2021年に実施されたパイロットプロジェクトでは、連邦外務省、FDFA、スイス議会サービスの計6つのITシステムに対して、ホワイトハッカーによるセキュリティ脆弱性のスキャンが実施されました。

その結果、「重要」1件、「中」7件、「低」2件を含む計10件の脆弱性が見つかりました。

その結果、このプログラムはNCSCの指導のもと、他の連邦政府機関にも拡大されました。

今年中に開始される予定の新しいセキュリティ報酬プログラムは、Bug Bounty Switzerland AGが運営し、同社は2022年8月3日、政府との契約に至ったことを確認しました。

CEO兼共同設立者のSandro Nafzger氏は、次のように語っています。「スイスにいる最高のサイバーセキュリティの専門家で構成される国立サイバーセキュリティセンターと協力できることを非常に誇りに思いますし、光栄に思っています。」

「NCSCとの戦略的パートナーシップと連邦政府との革新的なコラボレーションは、スイスでバグバウンティプログラムを確立するという我々の戦略の実施における重要なマイルストーンとなります。」

Labels:

古典的なOSINT


今回は、World Wide Web が存在しなかった時代にタイムスリップして、OSINT 調査の方法について過去から学んでみる。もしかすると、現在にも通じるものがあるかもしれない。

現在、インターネットに接続すれば、どこからでも驚くほど多様なリソースに瞬時にアクセスすることができますが、これらが誕生する前の時代に目を向けることは賢明かもしれません。これまで、国立・州立図書館や公文書館、大学図書館、民間団体図書館、自治体図書館などの宝の山にアクセスすることを楽しんできました。インターネットが普及する以前は、オープンソースの研究者にとってなかなか手に入らないようなデータもよくありました。

物理的な電話帳や街の名簿といった古い手段は、今日では人探しサービスや検索エンジンなどのツールに取って代わられています。そして、これらの現在の手段は、将来的に他のツールに取って代わられるでしょう。これは、OSINT 研究者がツールではなく、調査・分析プロセスに焦点を当てるべき理由です。ツールやそれを管理する人は、必然的に時間の経過とともに変化し、最終的には他のものに取って代わられるのです。しかし、公共図書館のような情報の集合体は、決して廃れることはないでしょう。


World Wide Webが誕生すると、図書館は、独自のリソースをリモートで提供したり、情報の重要なポータルとして機能し続けることができるようになりました。

多くの図書館は、図書館利用者に無料で提供できる高価なデータベースや定期刊行物へのアクセス権を持っています。図書館によっては、Lexis/Nexisなどのデータベースや、Jane's Onlineなどの定期刊行物形式の資料、医学雑誌などの専門出版物へのアクセスも含まれることがあります。このような資料は、インターネット資料が爆発的に普及する以前も以後も、流通の制限やコストの問題から、それ以外の方法でアクセスすることが困難な場合が多いのです。

これらのリソースのいくつかは、図書館のオンラインユーザーでも利用できることがありますが、多くの場合、利用するには図書館に行く必要があります。しかし、OSINTの研究者にとっては、図書館に足を運ぶ価値がある場合も多いでしょう。

大きな図書館では、どのようなリソースが利用できるかをウェブサイトに掲載している場合があります。OSINT研究を行う者は、少なくとも地元や国の政府機関や近隣の大学図書館のこれらのページを見つけて記録するよう、前もって計画することができます。いくつかの例を挙げます。
専門図書館は、多くの人が知らない資料へのアクセスを提供します。例えば、米国では情報公開法（FOIA）により、膨大な量の政府文書が公開されています。同様の公開記録法を持つ他の国も、しばしば同じことをしています。政府機関では、公開された記録を閲覧できる図書館を定期的に運営しています。このプロセスに参加する民間組織も、同様に独自のライブラリを通じて一般市民と情報を共有することができます。

人気のある米国FOIA文書資料には次のようなものがあります。
他にも、Social Security Death Index（SSDIと呼ばれることもある）のように、何十年も前から利用可能であったが、現在ではオンラインで一般公開されている政府資料もある。このインデックスは、ancestry.comのような系図サイトも含めて、オンラインでアクセスし、検索する方法がたくさんあります。SSDIは、米国在住の調査員として、ある個人が亡くなった際、その人の住所に関する手がかりを確認するのに何度か役に立ったことがある。他の国、州、地方にも同様の資料がありますが、それほど新しい記録は含まれていないかもしれません。このような資料が捜査に役立つことはあまりないかもしれないが、有用であることに変わりはない。

研究者は、考えうるほぼすべての関心領域について - おそらくそれに焦点を当てた主要な図書館があることを心に留めておく必要があります。私たちの多くは、例えば法律関係の図書館があることを知り、これらが何らかの形で存在することを認識しています。これらの多くは、政府機関や教育機関に関連付けられています。

このような専門的な図書館は世界中にあり、その種類は非常に多く、頭を悩ませるところです。これらの図書館は、必然的にその分野に関連する専門的なデータセットにアクセスすることができ、そこにはまさにあなたが興味を持つような情報が含まれています。多くの場合、その情報にアクセスするためには、図書館のウェブサイトにログインするか、または訪問する必要がある。


上記は例として提供された単一のリンクですが、もちろん、特定の主題領域については、多くの場合、様々な地域に多数のライブラリが存在します。ここに挙げた例は主に米国に基づくものですが、英国の国立航空宇宙図書館や東北大学農学図書館など、多くの場所でこれらのライブラリの独自版が存在します。

企業や組織の図書館は、しばしば見落とされがちな資源です。営利・非営利を問わず、ほとんどの大企業は、通常、図書館を持っています。そこには、企業の記録しか保存されていないかもしれません。しかし、企業やその職員（過去と現在）、活動に関する情報だけでなく、競合他社や科学的情報、非常に特殊な技術リソースやデータベースへのアクセスなど、特定の業界に関する情報まで含まれている場合があります。

ドイツの村の道路の経年変化について、何か情報が欲しいですか？ドイツ自動車クラブ(ADAC)の図書館がお役に立つかもしれません。米国内の慈善団体の状況や活動を調査していますか？GuidestarとThe Foundation Centerがほぼ1世紀にわたって追跡調査しています。ロンドンのリンネ協会に興味がおありですか？リンネ協会の図書館には、期待される科学的な資料のほかに、協会に関する多くの情報があります。営利企業で数年前の主要幹部の人脈や、製品開発プロセスについて知りたいですか？うまくお願いすれば、企業図書館にアクセスできるかもしれません。ただし、アクセスするためには、それなりの理由も必要でしょう。

つまり、あなたが求めるオープンソースの情報が常にオンラインで入手できるとは限らないこと、そしてウェブブラウザを開く以外にも公開情報を入手する方法があることを、覚えておくとよいでしょう。時々、ウェブ上でデータをホストしていない遠方の自治体からの公文書データが必要になることがありました。そのような場合、事務局や担当の管理者に電話で問い合わせると、必要な情報が得られることがよくある。オンラインデータには有料や登録制のものもあるが、他の方法、時には電話で問い合わせることで無料で入手することができる。

このように直接的に関わることで、潜在的なデータソースが増えます。特定の分野の専門家、地元メディアが収集した以上の詳細を提供できる事件の目撃者、必要な記録にアクセスできる関係者などが、電話や電子メール1本で、他では得られない貴重な情報を提供してくれるかもしれないのです。

ジャーナリストなどの研究者の中には、このようなことを頻繁に行う人もいますが、他の多くの人は、このような手段を取ることを思いつかないかもしれません。場合によっては、法律や安全保障上の懸念、その他の制限により、潜在的な情報源に直接コンタクトすることができないこともありますが、許されるのであれば、どんな調査員にとっても選択肢の一つとして残されているはずです。これは純粋に OSINT なのか？それはあなた自身が決めることですが、調査を前進させることができる方法であることは間違いありません。

Labels:

株式会社小学館集英社プロダクション　マルウェア感染による個人情報漏洩の可能性に関するお知らせとお詫びにつきまして　2022年8月4日


弊社が運営する保育施設のうち１園において、使用するパソコンが「なりすましメール」に
よるマルウェアに感染し、パソコン内に保存されていた個人情報が漏洩した可能性を完全に否定できないことが判明いたしました。なお、現在までに、個人情報の漏洩・不正利用等の二次被害に関する報告は受けておりません。

当該保育施設にお通いの在園児様へは、書状にて、6 月 10 日に発生概要とお詫びを、7 月 22 日に途中経過報告を、また８月４日より該当する個人情報に関して順次個別にお知らせをご連絡させていただいております。

弊社保育施設をご利用の保護者の皆様をはじめ、お取引先様、関係者の皆様には多大なるご迷惑とご心配をおかけしますことを心より深くお詫び申し上げます。

1. 概要および原因

弊社が運営する保育施設のうち１園のパソコンにおいて 6 月 8 日、所属自治体担当者と名乗る者より業務連絡を装うメールを受信し、実在の担当者からの業務連絡メールと思い添付ファイルを開きました。その後弊社が委託している外部システム会社より連絡が入り、当該メールがマルウェアを含むものであったことが判明いたしました。

ファイル開封から 9 分後に外部とのネットワークを遮断するなどの対応を実施し、同日、当該外部システム会社にパソコンを持ち込み不正アクセス状況等の調査を開始しました。その結果、当該パソコン上にマルウェアが展開されていることを確認し、大容量のファイルを圧縮、送信した形跡はみられないものの、悪意のある外部サーバとの通信履歴があり、何らかの情報漏洩の疑いを完全に否定できないことが判明いたしました。

なお、当該事案につきまして 6 月 10 日に個人情報保護委員会に届け出いたしました。

2. 漏洩の可能性がある個人情報 （個人情報漏洩の可能性がある対象者）

個人情報の漏洩の可能性が疑われる対象者は 1,178 名であり、内訳としては当該保育施設の在園児様・卒園児様・退園児様及び保護者様、現勤務職員・離職職員、並びに外部第三者の方です。

また、漏洩した可能性のある情報は以下のとおりです。

・氏名
・生年月日
・性別
・住所
・電話番号
・メールアドレス
・病歴
・心身の機能の障害等

３．公表の時期について

6 月８日の漏洩懸念から今回のご案内に至るまで、時間を要しましたことを深くお詫び申し上げます。

マルウェアの感染により漏えいした可能性のある情報の範囲等が不明であったため、調査を続けておりました。当該保育施設にお通いの在園児様、並びに宛先が判明している卒園児様、退園児様、離職した職員及び外部第三者の方には順次ご連絡申し上げておりますが、今般、感染状況の調査結果が明らかになりましたため、公表を行うことといたしました。今回の発表までお時間をいただきましたこと、重ねてお詫び申し上げます。

４．再発防止策 

再発防止策は以下のとおりです。
  • パソコン内の個人情報データの削除（ごみ箱等も含め）及び会社サーバ内又はクラウド上でデータ管理することの徹底
  • 会社内で受信した攻撃メールの共有及び注意喚起
  • 攻撃メールを受信した際に開封及びクリックしないためのメール取扱い訓練の実施
※会社で作成した攻撃メールを装った訓練用メールを配信

５．対象となる方への対応

当該保育施設にお通いの園児様へは、８月 4 日より書状にてお詫びとお知らせを個別にご連絡させていただいております。また、在籍する職員へも８月４日より直接お知らせとお詫びをいたしております。

また、卒園児様・退園児様および保護者様、離職職員、並びに外部第三者の方にも、宛先が判明している方には全て書状を個別に送付しております。

不審な連絡等があった場合には、当該保育施設および弊社受付窓口までお知らせいただきますようお願いいたします。（なお、本日現在、受付窓口にはお問い合わせはいただいておりません。）

Labels: ,

週刊OSINT 2022-27号

 

今号では地図、Google、Torサービスに関するヒントやコツを取り上げます。

また、何年も前から知っていながら一度も話題にしたことのないサイトを始め、共有したいクールなことがたくさんありました。とにかく、いつものようにトピックの概要を説明しながら、飛び込んでみましょう。

  • GPS Visualizer
  • Google Workshop
  • More on Google Searching
  • Tor Bookmarks
  • More Dark Web Links
  • Carnet


サイト: GPS Visualizer

このウェブサイトは、アクティビティトラッカー、KMLファイル、CSVやExcelシート、さらにはGoogle Drive上のシートまで、あらゆる種類のファイル形式から地図を生成することができます! ファイルをアップロードし、出力形式を選択するだけです。その後、地図自体やそのレイアウトを微調整することができます。Google APIキーが必要なオプションもありますが、これはGoogleのサービスを利用しているかどうかによります。補足：Google MapsのルートをGPXに変換して、このウェブサイトでさらに処理したい場合は、MapsToGPXのような無料のツールがあります。


メディア: Google Workshop

Henk van Ess氏がGIJNのために、最近のGoogleが返す奇妙な結果についてプレゼンテーションを行った。Googleは検索結果の中で最も重要で強力な結果を強引に出そうとするため、あなたが見たいリンクが返ってこないかもしれません。Henkは、Googleを使用する際に最良の結果を得るために、様々な注意点を探り、それを回避する方法を説明しました。


小技: More on Google Searching

Googleで検索する際のヒントとして、忘れてはならない個人的なコツをいくつか紹介します。

Web & Activityをオフにする

Google は、お客様や他のユーザーが検索している内容に基づいて、より関連性の高い提案や結果を生成するために、検索アクティビティを使用します。設定によっては、Google は、最近の検索履歴からの提案を表示するなど、検索をより個人的なものにするためにお客様のアクティビティを使用することもあります。

この機能をオフにするには、検索結果のページから設定を開いてください。


次に、「検索履歴」オプションをクリックします。


ここで、保存されたアクティビティを削除したり、さらにはオフにすることができます。アクティビティの削除により、どのような効果が出るのか試してみてください。

Incognito Browsing

ヘンクがビデオで説明したように、シークレットオプションは、Googleのアルゴリズムに捕らえられることを防ぐものではありません。しかし、何らかの形でパーソナライズされた結果を提供されることは防げます。私が行った簡単なテスト検索では、何百万件もあった検索結果が数千件になりました。これは、Googleが「私にとって重要だと思われるもの」ではなく、「関連する結果」だけを表示したからに他なりません。

別のサービスを利用する

検索エンジンStartpageは、その結果にGoogleを使用しており、さらにGoogleの高度な検索演算子（またはドーク）を使用しています。このサイトを使用する利点は、通常のブラウザでシークレットブラウジングセッションと比較して、多少似たような結果を得ることができることです。いずれにせよ、別の検索エンジンを使用するのは良い考えです。プライバシーに配慮したサービスとしては、LokyやSearXなどがあります。

ローカライズ検索

iSearchFromというサイトを利用すると、Googleで検索する際に、特定の国や言語、デバイスをターゲットにすることができます。注意点としては、検索結果のリンクをすぐにクリックすることができませんが、検索後にURLを変更することで可能になります。単にURLの上に移動し、URL内のオプション&adtest=onを見つけ、削除します。

Googleがインデックスするものを知る

Googleは、ページ上に見えるものだけでなく、ソースコード内にあるものもインデックスしていることを忘れないでください。Henkの動画を見ると、彼は「Saint Kitts」を含む結果をたくさん取得しています。そして、結果の大部分はソースコードのどこかにそれを含んでいました。プルダウンメニューを開くと表示される場合もあれば、それ以外の場合もあります。ほとんどの場合、検索された単語は実際に存在するのですが、単に検索そのものに関連性がない、あるいは単に隠されているだけの場合があります。


リンク: Tor Bookmarks

OSINT Combineは、Torブラウザに取り込んで使えるブックマークセットを作成しました。リークサイト、検索エンジンのセット、OnionShareへのリンク、そしてさまざまなサービスの小さなコレクションを備えています。これはTorの世界に入り始めた人たちのための素敵なスターターパッケージです。


リンク: More Dark Web Links

Torブックマークで紹介されているリンクの1つは、OSINT Techniquesでも共有されていたもので、tor.taxiと呼ばれているものです。これもブックマークのセットで、TorサイトとI2Pサイトの両方が対象です。このリストには、マーケットプレイスやフォーラム、サーチエンジン、エクスチェンジなど、さまざまなカテゴリのサイトがあります。そして、どのサイトがオンラインであり、どのサイトが中断される可能性があるのかを色で表示しています。


サイト: Carnet

1週間ちょっと前、Nico Dekens氏からCarnetというサイトの素晴らしい情報を入手しました。このサイトは、アップロードされた画像に写っている車を認識するオンラインツールを提供しています。複数の車が写っている場合は、画像からランダムに1台を選んでくれるようです。複数のクルマが写っている場合は、識別したいクルマをトリミングすれば、その役割を果たします。


出典：Week in OSINT #2022-27

Labels:

株式会社ベクトル　弊社が運営する「ベクトルパーク」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ　2022年8月18日


このたび、弊社が運営する「ベクトルパーク」におきまして、第三者による不正アクセスを受け、お客様のクレジットカード情報（18,136 件）が漏洩した可能性があることが判明いたしました。

お客様をはじめ、関係者の皆様に多大なるご迷惑およびご心配をおかけする事態となりましたこと、深くお詫び申し上げます。

なお、個人情報が漏洩した可能性のあるお客様には、本日より、電子メールにてお詫びとお知らせを個別にご連絡申し上げております。

弊社では、今回の事態を厳粛に受け止め、再発防止のための対策を講じてまいります。

お客様をはじめ関係者の皆様には重ねてお詫びを申し上げますとともに、本件に関する概要につきまして、下記の通りご報告いたします。

1.経緯
2021 年 12 月 7 日、所轄警察署の岡山県警サイバー対策課より、弊社運営の「ベクトルパーク」より、不正に情報が送信されている可能性があると連絡を受けて、社内で調査を実施し、不正のプログラムを発見して、除去を行いましたが、さらなるリスクを鑑みて、2021 年 12 月 29 日弊社が運営する「ベクトルパーク」でのカード決済を完全に停止いたしました。

その後、第三者調査機関による調査も開始いたしました。2022 年 6 月 28 日、調査機関による調査が完了し、2020 年 4 月 27 日～2021 年 12 月 22 日の期間に 「ベクトルパーク」で、購入されたお客様クレジットカード情報が漏洩し、一部のお客様のクレジットカード情報が不正利用された可能性があることを確認いたしました。

以上の事実が確認できたため、本日の発表に至りました。

2.個人情報漏洩状況

　(1)原因

弊社が運営する「ベクトルパーク」のシステムの一部の脆弱性をついたことによる第三者の不正アクセスにより、ペイメントアプリケーションの改ざんが行われたため。

　(2)個人情報漏洩の可能性があるお客様

2020 年 4 月 27 日～2021 年 12 月 22 日の期間中に「ベクトルパーク」において、クレジットカード決済をされたお客様 18,136 名で、漏洩した可能性のある情報は以下のとおりです。

・カード名義人名
・クレジットカード番号
・有効期限
・セキュリティコード
・ログオン ID
・パスワード

上記に該当する 18,136 名のお客様については、別途、電子メールにて個別にご連絡申し上げます。

3.お客様へのお願い

既に弊社では、クレジットカード会社と連携し、漏洩した可能性のあるクレジットカードによる取引のモニタリングを継続して実施し、不正利用の防止に努めております。

お客様におかれましても、誠に恐縮ではございますがクレジットカードのご利用明細書に身に覚えのない請求項目がないか、今一度ご確認をお願いいたします。万が一、身に覚えのない請求項目の記載があった場合は、たいへんお手数ですが同クレジットカードの裏面に記載のカード会社にお問い合わせいただきますよう、併せてお願い申し上げます。

なお、お客様がクレジットカードの差し替えをご希望される場合、カード再発行の手数料につきましてはお客様にご負担をお掛けしないよう、弊社よりクレジットカード会社に依頼しております。

4.公表が遅れた経緯について

2021 年 12 月 7 日の漏洩懸念発覚から今回の案内に至るまで、時間を要しましたことを深くお詫び申し上げます。

本来であれば疑いがある時点でお客様にご連絡し、注意を喚起するとともにお詫び申し上げるところではございましたが、決済代行会社と協議し、不確定な情報の公開はいたずらに混乱を招き、お客様へのご迷惑を最小限に食い止める対応準備を整えてからの告知が不可欠であるとの説明を受け、発表は調査会社の調査結果、およびカード会社との連携を待ってから行うことに致しました。

今回の発表までお時間をいただきましたこと、重ねてお詫び申し上げます。

5.再発防止策ならびに弊社が運営するサイトのクレジットカード決済再開について 

弊社はこのたびの事態を厳粛に受け止め、調査結果を踏まえてシステムのセキュリティ対策および監視体制の強化を行い、再発防止を図ってまいります。

改修後の「ベクトルパーク」のクレジットカード決済再開日につきましては、決定次第、改めて Web サイト上にてお知らせいたします。

また、弊社は今回の不正アクセスにつきまして、監督官庁である個人情報保護委員会には 2022 年 7 月 11 日に報告済みであり、また、所轄警察署にも 2021 年 12 月 8 日に被害申告しており、今後捜査にも全面的に協力してまいります。

Labels: ,

徳島大学　キャリア支援室予約システムによる個人情報漏えいについて　2022年8月17日


本学のキャリア支援室予約システムを利用された学生及び卒業・修了生の個人情報がインターネット上で漏えいしていた事実が判明いたしましたので、ご報告いたします。

令和４年８月１日（月）、個人情報が閲覧可能になっているとの指摘を本学職員から受け、事実関係を調査しました。機能拡張を目的としたシステム改修を担当した委託業者にて不備があり、そのことによりキャリア支援室予約システムを利用された学生等の情報が閲覧可能状態となり、漏えいした学生等の個人情報は、令和４年７月５日（火）から令和４年８月３日（水）までの間、インターネット上で閲覧可能になっていたことが判明しました。８月１日、直ちに関係各所に連絡を取り、閲覧不可能状態にする対応を行い、また、Web検索エンジンのキャッシュデータの削除を依頼し、８月３日朝までにキャッシュデータを含む本件個人情報がWeb上から削除されたことを確認しております。

漏えいした個人情報は、キャリア支援室予約システムを利用された当時の学生及び卒業・修了生延べ７，２０８名の「氏名」、「性別」、「所属」となっており、これ以外の個人情報は漏えいしておりません。

個人情報が漏えいした学生には、個別に状況説明と謝罪文を送付させていただきました。

また、卒業・修了生については、ホームページにより状況説明と謝罪をさせていただきました。

なお、現時点では本件の個人情報が不正に使用された事実は確認されていません。

今回の件により、関係者の皆様には多大なご迷惑とご心配をおかけすることとなり、深くお詫び申し上げます。

本学ではこれまで個人情報取扱い業務にあたり、厳格な取扱・管理の徹底に努めてまいりましたが、このような情報漏えいが発生したことを踏まえ、今後は更なる厳格化を図り再発防止に全力で取り組んでまいります。

Labels: ,
登録: コメント (Atom)