【セキュリティ事件簿#2023-001】株式会社タカミヤ　当社サーバーに対する不正アクセスに関するお知らせ 2023年1月23日

このたび、当社並びに当社の子会社である株式会社キャディアン、株式会社トータル都市整備、株式会社青森アトム、株式会社エコ・トライ、株式会社タカミヤの愛菜、八女カイセー株式会社、株式会社イワタ、株式会社ヒラマツ及び株式会社ナカヤ機材（以下、各子会社を総称して「子会社ら」といい、当社と子会社らを総称して「当社グループ」といいます。）は、当社グループのサーバーに対して第三者による不正アクセスを受け、ランサムウェア感染被害を受けましたので、お知らせいたします。

本件につきましては、既に、対策本部を設置のうえ、外部専門家の助言を受けながら、原因特定・被害情報の確認・情報流出の有無などの調査を行い、自力復旧への対応を進めながら、発覚後速やかに、個人情報保護委員会や警察への報告につきましても行っております。引き続き、外部専門家や警察とも連携のうえ、対応を進めて参る所存です。

現状、攻撃の詳細等については継続して調査を行っており、全容を把握するまでには今しばらく時間を要する見込みですが、現時点で判明している内容につきまして、下記のとおりご報告申し上げます。今後、より詳しい状況が判明次第、速やかにご報告申し上げます。

なお、今回の不正アクセスが当社グループの業績、2023年３月期第３四半期決算発表に及ぼす影響については、現在精査中でございますが、開示が必要な場合は、速やかに公表いたします。

このたびは、皆さまに多大なるご心配とご迷惑をお掛けすることとなりまして、誠に申し訳ございません。衷心より深くお詫び申し上げます。

不正アクセスの概要
初期調査の結果によれば、攻撃者は、当社ベトナム拠点に対して不正アクセスを行ったうえで当社グループの社内サーバーに侵入し、ランサムウェアを実行し、ファイルの暗号化を行ったものと考えられます。その後、攻撃者のリークサイトに弊社名が掲載されていることを確認しております。
漏えい等の可能性がある情報
調査中ですが、現時点において把握しているものは以下のとおりです。
・当社グループの社内サーバーに保存されていた顧客情報（個人情報を含む）
・当社グループ全社の従業員情報
なお、漏えい等の可能性がある個人データの件数については、現在調査中です。
株式会社イワタ、株式会社ヒラマツ及び株式会社ナカヤ機材については、攻撃を受けたサーバー群に個人データを保有しておらず、当該三社が主体として取得・管理していた個人データに漏えい等のおそれがないことを確認しております。
発覚の経緯及びこれまでの対応状況
- 令和４（2022）年12月15日、当社の業務システムへのアクセス障害を確認したことから、当社のシステム管理者が調査を行い、社内サーバーに保存されていたファイルが暗号化されるなど、ランサムウェアであるLockBitに感染したことが判明しました。このため、当社は、当社のシステム管理者に、直ちに可能な範囲での被害拡大防止措置を講じさせるとともに、本件の対策本部を設置しました。
- 12月16日、当社のシステム管理者の調査により、当社の業務遂行における支障を生じさせない最低限の業務システムの復旧は可能な見込みであることが判明し、直ちに復旧作業を開始するとともに、外部専門家の弁護士及びセキュリティ専門企業に本件の対応に関する支援を依頼しました。
- 12月19日、当社において個人情報保護委員会に対する速報を行うとともに、攻撃対象サーバーに関するデジタルフォレンジック調査を実施する外部専門機関の選定作業等を開始しました。
- 継続調査により、子会社らにおける本件の影響を確認したため、12月23日、子会社らに関しても個人情報保護委員会に対する速報を行いました。
- 令和５（2023）年１月７日、当社グループに対してランサムウェア攻撃をしたと名乗るものからメールを受信し、また、攻撃者のリークサイトに当社名が掲載されていることを確認しました。
- １月10日、攻撃者のリークサイトへの掲載を踏まえ、外部専門機関を起用したダークウェブ調査も開始しました。
- １月11日の午前、当社において大阪府警担当課と会議を行い、現状の調査状況を報告し、今後の捜査の進め方につき協議を行いました。
- １月11日、攻撃対象サーバーに関するデジタルフォレンジック調査を実施する外部専門機関からデジタルフォレンジック調査の初期報告を受けました。
今後の対応

引き続き、外部専門機関によるデジタルフォレンジック調査等を進めており、漏えい等した情報の項目・件数、侵入経路、被害範囲等を調査して参ります。また、攻撃者のリークサイトへの掲載を踏まえて、外部専門機関を起用したダークウェブ調査も継続して参ります。
当該調査の内容も踏まえて、外部専門家の弁護士及びセキュリティ専門企業の助言のもと、再発防止策の策定に向けた取り組みを進めて参ります。
引き続き、個人情報保護委員会や警察をはじめとした機関への報告・連携を進めて参ります。

このたびは、皆さまに多大なるご心配とご迷惑をお掛けすることとなりまして、重ねてお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-030】朝倉書店　お詫びとお知らせ　2023年1月5日

年末年始の休業期間中，小社ホームページおよび『デジタル内科学』サービスページにおいて，アクセス不良が発生いたしました。

お客様には多大なご迷惑をお掛けいたしましたこと，深くお詫び申し上げるとともに，現在は復旧いたしましたことをお知らせ申し上げます。

昨年末に小社サーバに対する悪質な不正アクセスが発生し，サーバ側にて緊急避難的な対応を行ったことが原因と考えております。

現在も調査を進めておりますが，休業期間中でしたため復旧が遅れてしまいましたこと，重ねてお詫び申し上げます。

なお，今回の不正アクセスによる個人情報流出等の被害は生じておりません。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-029】九州電力株式会社　九州電力送配電株式会社のNW設定端末の委託業務外利用に係る報告徴収の受領について　2023年1月18日

当社は、九州電力送配電株式会社（以下、九州電力送配電）が管理する当社以外の小売電気事業者のお客さま情報（以下、新電力顧客情報）を閲覧していたことが判明し、本日、電力・ガス取引監視等委員会および個人情報保護委員会から報告徴収を受領しました。

本事案は、2022年12月27日付の電力・ガス取引監視等委員会からの依頼に基づき調査を進める中で判明したものです。

これまでの調査で、当社および委託会社において、九州電力送配電から非常災害時等の供給支障事故対応用に貸与されている託送コールセンターシステム端末（注）の一部を、通常業務に使用していたことを確認いたしました。

　（注）新電力顧客情報を含む九州電力送配電のみが保有する託送関連情報の閲覧が可能

当社および委託会社の従業員に聞き取りをおこなった結果、同端末を

他社から当社への契約切替（スイッチング）時の名義不一致分の契約状況の確認
当社との契約開始時における住所特定や公衆街路灯の設置場所特定のために電柱番号が記載された地図情報確認

等のために使用しており、その際、新電力顧客情報を含む九州電力送配電が保有する託送関連情報を閲覧しておりました。

なお、現時点においては、新電力の顧客獲得活動への使用は確認できませんでした。

詳細については引き続き調査をおこなってまいります。

当社といたしましては、今回の事案を重く受け止めており、深くお詫び申し上げます。今後、報告徴収に適切に対応してまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-028】国立大学法人琉球大学　学内で利用するクラウドサービスにおける個人情報等の不適切な取扱いについて（お詫び） 2023年1月20日

この度、学内で利用するクラウドサービス（Microsoft Teams）（以下「Teams」という。）内に保存されていた個人情報等が含まれたファイルの一部について、情報共有者の限定やパスワードの設定を行っていなかったことから、担当者のみが共有すべき情報が、本学構成員（本学からアカウントが付与されている学生及び職員）にも閲覧可能な状態（最も古いものは令和２年４月から閲覧可能）であったことが確認されました。

閲覧可能な状態であったファイル

① 担当者のみが共有すべきファイル（会議資料、大学院入試関係資料等）

304 件

② ①のうち個人情報（氏名、メールアドレス、成績情報等）が含まれるファイル

273 件（901 名分〔琉球大学学生436 名、職員67 名、その他398 名〕）

このような事態を招き、関係する皆さまに、ご迷惑とご心配をおかけしたことを深くお詫び申し上げます。

閲覧可能な状態であったファイルは、本学管理者によって昨年１０月１１日までに当Teams 担当者以外が閲覧できないように措置を講じました。

これまでのところ、当該個人情報等が不正に使用された事実や学外への漏えいは確認されておりません。

なお、閲覧可能な状態であった一部の大学院入試関係資料には試験問題も含まれていたため、入試の公平性・公正性に鑑み、当該大学院入試について精査を行いましたが、本資料が不正に使用された事実は確認できず、合否判定については変更しないという取扱いといたします。併せて、平穏な教育研究環境に影響が生じることを避けるため、当該大学院の研究科名等の公表は差し控えさせていただきます。

個人情報が閲覧可能な状態となっていた皆様及び大学院入試問題が閲覧可能であった当該研究科の受験生の皆様には、書面等にて状況をご説明し、ご迷惑をおかけしたことについてお詫び申し上げたところです。

本学では、今回の事態を受け、情報管理の一層の強化を図り、再発防止に全力で取り組んでまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-027】株式会社長寿乃里　クレジットカード情報漏洩に関するお詫びとお知らせについて 2023年1月19日

この度、弊社のECサイト「あっとよか(https://www.chojyu.com/)」につきまして、画面表示を最適化するサービスを提供する企業（株式会社ショーケース）より、当該サービスのシステムが第三者によって改ざんされ、お客様のクレジットカード情報（37件）が漏洩した可能性があることが判明いたしました。

会員様をはじめ、関係者の皆様に多大なるご迷惑、およびご心配をおかけする事態となりましたこと、深くお詫び申しあげます。

なお、情報が漏洩した可能性のある会員様には、本日Eメールにてお詫びとお知らせを個別に送らせていただいております。

弊社は今回の事態を厳粛に受け止め、再発防止に万全を期してまいります。

会員様をはじめ関係者の皆様には重ねてお詫び申しあげますとともに、本件に関する概要につきまして、下記の通りご報告申しあげます。

1.経緯

2022年7月28日、弊社会員サイト「あっとよか」のECサイトにおいて、ご覧になる端末に合わせて、ウェブページの表示を最適化するツール「サイト・パーソナライザ」（提供：株式会社ショーケース）のシステムが、第三者によって不正に改ざんされた可能性があり、入力された情報の一部が漏洩した可能性があると連絡を受け、社内における独自調査ならびに2022年8月22日にカード会社よりクレジットカード情報漏えい懸念の発生情報がもたらされたことから2022年8月24日に弊社会員サイト「あっとよか」のECサイトでのカード決済を停止いたしました。

改めて実施した第三者調査機関による調査の結果、改ざんが発生した2022年7月19日から、該社がシステムを修正した2022年7月29日の期間に、「あっとよか」の決済方法選択ページまたはマイページにて、新規にクレジットカードをご利用された会員様に入力いただいた、以下の会員様情報が漏洩した可能性があることが判明いたしましたため、本日の発表に至りました。

2.クレジットカード情報漏洩状況

(1)原因

弊社が運営する「あっとよか(https://www.chojyu.com/)」にて採用している外部事業者「株式会社ショーケース」の画面表示を最適化するサービスツールの脆弱性をついたことによる第三者の不正アクセスにより、ソースコードの改ざんが行われたため。

（２）クレジットカード情報漏洩の可能性がある会員様

2022年7月19日～7月29日の間に、弊社ECサイト内での新規カード登録のお手続きを行った37件の会員様が対象で、漏洩した可能性のある情報は以下のとおりです。

・クレジットカード番号

・有効期限

・セキュリティコード

上記に該当する37件の会員様に関しましては、別途ご連絡済みでございます。

3.お客様へのお願い

既に弊社では、クレジットカード会社と連携し、漏洩した可能性のあるクレジットカードによる取引のモニタリングを継続して実施し、不正利用の防止に努めております。

お客様におかれましても、誠に恐縮ではございますがクレジットカードのご利用明細書に身に覚えのない請求項目がないか、今一度ご確認をお願いいたします。万が一、身に覚えのない請求項目の記載があった場合は、たいへんお手数ですが同クレジットカードの裏面に記載のカード会社にお問い合わせいただきますよう、併せてお願い申しあげます。

尚、お客様がクレジットカードの差し替えをご希望される場合、カード再発行の手数料につきましてはお客様にご負担をお掛けしないよう、弊社よりクレジットカード会社に依頼しております。

4.公表に時間を要した経緯について

2022年7月28日から今回の案内に至るまで、時間を要しましたことを深くお詫び申し上げます。

本来であれば疑いがある時点でお客様にご連絡し、注意を喚起するとともにお詫び申し上げるところではございましたが、不確定な情報の公開はいたずらに混乱を招き、お客様へのご迷惑を最小限に食い止める対応準備を整えてからの告知が不可欠であると判断し、発表は調査会社の調査結果、およびカード会社との連携を待ってから行うことに致しました。

今回の発表までお時間をいただきましたこと、重ねてお詫び申し上げます。

5.再発防止策ならびに弊社が運営するクレジットカード決済の再開について

本件につきまして、監督官庁である個人情報保護委員会には2022年8月10日に報告済みであり、また、所轄警察署にも2022年12月1日被害相談しており、今後捜査にも全面的に協力してまいります。

弊社はこのたびの事態を厳粛に受け止め、本件の被害拡大の防止に努めるとともに、今後の再発防止策の徹底、およびより一層の情報セキュリティ対策の強化に取り組んでまいります。

なお「あっとよか」サイトでのカード決済の再開日につきましては、決定次第、改めてWebサイト上にてお知らせいたします。

リリース文（アーカイブ）

2023年の投資戦略を考える（NISA、iDecoは使わない。富裕層にたどりついてみたい。）

2022年、寅年は荒れると言われていたが、本当にすごい荒れ方をした。

特にドル円なんか、年初に115円くらいだったのが、150円までつけ、その後130円前後で落ち着くという、荒れまくりの展開だった。

FXメインでやっていた人は退場を強いられた人がかなりいたと思う（市場からの退場だけならまだしも、人生からの退場になっていないことを祈る）

また、2022年はこれまでの人生で一番自己投資した年だった。その投資額約〇〇〇万円。社畜の分際で年収の45%近くを投じていたので、自分でもびっくりしたが、得られるものもあった。

一つは健康。

一昨年までは高脂血症に高血圧で、薬を飲み始めるか、真剣に生活改善するかの2択を迫られる中で、1日1食生活＆白物（米、小麦、砂糖、塩、シャブ(笑)）を抜く＆適度な運動（1万歩/日）をする生活をし、体重は10キロ以上落ち、高脂血症は解消し、血圧も正常値に戻った。3か月ごとに内科に通院しており、いつも通院すると先生が積極的に次回の日程を決めに来てくれるが、それすらもなくなってしまった。昨年の健康診断では肥満度がマイナスになってしまい、違う意味でウエイトコントロールが必要と診断されてしまった。

1日1食(夜)生活により、基本的に昼食を取るという習慣が無くなったため、この時間を執筆に振り向け、これまでの旅の記録をまとめてキンドル出版をし、作家になることを目指している。

もう一つ得られた大きなものは投資のマインド。

実は投資を行うにあたって最も重要なのは健康。健康でない人が投資をすると間違った判断をしてしまい、最悪市場や人生からの撤退を迫られてしまう。

んで、自分がたどり着いた投資はシンプルイズベストでインデックス投資。

どこのインデックスかというと、アメリカ。

その理由もシンプルで実績ベースで株価と人口が増えているから。

バックテストができて、株価と人口が増え続けている国はアメリカしかない。

ちなみに2022年はFXから撤退しました。

FXは以前からゼロサムゲームと言われており、利益が出る裏には必ず損を出している人がいるということで、頭では理解しているものの、罪悪感を感じないように自動売買でブン回していた。

ところが、多額の資金を投じて学んだ投資マインドを踏まえると撤退すべきという気持ちが高まり、覚悟を決めて撤退した。

ちなみに撤退時期は丁度ドル円が150円に向けて円安に突き進んでいる時期だったので、損失は最小限に抑えられた。

自動売買は円高に動くと自動的に買いの仕掛けをしていくため、ドル円が150円を付けて円高方向に向かっていったが、この局面だと、逆に損失が拡大して撤退は難しくなっていた。

そんな訳で投資についてはインデックス投資をメインとし、米国株（S&P500）と、万が一のために逆相関の関係にある米国長期債、それに有事の金をベースとしてポートフォリオを組み立てていく。

ちなみにこれ、仮に2005年に100ドルから投資を始めて、毎月100ドルずつドルコスト平均法で18年間投資を続けていたとすると、以下のような結果になり、総資産は50,000ドルを超えるか超えないかのところまで来る。

仮に貯金（≒銀行預金）だけだったとすると、100ドル×12ヵ月×18年で21,680ドルとなるため、貯金と比較しても倍以上のパフォーマンスが出ていることになる。

丁度日本でも2024年からNISAが新しくなり、NISAで頑張って資産運用していこうという話になるが、実はNISAは使わないで行こうと思っている。

NISAには2種類あるが、まず、つみたてNISA（新NISA制度：つみたて投資枠）。

結論として、つみたてNISAは論外。

理由は投資信託しか購入できないこと。投資信託は間に信託会社が入って色々手数料がかかる。最近はノーロードだったり良心的なように見えるが、しっかりコストがかかっている。その顕著な例が分配である。例えばS&P500を直接米国ETFで買い付ければ配当が出るが、S&P500の投資信託（ｅＭＡＸＩＳ　Ｓｌｉｍ　米国株式（Ｓ＆Ｐ５００））とかだと、過去一度も分配が無い。

つまり、S&P500を直接米国ETFで買い付ければインカムゲインとキャピタルゲインの両方が期待できるのに対して、投資信託ではキャピタルゲインしか期待できない。

S&P500（例えばvoo）の配当は1株4ドル/年程度。単純計算で100万円分のvooを持っていると、1,000,000円÷130円/ドル÷350ドル(voo単価)×4ドル（配当）≒80ドル程度、年間配当が付くので、その分投資信託よりもパフォーマンスは上ということになる。

次に一般NISA（新NISA制度：成長投資枠）。

一般NISAだと、S&P500を直接米国ETFで買い付けることができる。なので、一般的にはオススメである。

しかし、自分は下記の理由から使わないことに決めた。

1.信用取引ができない

2.損失時に確定申告で損失繰越ができない

投資における基本的なスタンスとしてはアメリカの成長に期待することとなるが、そこが明確でキャピタルゲイン狙いに絞れるのであれば、信用取引やCFD、先物などを活用してレバレッジをかけていくのも手だと思っている。一般NISAだとレバレッジがかけられれず、非課税よりも資金効率の悪さがデメリットとして強く映ってしまっている。

そんな訳で世の中と逆行している感じがしなくもないが、当面の投資戦略としてはNISAやiDecoは使わず、資金効率も考慮しながら米国ETFの現物、信用取引や、先物を上手く織り交ぜて資産形成を進めていきたい。

また、今年からプラットフォームの分散も意識した投資を進めていきたい。

要は1ヵ所に資産を寄せすぎないということなのだが、以下のような感じで分散を進めていこうと考えている。

・国内銀行（SU銀行）：円預金　　～20%

・海外銀行（検討中）：外貨預金　～20%

・SA証券：CFD＆先物運用　　　　10%～50%

・SB証券：国債＆信用取引運用　　～50%

・MO証券：現物＆信用取引運用　　10%～50%

プライバシーに配慮した安全なメールプロバイダ

プライバシーを真剣に考え、利用者を追跡しない安全なメールプロバイダのリストを紹介します。

ProtonMail – 匿名性とエンドツーエンドの暗号化されたメール

Tutanota – メールボックス全体をエンドツーエンドで暗号化することにより、安全なメールを実現

Hushmail.com - 1999年からメールのプライバシーを尊重している最も歴史のあるカナダのプロバイダー。

RiseUp.net – デジタルフリーダムと闘うNPOが運営するメールプロバイダー。

TorGuard.net

Blur/MaskMe – メールマスキングサービス

上記のリストは、プライバシーに焦点を当てたプロバイダの包括的なリストです。これらは、検索エンジンや広告のトップページに散見されるような有名プロバイダーやプライバシー侵害業者ではありません。メールプロバイダーを変更したくない場合は、PGPなどの何らかの暗号化機能を導入することをお勧めします。

特におすすめなメールプロバイダー

1. Hushmail : プライバシーに配慮した基本的なセキュアメール

Hushmailは、1999年からセキュアな電子メールを提供しているプロバイダーの一つです。

Hushmailが他のプロバイダーと違うのは、すべてのサーバーを自社で所有し、運用していることです。つまり、あなたのデータは第三者のサーバーに送られたり、保存されたりすることはなく、すべて自社内で管理されています。彼らは独自のサーバーを所有し、電子メールのスキャン、データマイニング、他のメールボックスの詮索等を行いません。

Hushmailは、自動暗号化、一時的な電子メールアドレス、厳格なHTTPSと二段階認証などの機能を満載しています。過去21年間のサービスを通して、プロバイダーはカナダ政府によって、2007年に一度だけ、3人のユーザーのアカウントを引き渡すよう強制されたことがある。しかし、Hushmailは、セキュリティ、プライバシー、シンプルさを念頭に置いて構築されており、しかもすべて無料です。

Hushmailをお勧めする大きな理由は、メールセキュリティの分野で21年のベテランである彼らの実績です。今日、しばしば「安全な電子メールプロバイダー」と称される企業が、たった一度の法的な要求の後に破綻するのを目にすることがあります。彼らはプライバシーを維持するメールボックスを設計しています。

2. Tutanota – 暗号化に関するあらゆるニーズに対応

メールボックス全体が暗号化されており、メールも連絡先も、エンドツーエンドで暗号化されているため、データにアクセスすることだけが可能です。Tutanotaはドイツの裁判所命令によってデータを提出するよう強制されたときでさえ、暗号化されたデータしか渡すことができず、そのような情報を読んだり解読したりする方法は全くなかったのです。

Tutanotaのユニークな点は、共有パスワードによりエンドツーエンドで暗号化されたメールをどのメールプロバイダにも送ることができ、Gmailなどの主流のプロバイダを使って友人、家族、ビジネスパートナーに連絡する場合でも、メールを同様にプライベートなものにすることができる点です。デフォルトでは、Tutanotaは自動的に件名、本文、添付ファイルを暗号化しますが、これはPGPではできないことです。現在、彼らは暗号化されたカレンダーの開発に取り組んでいます。そして何より、彼らはIPアドレスを記録せず、送受信したメールのヘッダからIPアドレスを削除しているのです。

Tutanotaの共同設立者の一人であるMatthias Pfauに彼らのセキュアメールの特徴を聞いたところ、次のように答えました。