【セキュリティ事件簿#2023-205】特定非営利活動法人ACE 個人情報漏えいのご報告とお詫び 2023年5月12日


この度、弊団体からのメール発信において個人情報の漏えいがございました。
皆さまにはご迷惑をおかけしましたこと、深くお詫び申し上げます。
今後こうしたことが起こらないよう、システムと体制の見直しを進めております。

下記に経緯と今後の対応をご報告させていただきます。

1. 経緯

2023年5月9日(火)18時24分にACEチャリティランナーさま(国内108名)を対象に配信したメールにて、BCCで送信するところを誤って「宛先」に皆様のメールアドレスが表示されている状態で送信されてしまいました。

2. 発覚後の対応

送信後に、担当者が間違いに気づき、18時43分にメールを受け取られた皆さま宛にメールを送付し、謝罪させていただきました。メール本文中で、受信者皆さまには先にお送りしたメールの削除をお願いいたしました。また、元のメールは18:57に再送信させていただきました。

3. 再発防止策

今後は、同時に多数へメールを送る場合は、メール管理システムを通しての配信をいたします。BCCでしか送る手段がない場合においては、複数のスタッフによるチェック体制を徹底し、誤送信がないように努めます。
 
この度は皆さまに多大なるご迷惑とご心配をおかけしたことを重ねてお詫び申し上げます。

【セキュリティ事件簿#2023-204】神奈川新聞の記者、読者から寄せられた情報を当事者にお漏らしする


神奈川新聞社は、読者から寄せられた情報を記者が家族に漏洩していたことを公表しました。該当の記者は統合編集局の30代の記者で、この問題は読者からの指摘により発覚しました。

具体的には、今年3月に神奈川新聞社の紙面で紹介された飲食店について、読者から4月26日に同店に関する指摘がありました。この情報に接した記者が、その指摘内容を同店の経営者である家族に伝えたとのことです。経営者はSNSで指摘内容に関して投稿し、それを見た読者から情報漏洩について指摘があり、問題が発覚しました。

神奈川新聞社は、情報を漏洩した記者に対して提供情報の閲覧を禁止し、社内ルールに基づき厳正に対処すると表明しています。また、従業員に対し、業務遂行以外の目的で秘密情報を利用、持ち出し、頒布などを禁止する社内規程の順守徹底を図るとしています。

神奈川新聞社の秋山理砂・取締役統合編集局長は、「読者から寄せられた情報は新聞の言論、報道のみに利用し、第三者への漏洩は決して認められない。記者教育を徹底する」と述べています。

以上の事態を受け、メディア各社は情報管理の重要性を再認識し、読者からの情報を適切に取り扱うことの重要性を改めて強調しています。

【セキュリティ事件簿#2023-203】秩父市 メール誤送信の事案発生について 2023年5月25日


令和5年5月25日(木)9時5分、秩父市移住相談センターから「秩父ファンクラブ」の全会員あてにメールを一斉送信した際に、送信先に当該メールを受信された皆様すべてのメールアドレスが表示されるという事態が発生しました。

「秩父ファンクラブ」会員の個人情報を流出させる事態を引き起こし、会員の皆様に多大なるご迷惑・ご心配をおかけしましたことを心よりお詫び申し上げるとともに、その内容につきまして以下のとおりご報告させていただきます。

【経緯】

令和5年5月25日(木)9時5分に、秩父市移住相談センターから「秩父ファンクラブ」会員あてに送信したメール『「【重要】秩父ファンクラブ利用規約制定のご案内」について』を一斉送信した際(送信件数:395件)に、送信先に当該メールを受信された皆様すべてのメールアドレスが表示されるという事態が発生いたしました。

【原因】

複数の会員にメールを一斉送信する際には、本来「BCC」として、送信対象者のメールアドレスを非表示にしたうえで送信するところ、人為的なミスおよびチェック体制の不備により、「宛先」欄に表示したままで送信してしまい、本件が発生いたしました。

【対応と誤送信による被害】

全会員あてに同日9時45分、メール件名『【お詫び】2023年5月25日 9時5分送信分「【重要】秩父ファンクラブ利用規約制定のご案内」について』にて、本件についてのおわびと、当該メールを削除していただくようお願いをしております。

現時点では、被害などの情報は入っておりません。

被害状況につきましては、引き続き調査を進め、対応を進めてまいりたいと考えております。

【再発防止策】

本件につきましては、人為的なミス、チェック体制の不備が原因であるため、秩父市移住相談センター職員はもとより、秩父市全職員に対し、個人情報の保護を再啓発するとともに、情報セキュリティー研修・教育を徹底してまいります。また、メール発信については、複数職員による確認体制を構築するとともに、誤送信防止ソフトの導入等も視野に入れ対策を行います。

二度とこのような間違いが起こらぬよう全力で取り組んでまいります。

本件において関係者の皆様には多大なご迷惑とご心配をおかけしましたことを心よりお詫び申し上げます。

大阪府警の誤認逮捕事件:デジタル犯罪調査のレベルが低い組織が捜査権や逮捕権を行使すると大変なことに・・・


先日、大阪府警が一人の男性を誤って二度にわたり逮捕した事件が報じられました。男性は交流サイト(SNS)を通じて知人の20代女性の性的な画像を他人に送ったとして、リベンジポルノ防止法違反などの疑いで逮捕されました。しかし、その後の捜査で、メッセージを送ったアカウントは男性のものではなく、何者かが男性になりすまして送信したことが判明しました。

この事件は、日本の警察機関におけるデジタル犯罪調査のレベルの低さを如実に示しています。SNSやメールなどのデジタルコミュニケーションツールは、現代社会においては欠かせない存在となっています。しかし、それらを適切に理解し、利用するための技術や知識が警察機関には不足していると言わざるを得ません。

この事件で逮捕された男性は、約40日間も勾留され、その間に名誉や人生を大きく傷つけられました。警察は、誤認逮捕を認め、男性に謝罪しましたが、それだけで事態が解決するわけではありません。警察機関は、このような誤りを繰り返さないために、デジタル犯罪調査のレベルを向上させる必要があります。

この事件は、警察だけでなく、私たち一般市民にとっても重要な教訓を提供しています。デジタル技術が日常生活に深く浸透する中で、それに対する理解と対応能力を高めることの重要性を改めて認識するべきです。

【セキュリティ事件簿#2023-175】トヨタ自動車株式会社 クラウド設定によるお客様情報の漏洩可能性に関するお詫びとお知らせについて 2023年05月31日


5月12日に公表させていただきました(「クラウド環境の誤設定によるお客様情報の漏洩可能性に関するお詫びとお知らせについて」)の件、その後、トヨタコネクティッド株式会社(以下、TC)が管理する全てのクラウド環境を含めた調査を実施したところ、お客様情報を含むデータの一部が、外部からアクセスできる状態にあったことが判明したため、本日時点で判明している事案につき、お知らせいたします。

本件も、データ取扱いのルール説明・徹底が不十分だったことなどが主な原因であったと考えており、前回の公表以降、クラウド設定を監視するシステムの導入を完了しました。現在、全クラウド環境の設定調査、および継続的に設定状況を監視する仕組みが稼働しております。また、データ取扱いのルール説明・徹底について、再度TCと密接に連携して実施するとともに、従業員への教育を徹底することで再発防止に取り組んでまいります。お客様ならびに関係の皆さまには大変なご迷惑、ご心配をおかけすることを、お詫び申し上げます。

今回の件につきましても、ネット上での第三者による二次利用、コピーの残存有無の継続調査の際、その事実は確認されず、現在のところ、その他の二次被害も確認されておりません。 (また、本事案では車両位置情報やクレジットカード情報等は含まれておりません)

今回の事案は以下の通りです。

1.国内向けサービスについての事案
  • 車載ナビに地図データを配信するシステムにおいて、配信データ作成処理の際に使用していた車載端末ID(車載機(ナビ端末)ごとの識別番号)及び更新用地図データとその作成年月が外部からアクセスできる状態にあったことが判明いたしました。(該当システムを用いたサービスはすでに終了しております)
  • 外部よりアクセスされた場合であっても、これらのデータのみでお客様が特定されるものではありません。また、これらのデータを用いて車両にアクセスしたり、車両に何らかの影響を与えたりすることはできません。
外部よりアクセスされた可能性があるお客様情報車載端末ID、更新用地図データ、更新用地図データ作成年月
(地図情報及びその作成年月であって、位置情報ではありません。)
対象となるお客様
  • G-BOOK mX、G-BOOK mX Pro対応ナビで、G-BOOKにご契約いただいたお客様
  • G-Link/G-Link Liteにご契約いただいた一部のお客様*1のうち、2015年2月9日~2022年3月31日の間に、マップオンデマンドの通信による更新を行ったお客様
合計 約26万人
*1 対象となる車両
車種発売期間
LS2009年10月~2014年9月
GS2009年9月~2014年8月
HS2009年7月~2015年7月
IS2009年7月~2013年8月
IS F2007年12月~2014年5月
IS C2009年5月~2014年7月
LFA2010年12月~2012年12月
SC2009年8月~2010年7月
CT2011年1月~2013年12月
RX2009年1月~2015年9月
クラウド環境が外部からアクセスできる状態にあった期間2015年2月9日~2023年5月12日
上記のお客様情報は、地図データの配信後、原則として短時間でクラウド環境より自動削除される仕様となっており、上記期間に継続して保管・蓄積していたものではありません。

上記のお客様情報が漏洩した可能性のあるお客様には、ご登録いただいているメールアドレス宛に、本日より、お詫びとお知らせを個別にお送りさせていただきます。加えて、お客様からのご質問やご不安などにお答えするための専用のコールセンターを設置いたします。

2.海外向けサービスについての事案
  • 海外販売店向けシステム調査のために、TCがクラウド環境で管理しているファイルの一部が、誤設定により、外部からアクセスできる状態にあったことが判明いたしました。本件判明後、外部からのアクセスを遮断する措置を実施しております。
外部よりアクセスされた可能性があるお客様情報住所、氏名、電話番号、メールアドレス、顧客ID、車両登録ナンバー、車台番号
対象のお客様に対し、上記すべての情報ではなく、問い合わせファイルにより、上記の一部が含まれております。
対象となる地域アジア、オセアニア(日本は含まれておりません)
クラウド環境が外部からアクセスできる状態にあった期間2016年10月~2023年5月

各国の個人情報保護法及び関連法に従い、各国で対応を進めてまいります。


【セキュリティ事件簿#2023-202】日本郵船株式会社 個人情報(メールアドレス)の漏えいについて 2023年05月29日


当社において、個人情報(メールアドレス)を漏えいする事故が発生しましたので、お知らせします。

関係者の方々に多大なご迷惑をおかけし、深くお詫び申し上げます。

今後、再発防止に向け、情報管理を徹底してまいります。

1.事故の概要
(1)発生日 
   2023年5月26日(金曜日)

(2)漏えいした個人情報
   個人のメールアドレス510件

(3)事故の経緯
   他社主催の採用イベントに参加した学生の方々にメッセージを送信する際に、誤ってメールアドレスをBCC欄では無くCC欄に入力して送信してしまいました。

(4)対応
該当する学生の方々にお詫びと受信メールの削除をお願いするメールをお送りしました。
万一当漏洩に起因する被害が発生した場合には、誠実に対応いたします。

2.再発防止策
メール送付の際にメールアドレスの誤入力を防ぐため再確認を徹底するとともに、改めて個人情報の適正な取り扱いルールの社内周知を行い、再発防止に努めていきます。

【セキュリティ事件簿#2023-109】株式会社IDOM 当社サーバへの不正アクセスに関するご報告とお詫び 2023年6月5日

 

日頃、ご愛顧賜りまして誠にありがとうございます。2023年4月3日にご報告いたしましたとおり、このたび、当社において業務上使用するサーバに対して、第三者による不正アクセス攻撃を受けました(以下「本件」といいます)。

お客様をはじめ関係者の皆様には深くお詫びを申し上げますとともに、今般、第三者調査機関による調査が完了いたしましたので、本件の概要等につきまして、下記のとおりご報告いたします。

なお、既に当社サーバは復旧しており、現時点では業務への影響はございませんことを併せてご報告させていただきます。

2023年4月3日の発表については、こちらをご確認ください。

1.本件の概要等

2023年3月30日、業務システムへのアクセス障害が確認されたため、調査を行った結果、一部の業務システムの起動ファイルが暗号化されており、ランサムウェアに感染した可能性を確認しました。当該サーバをネットワークから隔離するなどの被害拡大防止策を講じた上で、速やかに第三者調査機関に調査を依頼しました。その後、2023年5月13日、第三者調査機関による調査が完了し、その結果、本件について、2023年3月29日午後8時頃に当社ネットワークへの不正アクセスが行われたのち、同月30日午前6時頃より、サーバに記録されていたデータがランサムウェアにより暗号化され、使用できない状況となったことを確認いたしました。

第三者調査機関からは、当社が保有していたお客様をはじめ関係者の皆様の個人データ(合計2,402,233件)を閲覧された可能性は否定できず、その点で漏えいの可能性を否定できないものの、個人データを外部に送信した痕跡は見つかっていない旨の報告を受けております。

なお、当社は本件につきまして、個人情報保護委員会に報告済みでございます。また、警察にも被害申告しており、今後捜査にも全面的に協力してまいります。

2.関係者の皆様へのお詫びと本件に関するお問い合わせ窓口

お客様をはじめ、関係者の皆様には多大なご迷惑およびご心配をおかけする事態となりましたことを、深くお詫び申し上げます。

個人データが漏えいした可能性が否定できないお客様および関係者の皆様には、お詫びとお知らせ(漏えいの可能性が否定できないデータ項目を記載したもの)を個別に順次ご連絡申し上げます。

また、本件に関するお問い合わせにつきましては、専用の問い合わせ窓口を設置しております。ご質問やご心配なことがございましたら、以下のお問い合わせ窓口までご連絡いただきますようお願い申し上げます。

当社では、これまでもサーバ・コンピュータへの不正アクセスを防止するための措置を講じるとともに情報の適切な管理に努めてまいりましたが、このたびの事態を厳粛に受け止め、外部の専門家と検討の上、既に種々の再発防止策を整備しており、今後も随時改善を図る予定でございます。

≪お問い合わせ窓口≫ 

・受付時間:9:00~17:00(土・日・祝日含む)

・電話番号:フリーダイヤル0120-500-802

(6月12日追記)

現在、個人データが漏えいした可能性が否定できないお客様へ、個別のお詫びとお知らせをSMSにてご連絡申し上げております。SMSは、当社より各キャリアごとに以下の電話番号(送信元)にてお送りしております。

docomo:05017497608

au:05017497608

softbank:245001

楽天:05017497608

お手数をおかけいたしますが、詳細内容については個別にお送りしております、SMSに記載されたリンク先をご確認いただけますと幸いです。

なお、当社を騙ったなりすましにはご注意ください。お届けしたSMSのリンク先にてお客様の個人情報を入力させる、または上記お問い合わせ窓口以外の連絡先をご案内することはございません。

ご不明点やご心配な点がございましたら、上記お問い合わせ窓口までご連絡くださいませ。

この度はご迷惑およびご心配をおかけする事態となりましたこと、深くお詫び申し上げます。

リリース文アーカイブ

【セキュリティ事件簿#2023-201】委託先がメール誤送信、講座受講生のメアド流出 - 滋賀県


県委託事業として(公財)滋賀県国際協会が実施している「ミシガン州立大学連合日本センター英語講座」において、案内をメール送信した際に、個人情報(個人メールアドレス)が流出いたしました。 

 これにより、当事者の皆様に御迷惑をおかけいたしましたことにつき深くお詫び申し上げますとともに、今回の事案に至ったことを深く反省し、再発防止に努めてまいります。

1.事案の概要

委託先事務局が夏季英語プログラムの日程表を送付するため、複数の受講生あてメール送信する際、「BCC」にメールアドレスを入力すべきところ、誤って送信先の宛先が確認できる状態で送信しました。

  1. 発生日:令和5年5月23日(火)
  2. 発生場所:委託先事務局内
  3. 流出した個人情報:個人メールアドレス 38名分

2.経緯

(1)令和5年5月23日(火)

 17時9分 委託先事務局から夏季英語プログラムの日程表を送付するメールを送信。

 17時13分 送信エラーで未送信メールがあったため同内容のメールを再送信。

「BCC」にメールアドレスを入力すべきところ、誤って送信先の宛先が確認できる状態で送信。

(2)令和5年5月23日(火)18時10分頃

 上記(1)メールを確認した委託先事務局員が送信先の宛先が確認できる状態で送信されていることに気付き、判明。受信した受講生1名からも、御指摘をいただく。

(3)同日18時20分頃から

 委託先事務局からすべての受信者あてに、個人情報の流出のお詫びと上記(1)メールの削除依頼の電話連絡を開始。

(4)同日20時18分

 委託先事務局からすべての受信者あてに、メールにて個人情報の流出のお詫びと上記(1)メールの削除を依頼。

(5)令和5年5月24日(水)9時頃から

 委託先事務局から、23日に電話がつながらなかった受講生10名に再度電話連絡し、個人情報の流出のお詫びと上記(1)メールの削除を依頼。

3.再発防止策

今後、同様の事案が発生しないよう、委託先に対して、個人情報の適正な管理および取扱いの徹底を指導してまいります。

委託先事務局においては、複数名あて送付するメールについては、「BCC」による一斉送信とし、複数の職員によるチェック体制を徹底します。

また、公式LINEアカウントからの一斉連絡に切り替えられるよう、受講生に登録していただくよう再度周知します。

併せて、外部のメール配信システムの使用を検討します。