【セキュリティ事件簿#2023-067】株式会社アイ・オー・データ機器 2023年2月7日のお客様へのメール誤送信のお詫びとご報告 2023年02月10日


日頃より弊社商品をご愛顧賜り、誠にありがとうございます。

この度、2023年2月7日に、一部のお客様にお送りしましたメールにつきまして、別のお客様の情報を誤送信していたことが発覚いたしました。
該当のお客様には同日、メールにてお詫びと誤送信したメールの削除をお願いいたしました。

なお、本メールが届いていないお客様につきましては対象外となります。

本件につきまして、弊社ホームページでもご報告させていただくとともに、お客様及び関係者の皆様に多大なるご迷惑とご心配をお掛け致しますこと、深くお詫び申し上げます。

1.経緯

弊社より、2月7日に、弊社商品「HDL-XR/XVシリーズ」をご利用いただいております、一部のお客様にメールにてご案内後に、本メールを受け取られましたお客様より、メールの内容に記載されている情報に、別のお客様の情報の記載があることのご指摘をいただきました。

弊社にて確認した結果、お客様の情報を別のお客様に誤送信していたことを確認いたしました。

なお、本件につきまして、個人情報保護委員会にも報告済みとなります。

2.誤送信した内容及び発生件数

本メールの誤送信の内容としましては、1人のお客様のメールアドレスに別の1人のお客様の会社名、管理者名、製品名、シリアル番号、MACアドレス(※1)、製品の設置場所の法人名、部署名、氏名、住所(以下、本件情報といいます)をメール本文に記載してしまった状況となります。

また、誤送信の発生件数は、1,257件(※2)となります。

※1 シリアル番号、MACアドレス情報を他のお客様が知り得ても、当該情報によって製品、サービスへの影響を与えることはないことを確認済みです。

※2 リスト形式で誤送信された状況ではありません。

3.発生原因

送信データ編集時に、人為的な操作ミスにより、メールアドレスと本文に記載すべき本件情報にズレが生じ、またメール送信前のチェックが不十分であった結果、別のお客様のメールアドレスに本件情報を誤送信しました。

4.今後の対応

今後の対応としましては、送信データ編集時の手順及びチェック方法の見直しに取り組んでまいります。また、体制の見直しと社内教育徹底の上、再発防止に取り組んでまいります。

【セキュリティ事件簿#2023-066】Global News View お詫びとお知らせ 2023年2月3日


平素よりGNVをご愛読いただきありがとうございます。

2023年1月10日からGNVのサイトシステムに問題が発生し、記事、ポッドキャストの配信が滞っていました。楽しみにしていただいていた皆さんには大変ご迷惑をおかけしました。

問題の原因を究明したところ、外部からの攻撃によりサイトデータが不正ファイルに改ざんされ、それによりサイトが不具合起こしていることが判明しました。

現在、サイトは復旧して通常通り記事、ポッドキャストの配信を再開しています。今回に関して、何者がどういった意図で攻撃をしたのかまでは残念ながら判明していません。しかし、GNVではこれからも「報道されない世界」の情報を皆さんにお届けするべく、配信を続けて行きます。

また、サイトのセキュリティ対策もこれまで以上に慎重に行っていきます。

引き続きGNVをよろしくお願いいたします。

【セキュリティ事件簿#2023-065】東京都 東京開業ワンストップセンターにおける情報流出の疑いについて 2023年02月03日


東京開業ワンストップセンター(東京開業ワンストップセンター:東京都港区赤坂1-12-32 アーク森ビル)は、法人設立や事業開始時に必要な行政手続を1か所で行うことができる施設です。このうち税務ブースでは、業務委託により相談、受付業務を行っています。このたび、業務用パソコン1台が不正にアクセスされた恐れがあり、内部に保存していた情報が流出した可能性のある事象が発生しましたので、お知らせいたします。
なお、現時点ではデータ流出の被害は確認されておりません。

1 発生日

令和5年1月31日(火曜日)午前

2 流出した可能性のある情報

(1)対象者

東京開業ワンストップセンターの税務ブースで税務の相談、申請等をされた個人または法人

(2)流出した可能性のある情報

相談者の氏名または法人名(住所、電話番号、メールアドレス情報はありません)
相談項目(例:「法人設立時の税務関係提出書類と記載の仕方について」) 等

3 経緯と今後の対応

インターネットを使用中、端末に不正アクセスの恐れがあったため、回線を切断
1月31日午前、東京都に報告
現在、データ流出の有無について確認しています。
情報セキュリティ対策を強化し、再発防止に努めてまいります。
データの流出有無の確認結果については、改めてお知らせいたします。

【セキュリティ事件簿#2023-064】株式会社アキモ 当社サーバーへの不正アクセス発生のお知らせ 2023年2月15日


当社は、2023年2月10日朝、当社内で設置運用するサーバーが第三者による不正アクセスを受け、当社が同サーバーで保有するファイルが暗号化されたことにより、システム障害が発生していることを確認いたしました。

当該サーバーに保存されているファイルには、当社の通信販売をご利用になったお客様の顧客情報(氏名、電話番号、住所、購入商品)、キャンペーンを利用したお客様の顧客情報(氏名、電話番号、住所、性別、職業)を管理していました。当社は、発見と同時に直ちにシステムを停止させ、当該サーバーを社内ネットワークからの遮断を実施すると共に、対策チームを発足し、速やかに個人情報保護委員会への報告のほか、法令に基づく対応を行っております。

現在、この度の不正アクセスが起こった原因と経路、情報漏えいの可能性を、外部機関の協力を得て調査中です。

現時点までに、本件に関わる個人情報を含む当社保有情報不正利用の事実の報告は受けておりません。しかしながら、もしも、当社の本件漏えいに伴う二次被害と考えられる事態(例えば、「流出先の社内データとして利用していた」、「架空請求、電話による商品先物取引などのセールスに利用していた」、「架空請求のハガキが届いた」、「インターネット通販で利用された」、「セールス電話が増加した」などの実例が挙げられます)が発生した場合には、当社までご連絡ください。

この度は、お客様、お取引先様、多くの関係者の皆様にご心配をおかけしておりますことを深くお詫び申し上げます。

当社は、これまでも個人情報の適切な取扱いに努めてまいりましたが、本件事故の発生を厳粛に受け止め、本件の原因が究明でき次第直ちに再発防止策を講じ、個人情報の適切な取扱いを徹底してまいります。

今後、対象 のお客様にはご連絡することを予定しています。
調査の結果明らかになった事実、上記ご連絡の予定を含むお客様への対応、並びに再発防止策の策定及び実施については、引き続き当社webサイト上でお知らせいたします。

【セキュリティ事件簿#2023-063】ニプロ株式会社 当社中国子会社への不正アクセスの発生について 2023年2月14日


2023 年 2 月 9 日に、当社中国子会社である尼普洛医療器械(合肥)有限公司(以下「NMH」)において外部からの不正アクセスがあり、NMH のサーバーがランサムウェアに感染したことを確認いたしました。

事象確認後、速やかに NMH のネットワークを遮断し、そのうえで当社および国内外グループ会社において、本件の直接的二次被害には及んでいないことを確認済です。

なお、製品の製造・出荷につきましては、継続できております。

遮断したネットワークにつきましては、対策・復旧を進めておりますが、現時点では正常復旧への正確な目処は立っておりません。また業務復旧への作業を優先させているため、不正アクセスの原因、情報漏洩等の影響に関する調査には、しばらく時間を要する見込みとなっております。

お客さまをはじめ、関係者の皆さまにご迷惑およびご心配をおかけする事態となりましたこと、深くお詫び申し上げます。

本件が当社業績に与える影響は精査中です。今後、調査を進めるなかで開示すべき事項が発生すれば、速やかに開示を行います。 

イベリア航空:Avios購入50%ボーナスセール(2023/2/17~2023/2/22)

 

イベリア・プラスは、2023年2月22日まで50%ボーナスでAviosを購入できるキャンペーンを実施。

イベリア航空のAviosは、ブリティッシュエアウェイズのAviosに無料で移管でき、そこからJALの航空券が手配できる。

650マイルまでであれば、片道7500Aviosで手配が可能。

ちなみに羽田から650マイルとなると以下の感じで、沖縄以外の国内がカバー可能。


尚、羽田-那覇間は片道9,000aviosで、羽田-石垣間は片道11,000aviosで手配可能。

ちなみに11,000aviosあると、羽田から台北や香港も手配できる。

以前は650マイルまでの区間が4500Aviosで取れていたのだが、値上げに値上げが続き、大きなメリットは無くなってしまった。

とはいえ、搭乗24時間前までであればキャンセル可能だし、有償航空券が高すぎる場合(目安として片道15,000円以上)に使えば同額かそれ以下で押さえられるので、それなりに使い勝手は良いと思っている。また、Aviosは有効期限3年だが、Aviosの増減があるとそこから有効期限が3年となるため、利活用できていれば実質無期限となる。

試しに7,500Avios買ってみようとするとこんな感じ。


163USDを円換算してみるとこんな感じ。


1Aviosの単価は2.9円となる。

1Aviosの単価が2円を超えるようだと、正直購入のメリットはない。

今回は見送りだな。

これなら、ブリティッシュエアウェイズのAvios定期購入の方が単価が良い。

出典:February 17 Bonus Offer Highlight: Iberia Plus – 50% bonus when you buy Avios

週刊OSINT #2023-02号

 

ソーシャルメディアやOSINT Curious Discordで十分な数のヒントやトリックが共有されました。今号のトピックはこちら

  • Google Vision in Maltego
  • Phone Number to Gmail
  • Google Search Operators
  • Carrot2

Maltegoは、研究者が引用するように、新しい変換を可能にします。「画像からテキストを抽出し、顔を検出し、物体やランドマークを識別する」。つまり、単純な画像から、簡単に他の情報へとピボットできるようになったということです。Google Cloudでプロジェクトを立ち上げ、クレジットカードを接続し、APIキーを取得する必要がありますが、K2OSINTが試してみたところ、これは期待できそうだ!


チュートリアル: Phone Number to Gmail

Aware Onlineのウェブサイトに、電話番号からGmailアドレスにピボットする方法についての素晴らしいチュートリアルがあります。エピソード2022-35で紹介したBob Engelenのブログポストの代替案ですが、やや難しいです。ログイン画面から、電話番号でログインを開始することで、GAIA IDを取得することができます。この後、接続可能なメールアドレスを手動でチェックすることで、同じGAIA IDを見つけることができます。


メディア: Google Search Operators

数日前、OSINT Researchのツイートで、Seth Goldinのビデオをシェアしているのを見かけました。彼は、Googleの仕組み、質問の仕方、具体的なクエリの作り方について解説しています。また、ソーシャルメディアのプロフィールを素早く見つける方法、映画を見つける方法、特定の場所の天気予報を見つける方法など、非常に具体的な検索についても説明しています。さらに、このビデオには楽しいイースターエッグや興味深い洞察、一般的な知識も盛り込まれています。


サイト: Carrot2

Carrot2を使ってモノを探すようになってから数年が経ちました。しかし、インターネットは静止しているわけではなく、物事は進化しており、Carrot2もそうなっています。この検索エンジンは、いわゆる「検索結果クラスタリングエンジン」と呼ばれるもので、複数のソースから検索できるだけでなく、異なるクラスタリングアルゴリズムを使用して情報を表示することができます。また、検索で見つかった最も一般的な用語を円グラフや樹形図で表示するオプションもあります。高速で使いやすい検索ツールであり、調査対象により多くの光を当てることができます。Osint for Allをご紹介いただき、ありがとうございました。


出典:Week in OSINT #2023-02

これから出てくるサイバー職を考えてみる

 

AIの登場やITが自動化されるにつれ、サイバーセキュリティの分野でも刺激的な新しい仕事が登場しそうです。宇宙空間のサイバーセキュリティ、AIの指導、デジタルフットプリントのコンサルティングなどの職種は、一見すると珍しいように思えるかもしれませんが、テクノロジーの急速な発展により、わずか数年で現実のものとなる可能性があります。その可能性のいくつかを見てみましょう。

宇宙サイバーセキュリティエンジニア

人工衛星は、ナビゲーションシステム、放送メディア、その他の通信に使用され、日常生活において最も必要な技術の一つです。人工衛星に依存する技術を使えば使うほど、この種の宇宙インフラは攻撃者にとってより魅力的なターゲットになります。

宇宙産業全体には、あらゆる種類の攻撃を防ぐことができる専門のスペシャリストが必要です(特にナビゲーション、エンジン制御、緊急対応、通信インフラなどの領域)。宇宙旅行、小惑星採掘、新しい宇宙ステーションの開発により、宇宙のサイバーセキュリティ専門家の需要が高まるでしょう。

AIメンター

AIベースの技術や音声ベースシステム(Siri、Alexa、Cortanaなど)などのアシスタントの台頭は、新しい技術をより身近なものにするのに役立っています。同時に、それらは新たなプライバシーとセキュリティの懸念をもたらし、その制御、規制、監視の要件は、製品管理や開発の専門領域を超えています。

推理小説作家のウィリアム・ギブソンは、技術的な未来において、AIやAIを使ったシステムの制御を担当するTuring Policeを提唱しています。このようなテクノロジーを管理・評価する新しいタイプの専門家として、AIメンターが現実的に必要かもしれません。メンターには、AIを教え、データへのアクセスを制御し、進化上の制約を課し、AIの親代わりとなることも含まれるかもしれません。AIが複雑化し、高度化するにつれて、専門家に対する需要は高まっていくでしょう。

AIメンターのアシスタントも、重要な役割になるかもしれません。彼らは、AIシステムが勝手に動作しないようにするための「停止」ボタンを作る責任を負う専任のスペシャリストとなります。そのためには、誤作動に対する保護や、コンピューターが使えなくなった場合の代替的プランの開発などが必要です。

サイバー・イミュニティ・デベロッパー

何十年もの間、人々は新しい技術をまず開発し、サイバーセキュリティへの影響については後で考えるということを繰り返してきました。世界をより安全にするためには、「セキュリティ・ファースト」のアプローチが必要です。サイバーセキュリティの原則を組み込んだソリューションに私たちを向かわせることで、デバイスがデフォルトでサイバー攻撃に対する免疫を持つことが可能となります。

この手法に精通した開発者が充足すると、設計上安全なシステムを作ることができるようになります。これらのシステムは、ハッキングするにはあまりにもコストがかかりすぎるため、攻撃者のモチベーションを下げることが可能です。

スレット・エンデュランス・マネージャー

サイバー攻撃は、生産とビジネスプロセスの中断につながり、潜在的な風評被害と金銭的損失をもたらすリスクがあります。例えば、巨大な金属加工工場の生産工程が攻撃者によって妨害され、1日工場が使用不能になったとします。このため、注文に対応できず、数百万ドルの損失が発生します。

スレット・エンデュランス・マネージャーは、重要インフラや、システム停止が許されない大企業で必要とされるでしょう。これらのスペシャリストは、ITシステムの制御、サイバー攻撃への対応、ソフトウェアやヒューマンエラーの管理など、事業継続の責任者として企業を保護します。

サイバー捜査官

この職業はすでに存在していますが、今後数年の間に、デジタルシステムの高度化や自動化の流れを受けて、より複雑で多様なものになっていくでしょう。

これらのスペシャリストは通常、セキュリティ侵害の余波を管理し、調査全体をカバーし、組織への脅威を排除するために働いています。インシデントの結果に基づく証拠の収集、ログファイルやネットワーク上のイベントの分析、侵害の指標の作成など、さまざまな作業を行います。次世代のサイバー捜査官は、プログラミングやハッキングだけでなく、心理学や不安定な状況下での意思決定などのスキルを持つジェネラリストになるでしょう。さらに、ロボットやAIの専門家も必要になってくるでしょう。

デジタル・フットプリント・コンサルタント

この専門家は、サイバーインシデントによる潜在的な悪影響からブランドを守るために重要な役割を担います。サイバー攻撃者は、データを抜き取り、企業の評判を脅かして脅迫することで知られています。これからの専門家は、このようなリスクに対する企業の脆弱性を評価し、企業のイメージを守るスキルをコンピテンシーに加える必要があります。

デジタル・ボディガード

人のデジタル・アイデンティティを守るコンサルタントです。物理的な世界でのボディーガードのように、晒しやサイバーストーカーなどの嫌がらせから保護します。このボディーガードは、クライアントのアカウントやデジタル履歴をクリーニングし、バーチャルライフをガイドしサポートすることで、デジタルアイデンティティを守る手助けをします。

2021年、米国の中高生の約46%がサイバー空間でいじめを受けたことがあり、成人の41%がオンラインハラスメントを経験したと回答し、24%がテクノロジーを使ったストーカー行為を受けたと回答しています。場合によっては、オフラインのハラスメントや身体的な暴力と組み合わされることもあります。積極的なコンサルタントがいれば、このような脅威から子どもや大人を守ることができます。このような事態が発生した場合、コンサルタントは民間のデジタルセキュリティ部隊として、加害者を妨害し、特定し、将来的に同様の事件が発生しないよう支援することができます。さらに、心理的な観点から被害者が事件に対処するのを助けることもできます。多くの国ではネットいじめは犯罪なので、そのような場所では特に需要があるかもしれません。

サイバーセキュリティが関係ないビジネスを挙げることはできません。サイバーセキュリティで収益を上げていない企業でも、かなりの規模のサイバーセキュリティ人財を持っていることがよくあります。たとえば、Apple には、エンドポイント・セキュリティを担当する社内チームがあります。テクノロジーとビジネスが進化し続ける中、サイバーセキュリティにおけるキャリアの機会は、将来にわたって豊富で多様であり続けるでしょう。

出典:Cyber Jobs of the Future: Sleuth, Bodyguard, 'Immunity' Developer