【セキュリティ事件簿#2023-246】静岡県は、ウェブサイト「しずおか農山村サポーター（むらサポ）」のメルマガ配信システムがサイバー攻撃を受け、個人情報をお漏らししたことを明かす。

静岡県が運営するウェブサイト「しずおか農山村サポーター（むらサポ）」のメールマガジン配信システムに不正アクセスがあり、個人会員の登録情報1181件が流出したことが判明しました。流出した情報にはメールアドレス、ニックネーム、年齢、市町までの住所、職業などが含まれています。また、法人会員についても110件の情報が登録されていましたが、これらは別に管理されており影響はなかったとのことです。

不正アクセスは6月27日に発生し、6月29日にメールマガジンを配信しようとした際にログインできない事態が発生し、その原因として不正アクセスが発覚しました。攻撃者はシステムの脆弱性を突いてIDやパスワードを変更し、侵入したと見られています。

静岡県はこの問題を受けて、むらサポのウェブサイトと配信システムを一時停止し、警察へ被害を報告しました。また、対象となる会員に対してはメールで報告と謝罪を行いました。現在、被害報告はなく、安全性が確認できるまでサイトは一時停止されています。

今後の対応として、静岡県は現在使用しているメールマガジン配信システムから、セキュリティレベルの高いシステムへの移行を計画しており、安全を確認した上でサービスを再開する予定です。

出典：「むらサポ」メルマガ配信システムに不正アクセス - 静岡県

【セキュリティ事件簿#2023-091】総務省 富士通株式会社に対する通信の秘密の保護及びサイバーセキュリティの確保に係る措置 2023年6月30日

総務省は、富士通株式会社に対し、同社において発覚した通信の秘密の漏えい事案に関し、通信の秘密の保護及びサイバーセキュリティの確保の徹底を図るとともに、再発防止策を含む対策等を早急に講じ、その実施結果を報告するよう、文書により指導しました。

1　経緯等

富士通株式会社からの報告により、同社が提供する企業向けネットワークサービス「FENICS」において、ネットワーク機器に対して外部から不正侵入を受け、令和4年3月から同年11月までの間に、複数回にわたって、同サービスを利用して通信を行った顧客の通信情報が外部に流出した事案が発覚しました。

2　措置の内容等

本事案は、電気通信事業法（昭和59年法律第86号）第4条第1項に規定する通信の秘密の漏えいがあったものと認められることから、総務省は本日付けで同社に対し、

• 再発防止策を早急に講じること
• 同事案の影響範囲の把握を速やかに完了させ、利用者への十分な支援等の対応を行うとともに、二次被害が発覚した場合にも適切な対応を行うことを徹底すること
• 通信の秘密の保護及びサイバーセキュリティの確保の在り方について、全社的な体制に構造的な問題がないか等を検証の上、再発防止に向けて、経営陣の関与の強化や、社内のセキュリティ意識の向上のための実効的な措置を講じること

について、文書による指導を行いました。

総務省は、通信の秘密の保護及びサイバーセキュリティの確保を図るため、引き続き、必要な指導・監督に努めてまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-245】東京工業大学 在学生の個人情報を誤って添付したメールを在学生宛に送信したことに関するお詫び 2023年6月30日

東京工業大学に在学中の正規課程学生に対して6月28日午後に送信したイベントの案内メールに、学生の個人情報が入ったファイルを誤って添付する事案が発生しました。

該当のメールは東京工業大学 学生支援センター未来人材育成部門が主催する「キャリア何でも相談会」の告知メールです。添付されていたファイルは送信先メールアドレスを設定するためのものですが、本学の正規課程に在籍する学生約1万件の個人情報が含まれていました。学生・教職員が使用する教務システム上の操作を誤った結果、同在籍者のうちメール送信可能な学生へ送信されました。ファイルに含まれていた個人情報には、氏名や大学発行のメールアドレスが含まれている一方で、住所や生年月日のような情報は含まれておりませんが、詳細な項目については学生保護の観点から非公開とさせていただきます。

現在は二次被害を防ぐため、メールを受信した学生に対して該当ファイルの削除をお願いし、相談窓口を設置している状況です。なお、学外への漏洩や情報の悪用など、二次被害については現在のところ確認されておりません。

今回このような事案が発生し、関係者の皆様に大変なご迷惑をおかけすることとなり、深くお詫び申し上げます。

本件に関する事後策については早急に対応を検討するとともに、今回の事案を深く受け止め、今後、このようなことがないように、原因究明と再発防止を徹底いたします。

リリース文（アーカイブ）

【搭乗記】日本航空229便（羽田空港⇒関西国際空港）

 

今年の夏休みは特に何もするつもりが無かったのだが、祝日と会社休日を合わせると4連休～6連休になっていることが判明し、特典航空券を使ってバンコクとハノイを訪れることにした。

バンコクまではJALのマイルを使った特典航空券で、羽田からの直行便ではなく、必要マイル数の少ない関空経由のバンコク行きにした。

そんな訳でとある木曜日の夜に羽田空港到着。

チケットどこで発券してもらおうかとウロウロしていたら国際線乗り継ぎ用のカウンターを発見したので、ここで関空発のフライト含めてチェックインしてもらう。

以前、国内線にもかかわらず、国際線サイズの紙のボーディングパスを持っている人がいて、レア感があってカッコいい印象を持っていた。

今回はそれを期待していたのだが、残念ながら国内線サイズの紙に印字されたボーディングパスだった。

21時前後は羽田空港的に最終便な時間なので、JGC用エントランスもガラガラだった。ちなみにここは朝7時から激混みとなあっている。

手荷物検査を終えてラウンジへ直行。

嬉しいことにおつまみの配布方法がコロナ前に戻っていた。

のんびり過ごしてそろそろ搭乗時刻かなと思ったところ、機材の到着遅れで30分の遅延に。。。

追加で30分ラウンジでゆっくりできるということで、前向きにとらえることにする。

搭乗ゲートに行くと結構人がいた。

この便は関空発の深夜便専用と思っていたが、普通に大阪に戻る人用の最終便としても使えるらしい。

それにしても国内線はステータス持ちが多い。ボーディングブリッジで立ったまま待たされることになったが、↓の写真、前方にいる人は全員ステータスメンバー。

感覚的には搭乗者の15%くらいはJGCやサファイア以上のステータス保持者なのではなかろうか？

安全のしおり。搭乗率はほぼ100%な感じ。

フライト時間は45分。しかも途中気流の悪いところを通過する予定ということで、ドリンクサービスが提供できないかもしれないということだったが、CAさん驚きのスピードでドリンクサービス実施してた。

ちなみにドリンクカップは紙製になっている。漏れないか心配だったが、1回使う分には問題なさそうな感じ。

暖かい飲み物が飲みたくて、コンソメスープをオーダーしてみた。

そうこうするうちに関空着陸。

【Playback of flight JL229 on 10 AUG 2023】

【セキュリティ事件簿#2023-244】株式会社りゅうせきフロントライン 受託事業「ハイサイプロジェクト」ウェブサイトへの不正アクセスによる被害及び個人情報漏洩の可能性についてのお詫び 2023年6月27日

今般、 沖縄総合事務局より受託していた「沖縄総合事務局における地域中小企業・小規模事業者の人材確保支援等事業(ハイサイプロジェクト) 」において、弊社が再委託した株式会社フラッシュエッヂ(以下「再委託事業者」)が運用保守管理していたウェブサイトへの不正アクセスがあり、 サーバー上に保存されていた個人情報が漏洩する可能性があったことが判明しました。

以下の通りお知らせしますとともに、 深くお詫び申し上げます。

【内容】

弊社が受託していた本事業では、 沖縄の中小企業・小規模事業者の皆様が必要とする地域内

外の多様な人材の確保を支援するため、中小企業・小規模事業者の皆様と必要な人材が適切にマッチングできる環境の整備に取り組むための事業を行っていました。

事業の実施にあたっては、 沖縄総合事務局より弊社が受託した上でセミナー等を開催していました。 また、 弊社から再委託事業者へ本セミナー等への案内・参加申込み等を行うためのウェブサイト運用保守管理を委託していました。

今般、再委託事業者にて管理していたウェプサイトに不正アクセスがあり、 調査を進めたところ、本セミナー等への参加申込のため登録された計 668 名の個人情報(氏名・電話番号、メールアドレスなど※1)が漏洩する可能性があったことが判明しました。

このため、ウェブサイトを閉鎖し、サーバー上から個人情報を削除するとともに、現在、弊社から個人情報漏洩の可能性がある方へ連絡を入れさせていただいております。

※1.保有個人情報の項目については、登録していない場合は非該当。

今後、こうした事態を招くことがないよう、 個人情報保護と外部委託事業者の管理を一層徹底し、再発防止に努めてまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-243】株式会社WOWOW お客さまの個人情報漏えいに関するお知らせとお詫び 2023年6月30日

動画配信サービス「WOWOWオンデマンド」（以下、WOD）において、一部のお客さまの個人情報漏えいを確認しました。当該事象を6月22日（木）に確認した後、システム対策をただちに実施いたしました。お客さま情報の不正利用などの事実は現在確認されておりません。お客さまにはご迷惑とご心配をおかけしておりますことを、深くお詫び申し上げます。

現時点で判明した状況について、以下のとおりお知らせいたします。

（1） 概要

下記期間において、WebブラウザでWODにアクセスしてログインしたお客さまは、「マイページ」にて別のお客さまの個人情報の一部を閲覧、クレジットカードの変更登録及びその他会員手続きを行なうことができる状態でした。ただし、氏名、住所、電話番号等の個人を特定する情報は含まれておりません。

（2） 発生期間

2023年6月9日（金）午後1時00分から6月22日（木）午後11時11分の約14日間

（3） 個人情報漏えいの対象となるお客さま

上記の期間において、WODへログインを⾏なった一部のお客さま

（4）WOD利用者で漏えいが発生、又は発生した可能性のあるお客さまの数

現時点で確認されたお客さまは、最大80,879名

（5）個人情報漏えいが発生した可能性がある項目

以下のWOD内から参照できる情報（ただし、氏名、住所、電話番号等の個人を特定する情報は含まれておりません）

　　■ご契約情報（契約種別、月額料金、次回請求予定日、クレジットカード番号（下3桁のみ））

　　■端末名称（例「WOWOWのiPhone」）

　　■お支払い履歴（日時、内容、キャリア決済の種類、クレジットカード番号（下3桁のみ））

　　■お支払い方法（キャリア決済の種類、クレジットカード番号（下3桁のみ））

　　■ご視聴履歴（視聴日時、作品タイトル）

　　■ダウンロード情報（端末OS、ダウンロード日、ダウンロード作品）

　　■お気に入りコンテンツ（作品タイトル）

（6）原因

WODへのログイン処理の際、WOWOWオンラインでのユーザ認証が正しく行なわれなかったため。

（7）実施した対応と現在の状況

6月22日（木）から6月23日（金）にシステム対策を実施し、現在はWODへのログイン処理の際、WOWOWオンラインでのユーザ認証が正しく行なわれております。また、システム対策実施後、個人情報漏えいは確認しておりません。

（8）今後のお客さまへの対応について

現時点で確認された該当の80,879名のお客さまにおかれましては、ひとまず本事象について、本日6月30日（金）中にメールにてお知らせいたします。

本件に関する影響範囲につきましては現在調査中です。登録情報や料金お支払いに影響する可能性があるお客さまにおかれましては、調査結果が判明次第、速やかに個別連絡をさせていただきます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-242】READYFOR株式会社 ユーザーのログイン状態が他のアカウントに置き換わる不具合に関するご報告とお詫び 2023年6月15日

READYFOR株式会社（代表：米良はるか、所在地：東京都千代田区）が運営する、クラウドファンディングサービス「READYFOR」（以下「本サービス」）にて、2023年6月14日（水）14時30分頃より、一部のユーザーのログイン状態が他のアカウントに置き換わる不具合の発生が確認されました。

なお、置き換えられた可能性のあるアカウントユーザーの皆様には、本日より、電子メールにてお詫びとお知らせを個別にご連絡申し上げます。

また、当社では複数の事業を運営しておりますが、対象となったのは、クラウドファンディングサービス「READYFOR」のみとなっております。

本不具合について以下の通りお知らせするとともに、関係するユーザーの皆さまに深くお詫び申し上げます。

1．発覚の経緯及び応急対応

14日18時30分頃、本サービスのユーザーから当社に対し、身に覚えのない操作の履歴が存在するとの問合せがありました。

当該問合せを契機として原因究明を行ったところ、本サービス利用中にユーザーのログイン状態が他のアカウントに置き換わる不具合が生じる可能性があることが発覚いたしました。

そのため、14日20時10分に本サービスを緊急メンテナンス状態とし、一時的に本サービスの利用停止を行いました。

なお、本サービスは、15日7時10分頃に復旧いたしました。

2．発生原因及び再発防止策

当社における調査の結果、14日14時30分頃にリリースしたプロダクトの改修に起因して、本サービスに係るキャッシュサーバーの動作が意図せぬ形で変更されたことが契機となり、本不具合が生じたものと特定いたしました。

そのため、本サービスの復旧に先立ち、当該改修のリバート処理（改修前の状態に戻す処理）及びキャッシュサーバー上からのキャッシュの削除を行いました。

3．影響範囲及び対応状況

（1）本不具合が生じた可能性がある時間帯

本不具合は、本不具合の原因となった改修のリリースから緊急メンテナンスを開始するまでの14日14時30分から20時10分までの間（以下「本時間帯」）生じた可能性があります。

（2）置き換えられた可能性のあるアカウントについて

・置き換えられた可能性のあるアカウント数

当社において本サービス上のログを分析した結果、最大470名のアカウント 最大57名のアカウント（以下「置き換えられた可能性のあるアカウント」）に対して置換えが生じた可能性があると判断しております。これらのアカウントのユーザーの皆さまに対しては、本日より、電子メールにてお詫びとお知らせを個別にご連絡申し上げます。

（2023年6月19日12時追記：追加調査により、置き換えられた可能性のあるアカウントの範囲を絞り込み、現時点で最大57名であることが判明しましたので、修正しております）

・置き換えられた可能性のあるアカウントからのご支援について

置き換えられた可能性のあるアカウントから本時間帯に行われたご支援（43件 7件）に関しては、当社から当該アカウントのユーザーの皆さまに対して有効な支援であるかを確認し、有効性を確認できない場合には、当社の判断で支援をキャンセルいたします。

（2023年6月19日12時追記：追加調査により、本不具合により生じた、有効でない可能性がある支援は現時点で最大7件であることが判明しましたので、修正しております）　

・置き換えられた可能性のあるアカウントの登録情報の漏えいの可能性について  

本不具合により、本サービスの別のユーザーから、置き換えられた可能性のあるアカウントの登録情報が閲覧された可能性があります。なお、当社は本サービスのユーザーのカード番号を保有しておらず、本不具合によるカード番号の漏えいのおそれはありません。

（3）別のアカウントにログイン状態となった可能性のあるユーザーの入力情報について

置き換えられた可能性のあるアカウント上で本時間帯に入力された住所、氏名等のユーザー情報のうち、別のユーザーが入力した情報である可能性がある情報については、個人情報保護の観点から、当社の判断で秘匿処理を行いました。

（4）その他

上記のほか、本時間帯の支援に際して新たに登録されたカード番号については、置き換えられた可能性のあるアカウントからの支援か否かにかかわらず、最大限慎重を期して、すべて削除いたしました。

上記のほか、本時間帯の支援に際して新たに登録されたすべてのカードについて、ご本人様が再度カード情報を登録しない限り、本サービス内で新たな支援での利用ができないようにいたしました。なお、当社は本サービスのユーザーのカード番号を保有しておらず、本不具合によるカード番号の漏えいのおそれはありません（2023年6月15日13時訂正）。

4．6月14日14時30分~20時10分にご支援を行った支援者さま向けのお願い

上記のとおり、置き換えられた可能性のあるアカウントから本時間帯に行われた支援に関しては、当社の判断でキャンセル処理を行う可能性があります。

本時間帯にご支援をされた支援者さまにおいては、ご自身のアカウントの支援履歴および支援の有無をご確認頂けますと幸いです。支援したはずの支援履歴がない場合、当社にご連絡頂けますと幸いです。

5．本不具合を受けて　

本不具合により、ログイン状態の置き換えの影響を受けたユーザーの皆さま、本不具合に伴うご支援のキャンセルの影響を受けた実行者の皆さま、本不具合に起因したサービスの一時利用停止により影響を受けられたすべてのユーザーの皆さまに対し、ご迷惑をおかけしたことを深くお詫び申し上げます。

本不具合の発生を重く受け止め、再発防止に努めてまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-241】那覇市社会福祉協議会 ボランティア登録者情報の漏えいの可能性に関するお詫びとご説明 2023年06月26日

情報漏えいの可能性がある方に対しましては、個別でお詫び及びご説明の文書をお送りしております。

また、文書中のございます別紙の内容は以下の通りです。

【経緯】

令和5年5月26日（金）に、「ボランティア登録情報がインターネット上で閲覧可能になっている」とのご指摘を外部から受け、事実関係を調査いたしましたところ、令和3年度にアップロードしたチラシに掲載したボランティア登録用QRコードのリンク先からある項目をクリックすると、回答者情報が閲覧可能となっていたことが判明しました。

 

【原因】

令和3年度当時、本会ホームページ（以下、HP）で、「令和3年度ボランティア保険案内」チラシを「ボランティア事業」ページ及び「お知らせ」ページに公開する準備をしておりました。公開前にリンクのミスに気付き、チラシの修正や本会HPの「ボランティア事業」ページには修正済みチラシをアップしました。しかし、「お知らせ」ページのチラシについては差替えができておらず、閲覧できる状態のまま公開しておりました。窓口での登録や、新規登録者への呼びかけについては修正したチラシや「ボランティア事業」ページを使用していたため、発覚が遅れました。

 

【閲覧の可能性がある範囲】

・閲覧の可能性がある期間（情報が閲覧できる状態だった期間）

　令和3年4月1日～令和5年5月26日

・閲覧の可能性のある人数　47６名

・閲覧の可能性の元となったデータについて

　那覇市ボランティア・市民活動センターのボランティア個人登録用フォームから登録された情報

・閲覧の可能性のある個人情報について

氏名、生年月日、住所、電話番号、メールアドレス、活動マッチングに関する事項等 

 

【判明後の対応】

令和5年5月26日に速やかに、登録フォームの非公開化などを行うとともに、法人として原因究明などの調査や対応の検討を開始しました。これまでに、該当するフォームやHPを抹消するなど、本事案における更なる漏えいを発生させない措置は完了しております。

漏えいの可能性のある方に対して、文書またはメールにより経緯を説明し、謝罪致しました。

なお、これまでに情報の流出及び、不正使用等の事実は確認されておりませんが、今後とも漏えいの可能性のある方に対して、誠意ある対応を行ってまいります。　

 

【再発防止に向けて】

本会としましては、今回の個人情報漏えい事案は、重大な問題として認識しております。

最初のチラシ作成、HP掲載時、修正作業、各段階での複数の現場担当者及び管理職による確認を怠っておりました。その結果、外部から指摘されるまで、約2年2か月もの長期間、外部から閲覧可能な状態となっておりました。

今回の事案及びその問題点と再発防止策を全職員間で共有し、改めて、個人情報に関する管理方法について、徹底してまいります。

また、再発防止策として、情報掲載時において、現場・管理職による複数名での確認、毎月1回定期的に、ホームページを担当者がチェックし、管理職に報告するなどの体制を構築いたしました。

本会では、これらの手段を講じて同様の事案の再発を防止するよう努めて参ります。

リリース文（アーカイブ）