【セキュリティ事件簿#2023-035】株式会社シャルレ　「CHARLE WEB STORE（シャルレウェブストア）」へのサービス提供会社における個人情報漏えいのおそれに関するお詫びとお知らせ 2023年1月24日

このたび、弊社が運営する「CHARLE WEB STORE（シャルレウェブストア）」（https://store.charle.co.jp/）（以下「当サイト」といいます。）に対して入力補助サービス等（以下「本サービス」といいます。）を提供している株式会社ショーケース（本社：東京都港区、証券コード：3909）（以下「ショーケース社」といいます。）におきまして、同社のプログラムが第三者による悪意のある攻撃を受け、お客様のクレジットカード情報(対象者数: 605 名)が漏えいした可能性のあることが、ショーケース社からの報告により判明いたしました。

お客様には多大なるご迷惑及びご心配をおかけする事態となり、深くお詫び申し上げます。クレジットカード情報が流出した可能性のあるお客様には、二次被害の防止の観点から、既に第一報を郵送にてお送りしていますが、改めて、本日から個別にお詫びとお知らせをご連絡させていただいております。

また、被害範囲確定のための第三者機関（事故調査機関（PFI：PCI Forensic Investigator））による当サイトの調査の結果、当サイトのプログラム改ざんやサイト実行環境への不正アクセスによる情報漏えいはなかったことを確認しております。当該調査に時間を要し、ご報告が本日となりましたことを重ねて深くお詫び申し上げます。

弊社では、今回の事態を厳粛に受け止め、再発防止のための対策を講じてまいります。

なお、弊社では、既にショーケース社のサービスの切り離しを行っております。

お客様には重ねてお詫びを申し上げますとともに、本件に関する概要につきまして、下記のとおりご報告いたしますので、ご確認くださいますようお願い申し上げます。また、ショーケース社より、本件に関する概要と対応等につきまして、以下のとおり2022 年 10 月 25 日付で公表されていますので、お知らせいたします。

▼株式会社ショーケース不正アクセスに関するお知らせとお詫び（2022 年 10 月 25日）

　URL： https://www.showcase-tv.com/pressrelease/202210-fa-info

1.経緯等

2022 年 7 月 26 日、ショーケース社が本サービスを利用する弊社以外の企業から、本サービスのプログラムのソースコードに不審な記述がある旨の指摘を受け、ショーケース社においてソースコードを調査したところ、当サイトで使用しております同社サービス「フォームアシスト」及び「スマートフォンコンバータ」において、第三者による不正アクセスにより、ソースコードの書き換えがなされ、当サイトにおいて入力されたお客様のクレジットカード情報が外部に流出した可能性があることが判明しました。

2022 年 7 月 28 日、弊社はショーケース社からその旨の報告を受け、決済代行会社及びクレジットカード会社と相談の上、2022 年 8 月 3 日、当サイトでのカード決済を停止いたしました。また、2022 年 8 月 29 日からは、ショーケース社が第三者調査機関による調査を開始しました。

ショーケース社からの初期報告に基づき、2022 年 10 月 4 日以降、クレジットカード情報が流出した可能性のあるお客様に対して、二次被害の防止の観点から、第一報を郵便にてお送りするとともに、個別にお電話またはメールにてお知らせいたしました。

2022 年 10 月 19 日、ショーケース社における第三者調査機関による調査が完了し、流出した可能性のある情報及び情報が流出した可能性のある期間について、ショーケース社より報告を受けました。

当初、漏えいした期間は、2022 年 7 月 19 日 3 時 14 分から 2022 年 7 月 26 日 20 時35 分までとの報告を受けておりましたが、ショーケース社における第三者調査機関による詳細な調査の結果、漏えいした可能性のある期間が変更となったため、追加された期間に当サイトで決済を完了されたお客様に対しても、2022 年 11 月 1 日に、二次被害の防止の観点から、第一報を郵送にてお送りするとともに、個別にお電話またはメールにてお知らせいたしました。

その後、本件の全容解明及び被害状況の把握に向け、社内調査を進めるとともに、当サイトを対象とした第三者調査機関による調査を開始し、2023 年 1 月 6 日、当該調査の結果、当サイトにおいて漏えいした可能性のある期間は後記 2.(1)のとおりであることが判明しました。また、当サイトのプログラム改ざんやサイト実行環境への不正アクセスによる情報漏えいはなかったことも確認されました。

以上の事実が確認できたため、本日の公表および漏えいの可能性のあるお客様への最終的なご報告に至りました。

なお、当サイトでのクレジットカード決済は停止しておりますが、サービスそのものは継続しております。

2.漏えいの可能性のある個人情報等

(1) 漏えいの可能性のあるお客様

以下の対象期間中に、当サイトのクレジットカード情報入力画面にて、後記(2)の情報を新たに入力して決済されたお客様

①2022 年 7 月 19 日 07 時 49 分 55 秒から 2022 年 7 月 26 日 20 時 33 分 40 秒
②2022 年 7 月 26 日 22 時 31 分 02 秒から 2022 年 7 月 29 日 01 時 48 分 08 秒

(2)漏えいの可能性のある情報
・クレジットカード名義人名
・クレジットカード番号
・有効期限
・セキュリティコード

3. 漏えいの可能性のあるお客様へのお願い

既に弊社では、クレジットカード会社と連携し、漏えいの可能性のあるクレジットカードによる取引のモニタリングを継続して実施し、不正利用の防止に努めております。

上記「2.(1)漏えいの可能性のあるお客様」は、誠に恐縮ではございますが、クレジットカードのご利用明細書に身に覚えのない請求項目の記載がないか今一度ご確認をお願いいたします。万が一、身に覚えのない請求項目の記載があった場合は、大変お手数ですが同クレジットカードの裏面に記載のカード会社にお問い合わせいただきますよう、併せてお願い申し上げます。

なお、お客様がクレジットカードの差し替えをご希望される場合には、カード再発行の手数料につきましてはお客様にご負担をお掛けしないよう、クレジットカード会社に依頼しております。

4.再発防止策及び弊社が運営するサイトについて

このたびの事態を厳粛に受け止め、当サイトに対する調査結果を踏まえてシステムのセキュリティ対策及び監視体制の強化を行い、再発防止を図ってまいります。

当サイトでのクレジットカード決済の再開日につきましては、決定次第、当サイト上にてお知らせします。

なお、今回の不正アクセスにつきまして、個人情報保護委員会には 2022 年 8 月 2日及び 2022 年 12 月 14 日に報告済みであり、また、2022 年 9 月 6 日には所轄警察署に相談をしており、今後、捜査にも全面的に協力してまいります。

5.公表が遅れた経緯について

2022 年 7 月 28 日のショーケース社からの情報漏えいのおそれに関する報告から今回の公表に至るまで、時間を要しましたことを深くお詫び申し上げます。

決済代行会社及びカード会社と協議し、不確定な情報の公開はいたずらに混乱を招き、お客様へのご迷惑を最小限に食い止める対応準備を整えてからの告知が不可欠であると判断し、当サイトにおける第三者調査機関による調査の結果及びカード会社との連携を待ってから行うことといたしました。

公表までにお時間をいただきましたこと、重ねてお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-034】元職場のデータ削除容疑　システム管理担当の男タイーホ

退職した会社の社内ネットワークにアクセスしデータを削除したとして、警視庁サイバー犯罪対策課は2023年1月24日までに、不正アクセス禁止法違反と電子計算機損壊等業務妨害の疑いで埼玉県上尾市富士見、会社員熊谷圭輔容疑者（３３）を逮捕した。「やっていない」と容疑を否認しているという。

逮捕容疑は2022年6月4日、以前勤めていた電気計器メーカーの社内ネットワークに元同僚のＩＤを使って不正アクセスし、同社が使用するデータを削除して業務を妨害した疑い。

出典①：元職場のデータ削除容疑　システム管理担当の男逮捕―警視庁

出典②：熊谷圭輔の顔やfacebook『根に持つ性格』勤務先や家族構成|不正アクセスでデータ削除|埼玉

出典③：システム管理をしていた元社員による社内データ削除事案についてまとめてみた

【セキュリティ事件簿#2023-033】一般財団法人日本国際協力システム　個人情報の漏えいについて　2023年1月19日

当財団業務部において、調達業務での見積依頼に関して一斉にメールを送信する際、送信先メールアドレスを「Bcc」で送信すべきところ、誤って「Cc」で送信したため、個人情報を含むメールアドレスを流出させる事案が発生しました。

関係者の皆様には多大なご迷惑をおかけすることとなりましたことを深くお詫び申し上げます。

今後、同様の事案が発生することのないよう、速やかに再発防止対策を講じます。

【概要】

1　判明日時

2022年12月2日（金曜日）　午後3時00分頃

＜経過＞

12月2日（金曜日）午後2時25分メール一斉送信

同日　　　　　　　　午後2時26分頃　当該職員が、発信後に送信メールを確認した際、自らの誤送信に気づき、上司に報告

2　事案概要

12月2日、無償資金協力「経済社会開発計画」の調達業務に係る関心表明者57件のメールアドレス宛に見積依頼書を送信する際、それぞれのメールアドレスを「Bcc」で送信すべきところ、誤って「Cc」で送信したため、個人情報を含むメールアドレスが送信先の関係者間で閲覧できる状態になりました。

当該職員が、発信後に送信メールを確認した際、自らの誤送信を認識しました。

3　関係者への対応

メールの受信者全員に対し、12月5日お詫びのメールを送信するとともに、当該メールの削除を依頼しました。
業務の監督機関に対し、12月5日電話及びメールにて報告を行いました。

4　再発防止対策

一斉メール送信時は、「Bcc」で送信することを徹底します。
調達業務に係る外部へのメール送信時は、送信前に必ず複数人による「ダブルチェック」を徹底します。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-032】株式会社三春情報センター　マルウェア Emotet に関するお詫びとお知らせ　2023年1月

2022 年 2 月から Emotet の感染が急速に拡大しているとの情報が確認されています。

また、弊社関係者を装った不審なメールが、社内・外の方を問わず複数発信されているという事実を確認しております。

弊社をご利用いただいたお客さま及び関係者の皆さまには、多大なご迷惑とご心配をおかけいたしますこと、深くお詫び申し上げます。本件の経緯及び今後の対応について、下記のとおりご報告いたします。

1. 事実の概要

弊社パソコンが「Emotet」(ｴﾓﾃｯﾄ)と想定されるマルウェアに感染し、弊社社員を装うメールが送信されました。

Emotet は、実在の組織や人物になりすまして発信されたメールの添付ファイルによるマルウェアです。

主にマクロ付きの Excel や Word ファイル、またはこれらをパスワード付き Zip ファイルと

して添付されたメールで配信されており、ファイルを開封後にマクロを有効化する操作を実行することで Emotet の感染に繋がります。

感染するとアドレス帳やメールの窃取または転送設定などが行われ、情報を窃取される恐れがあります。また、窃取された情報を利用され、さらにフィッシングメールやマルウェア添付メールを送信されるなど、被害の拡大に繋がります。

2. 弊社を名乗る不正メールを受取られたお客さまへのお願い

実在の組織や人物から送信（返信）されたように見えるメールでも、「身に覚えがないメール」や「不審な点があるメール」につきましては、メールに記載された URL のクリックや添付ファイルの開封は行わないようにしてください。

また、エクセル、ワードなどのオフィスソフトのマクロを実行しないよう、設定をよろしくお願いいたします。

3. 現時点での被害状況

弊社関係者を詐称する不正なメールの添付ファイルを開封された方がいらっしゃいますが、現時点では本件を悪用したフィッシングメールや詐欺等の被害は報告されておりません。

4. 発生したおそれがある個人データ

弊社社員のアドレス帳データが読み取られた可能性があります。お名前とメールアドレスが 300 件程度流出した可能性があります

5. 今後の対応

弊社では、今後この様な事態が発生しないよう、セキュリティソフトの見直し、ファイヤーウォールなどの対策を行っておりますが引き続きさらなるセキュリティの強化を実施いたします。

再発防止に向けて個人情報の管理強化・徹底に努め、信頼回復に全力を尽くして参ります。

JPCERT/CC: マルウェア Emotet の感染再拡大に関する注意喚起

https://www.jpcert.or.jp/at/2022/at220006.html

リリース文（アーカイブ）

【セキュリティ事件簿#2023-031】公益社団法人日本臓器移植ネットワーク　当社団における不正アクセス事案の発生について 2023年1月20日

2023年1月9日よりメールサービスへの海外からのセキュリティ攻撃が確認され、外部からの問合せに利用するメールアドレスのアカウントに侵入しメールデータの一部（＊）が消失するという不正アクセス事案が発生しました。

現時点では、個人情報の流失は確認されておりませんが、一部メールには氏名・連絡先等の個人情報が含まれるため詳細分析を行っております。

仮に被害が確認された場合には、当社団のホームページに掲載するとともに、被害に遭われた皆様にご連絡を差し上げる予定としております。

＊：2020年8月より2022年12月末までの間に、お問い合わせのメールアドレスに直接メールを送付された方のメールデータの情報が対象となります。なお、JOTホームページのお問合せフォームより問い合わせた方は含まれません。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-001】株式会社タカミヤ　当社サーバーに対する不正アクセスに関するお知らせ 2023年1月23日

このたび、当社並びに当社の子会社である株式会社キャディアン、株式会社トータル都市整備、株式会社青森アトム、株式会社エコ・トライ、株式会社タカミヤの愛菜、八女カイセー株式会社、株式会社イワタ、株式会社ヒラマツ及び株式会社ナカヤ機材（以下、各子会社を総称して「子会社ら」といい、当社と子会社らを総称して「当社グループ」といいます。）は、当社グループのサーバーに対して第三者による不正アクセスを受け、ランサムウェア感染被害を受けましたので、お知らせいたします。

本件につきましては、既に、対策本部を設置のうえ、外部専門家の助言を受けながら、原因特定・被害情報の確認・情報流出の有無などの調査を行い、自力復旧への対応を進めながら、発覚後速やかに、個人情報保護委員会や警察への報告につきましても行っております。引き続き、外部専門家や警察とも連携のうえ、対応を進めて参る所存です。

現状、攻撃の詳細等については継続して調査を行っており、全容を把握するまでには今しばらく時間を要する見込みですが、現時点で判明している内容につきまして、下記のとおりご報告申し上げます。今後、より詳しい状況が判明次第、速やかにご報告申し上げます。

なお、今回の不正アクセスが当社グループの業績、2023年３月期第３四半期決算発表に及ぼす影響については、現在精査中でございますが、開示が必要な場合は、速やかに公表いたします。

このたびは、皆さまに多大なるご心配とご迷惑をお掛けすることとなりまして、誠に申し訳ございません。衷心より深くお詫び申し上げます。

不正アクセスの概要
初期調査の結果によれば、攻撃者は、当社ベトナム拠点に対して不正アクセスを行ったうえで当社グループの社内サーバーに侵入し、ランサムウェアを実行し、ファイルの暗号化を行ったものと考えられます。その後、攻撃者のリークサイトに弊社名が掲載されていることを確認しております。
漏えい等の可能性がある情報
調査中ですが、現時点において把握しているものは以下のとおりです。
・当社グループの社内サーバーに保存されていた顧客情報（個人情報を含む）
・当社グループ全社の従業員情報
なお、漏えい等の可能性がある個人データの件数については、現在調査中です。
株式会社イワタ、株式会社ヒラマツ及び株式会社ナカヤ機材については、攻撃を受けたサーバー群に個人データを保有しておらず、当該三社が主体として取得・管理していた個人データに漏えい等のおそれがないことを確認しております。
発覚の経緯及びこれまでの対応状況
- 令和４（2022）年12月15日、当社の業務システムへのアクセス障害を確認したことから、当社のシステム管理者が調査を行い、社内サーバーに保存されていたファイルが暗号化されるなど、ランサムウェアであるLockBitに感染したことが判明しました。このため、当社は、当社のシステム管理者に、直ちに可能な範囲での被害拡大防止措置を講じさせるとともに、本件の対策本部を設置しました。
- 12月16日、当社のシステム管理者の調査により、当社の業務遂行における支障を生じさせない最低限の業務システムの復旧は可能な見込みであることが判明し、直ちに復旧作業を開始するとともに、外部専門家の弁護士及びセキュリティ専門企業に本件の対応に関する支援を依頼しました。
- 12月19日、当社において個人情報保護委員会に対する速報を行うとともに、攻撃対象サーバーに関するデジタルフォレンジック調査を実施する外部専門機関の選定作業等を開始しました。
- 継続調査により、子会社らにおける本件の影響を確認したため、12月23日、子会社らに関しても個人情報保護委員会に対する速報を行いました。
- 令和５（2023）年１月７日、当社グループに対してランサムウェア攻撃をしたと名乗るものからメールを受信し、また、攻撃者のリークサイトに当社名が掲載されていることを確認しました。
- １月10日、攻撃者のリークサイトへの掲載を踏まえ、外部専門機関を起用したダークウェブ調査も開始しました。
- １月11日の午前、当社において大阪府警担当課と会議を行い、現状の調査状況を報告し、今後の捜査の進め方につき協議を行いました。
- １月11日、攻撃対象サーバーに関するデジタルフォレンジック調査を実施する外部専門機関からデジタルフォレンジック調査の初期報告を受けました。
今後の対応

引き続き、外部専門機関によるデジタルフォレンジック調査等を進めており、漏えい等した情報の項目・件数、侵入経路、被害範囲等を調査して参ります。また、攻撃者のリークサイトへの掲載を踏まえて、外部専門機関を起用したダークウェブ調査も継続して参ります。
当該調査の内容も踏まえて、外部専門家の弁護士及びセキュリティ専門企業の助言のもと、再発防止策の策定に向けた取り組みを進めて参ります。
引き続き、個人情報保護委員会や警察をはじめとした機関への報告・連携を進めて参ります。

このたびは、皆さまに多大なるご心配とご迷惑をお掛けすることとなりまして、重ねてお詫び申し上げます。

リリース文（アーカイブ）