【セキュリティ事件簿#2023-304】内閣サイバーセキュリティセンターの電子メール関連システムからのメールデータの漏えいの可能性について 2023年8月4日


今般、内閣サイバーセキュリティセンター(NISC)の電子メール関連システムに対し、不正通信があり、個人情報を含むメールデータの一部が外部に漏えいした可能性があることが判明しました。

これは、メーカーにおいて確認できていなかった電子メール関連システムに係る機器の脆弱性を原因とするものであると考えられ、同様の事案は国外においても確認されています。

NISCにおける本事案の経緯及び講じた措置は以下のとおりです。

  • 6月13日 電子メール関連システムに係る不正通信の痕跡を発見。
  • 6月14~15日 当該システムの状況を確認するため、速やかに運用を停止。不正通信の原因と疑われる機器を交換するとともに、他の機器等に異常がないことの確認や、内部監視の強化等の対策を実施の上で、当該システムを再稼働。
  • 6月21日 保守運用事業者の調査により、不正通信が当該機器の脆弱性を原因とするものであることを示す証跡を発見(本事案について個人情報保護委員会に報告)。
これを受けて、外部専門機関等による調査を行った結果、現時点までに、NISCが令和4年10月上旬から令和5年6月中旬までの間にインターネット経由で送受信した個人情報を含むメールデータの一部が外部に漏えいした可能性があることが判明したところです。

NISCにおいては、本事案により、メールアドレス等の個人情報が漏えいした可能性を排除できない方に対して個別に通知するとともに、事案の公表を行うこととしたところです。関係者の皆様には、ご迷惑をおかけすることになり、お詫び申し上げます。

なお、現時点で、具体的な個人情報の漏えい等は不明であり、個人情報の悪用等の被害は確認されていませんが、今後NISCを装った不審なメールが送付される等の可能性は否定できませんので、ご注意ください。

NISCでは、引き続きセキュリティ対策の強化に努めるとともに、セキュリティ関係機関等とも連携しながら、一層の状況把握に努めてまいります。

【セキュリティ事件簿#2023-303】東京都 受託者における個人情報の漏えいについて(メールアドレスの流出) 2023年8月1日

総務局と「災害用備蓄品の期限前の有効活用に係る業務委託契約」を締結しているビーエスロジスティクス株式会社(以下「受託者」といいます。)において、個人情報を漏えいさせる事故が発生しましたので、お知らせします。

関係者の皆様に多大な御迷惑をおかけし、深くお詫び申し上げます。今後、再発防止に向け、より一層の情報管理を徹底してまいります。

事故の概要

受託者が防災備蓄食品の寄附について案内するメールを対象者に送る際、メールアドレスをBCC欄に入力するべきところを、誤ってCC欄に入力し、送信した。

発生日

令和5年7月28日(金曜日)

漏えいした個人情報

都内の行政機関・法人・団体(社会福祉法人、NPO、自治会、学校法人等の団体)43団体の代表メールアドレス(41件)及び業務用個人メールアドレス(2件)

経緯
  1. 令和5年7月28日(金曜日)午前9時57分、受託者が都内の行政機関・法人・団体43団体のメールアドレスをCC欄に入力しメール送信
  2. 令和5年7月31日(月曜日)午後1時49分、メールを受信した方からの連絡により、当該事故が判明。午後2時05分、東京都から受託者へ事実確認を行い、午後5時03分、受託者から東京都へ報告
  3. 同日午後5時50分、受託者から全対象者へ謝罪するとともに、メールの削除を依頼
  4. 現在のところ二次被害等の報告は受けていない
再発防止策

受託者に対して個人情報の適切な取扱い、メールの個別送信及びメール送信先のダブルチェックを改めて徹底させ、再発防止を図る。

【搭乗記】日本航空JL794 中部国際空港 セントレア(NGO)⇒ハワイ・ダニエル・K・イノウエ国際空港(HNL)

 

成田からセントレアを乗り継いでホノルルに行く話の後編。

前編はこちら

今回、会えて乗り継ぎ時間を10時間近くにして、セントレアを満喫することにした。

セントレアにはフライト・オブ・ドリームズがあったり、プライオリティパスで楽しめる飲食店や銭湯があり、これらを満喫しようという訳だ。

この辺は搭乗前の話なので、軽く流すが、フライト・オブ・ドリームズは無料でB787の初号機が間近で見ることができて、激しくおすすめ。


そのフライト・オブ・ドリームズの中にLUXURY FLIGHTという、フライトシミュレータのお店があり、ここでのフライトシミュレーション(要予約)もおすすめ。(本店は羽田にあるらしい。。。)

インストラクターの方は本物の元パイロットだった。フライトシミュレーションの体験も貴重だが、元パイロットの方との会話も貴重な体験だった。


更にフライト・オブ・ドリームズの中にプライオリティパスで飲食できるお店(THE PIKE BREWING RESTAURANT & CRAFT BEER BAR)がある。11時半頃に行くと行列ができていたが、2時過ぎに行くと待たずにすぐ入ることができた。プライオリティパスと当日の搭乗券提示で3,400円分まで飲食可能。今回はローストビーフバーガーとオニオンリングとウーロン茶をチョイス。会計は3,680円だったので、実質差額の280円で楽しむことができた。


続いてセントレアにある、展望風呂「SOLA SPA 風の湯」、韓国料理・和食レストラン「お食事処 えびす」

こちらもプライオリティパスと当日の搭乗券を提示することで入浴と食事が楽しめる。

入浴はタオルのレンタルも含めて無料。

食事は韓国料理のセットか、味噌煮込みうどんのセットの2択。ドリンクも付いていて、アルコール1杯か、ソフトドリンク+アイスクリームから選択できる。

ちなみにアイスクリームは別途貰いに行かないといけないので注意。


そんな感じでセントレアを満喫していざチェックイン、、、は終わっていたので、手荷物検査と出国審査から。

セントレアは国際線出発用のゲートと国内線出発用ゲートの2つしかないシンプルなつくり。

関空みたいに本来出発ゲートは3つあるのに2つ閉鎖して寂れた感を演出する必要はないものの、閉鎖しているチェックインカウンターは多い印象。

今回は第1ターミナルから出発するが、第1ターミナルの処理能力は余っているように感じる一方、何故か一部の国際線は第2ターミナルから出発しているようで、この2つのターミナルの使い分けが正直謎だった。


さっさと出国審査を終えてラウンジでのんびりしようと思っている矢先に悲劇が。

なんとサクララウンジは一時閉鎖中。


代替ラウンジの案内があるものの、営業時間外。。。


ちなみにプライオリティパスで使えそうなプラザプレミアムラウンジも一時閉鎖中で完全に詰む。。。

仕方がないので、代替ラウンジの営業時間開始まで時間をつぶして再アタック。

ところが、インビテーションが無いと入れないと言われる。

成田からのスルーチェックインなので、貰っていないんだよね。。。

レセプションのスタッフがJALにカウンターに電話するも誰も出ないということでしばらく待たされるが、Cクラスのチケットなので、「とりあえずどうぞ」という感じで通される。

プライオリティパスが使えるお店を2件ハシゴしてしまったため、完全な腹パン状態で水しか体が受け付けない。

ラウンジ自体はプライオリティパスでも利用可能な感じで、食事メニューは一般的なサクララウンジの方が充実している感じ。

ラウンジメニューをバシャバシャカメラに収める人がいたので、自分はその人込みで写してみた。



搭乗時間が近づいたので、搭乗ゲートに移動。

東南アジア線とかは感覚的に外人比率が半分以上だけど、ホノルル線は9割以上日本人な感じだった。

ハワイは何故か日本人に人気。


そして搭乗。


成田→中部間で乗ったSKY SUITEⅡとも違う。これは・・・


初代SKY SUITEでした。

これでめでたく全SKY SUITE制覇。

今回搭乗したSKY SUITEは恐らく一番広いんだろうけど、収納が無さ過ぎていろいろ困る。
個人的に一番完成度が高いのはSKY SUITEⅡな気がする。
SKY SUITEⅢはちょっと圧迫感が強すぎます。

ちなみに機材はB787


事前の情報だと、離陸の1時間後にメインの食事と着陸前の食事が一緒に配られるような情報があったが、機内サービスが進化していた。


これは有難い。

腹パン状態が継続中だったので、以下のオーダーにする。

出発後のお食事:不要
到着前のお食事:洋食

恐らくこんなオーダーしたのは自分だけじゃなかろうか。。。

ちなみにアメニティはこんな感じ。

まずはきんちゃく袋。以前はビニール袋に入っておかれていたが、ひもが縛られた状態がデフォルトになっている模様。中には耳栓、歯ブラシ、マスク、など。


スリッパ


蒸気で目が温かくなるマスク


ミネラルウォーター(SKY SUITEは収納が無いので、このままの状態で離陸。当然倒れるので手で押さえるハメに・・・)


カーディガンはCAさんが別途配ってくれました。 


離陸後は蒸気でアイマスクと耳栓をセットして速攻でフルフラットにして就寝。

4時間くらい寝て機内食を頂く。

準備に20分かかるとあったが、20分も待った記憶が無い。CAさんが先回りして準備を進めてくれていたのだろうか?

今回の(も)CAさんはホスピタリティ溢れる感じだった。


出てきた食事がこちら。ハワイ線はワンプレートなんだね。


ドリンクはノンアルのスパークリングワインをオーダー。缶が出てきてびっくりしたが、一応シャルドネのノンアルスパークリングワインらしい。


現在地は太平洋上空(当たり前か。。。)


デザートのクリームブリュレ。想像していたよりも大きくて満足。東南アジア線と米国線は機内サービスに細かい違いがあって面白い。


ワガママ言ってハーゲンダッツも貰う。


ちなみにJALのハーゲンダッツはオリジナルのカップです。


食事をしていると珍しくCAさんに声を掛けられた。

セントレア発のホノルル便のクルーは、当日に成田からセントレアに移動してから乗務するらしい。

自分も今回成田経由だったので少し話が盛り上がり、セントレアでフライトオブドリームズに行った話やフライトシミュレータを体験した話をしたら「飛行機好きなんですね」ということで、モデルプレーンを頂いた。

他の搭乗記でモデルプレーンを貰ったみたいな話は見たことがあったが、自分はこれが初めての経験だったので、嬉しさしかない。


機内食やCAさんとのやり取りを楽しんでいるうちにオアフ島が見えてきた。


そして、ハワイ初着陸。


入国審査は審査官の英語が聞き取れなくて苦労した。

というか英語のヒアリング力の低下を実感した。昔は30%くらいは聞き取れた気がするが、今回10%しか聞き取れていないような気がする。

今回は一人旅なので、友人も家族もいないと言ったら審査官に笑われつつも無事入国許可が下りてハワイ初上陸に成功した。

空港からホノルル市街までは市バスが走っているのでそれに乗って行こうと思っていたが、日本出発の数日前に市バスにはスーツケース持って乗車できないことが分かり、急きょシャトルバスを予約。

チップとかどうするのかよく分からずに悩んでいたら、JAL便利用者向けにロバーツ・ハワイのシャトルバスがチップ込みで提供されていたので、それを申し込んだ。

参考:アプリ版JALOALOカードでハワイの観光や移動が便利に


日本人的にはチップ込みというのが大変助かる。

【Playback of flight JL794 on 9 SEP 2023】

【セキュリティ事件簿#2023-302】一般社団法人医療ISAC 弊法人のウエブサイトに対するハッキングに関するご報告とお詫び(第1報) 2023年8月7日


平素は弊法人の運営に格別のご支援を賜り、感謝申し上げます。

弊法人のウエブサイトのトラブルについて、ご報告申し上げます。
2023年8月4日、弊法人のウエブサイトに対する不正なアクセス及び複数ファイルの追加及び改ざんを発見しました。
ログ解析では2023年7月29日以降に上記の変更が行われた事、新たに追加されていた管理者権限を持つ不審なユーザアカウントが、以前ウェブサイトの管理を委託していた企業の担当者が使用していたものである事を確認し、当該ユーザアカウントが何らかの事象で漏えいした事による、不正アクセスである可能性が高いと判断し、本サイトを一時閉鎖し、バックアップデータから仮設サイトを構築し復旧、および正規の管理者アカウントのパスワード変更と、接続IPの制限を設定する対策を行いました。

弊法人の会員様などの個人に関する名簿情報はウエブサイトには保存をしておらず、会員名簿の流出等の被害はありませんでしたが、オンラインセミナーなどへの参加申込フォームの入力情報が履歴として保存されており、これに該当する975名分の、氏名、メールアドレス、所属先に関する情報にアクセスをされた可能性がございます。
現時点では具体的な情報漏えいは確認されておりませんが、該当する会員様には追って個別にご連絡をさせていただく予定です。

なお、2023年8月6日午後の時点で、ウェブサイトは正常に機能しておりますが、今後外部の機関とも協力して詳細を分析し、その結果によりましては警察や個人情報保護委員会などへの報告を含めた対応を予定しており、経過につきましては随時お知らせをさせていただきます。

ご迷惑をおかけして大変申し訳ございません。心よりお詫びを申し上げます。

【セキュリティ事件簿#2023-301】特定非営利活動法人テラ・ルネッサンス 公式ウェブサイトへの不正アクセスによる個人情報漏えいに関するお詫びとお知らせ 2023年8月8日


このたび、弊会が運営する「テラ・ルネッサンス公式ウェブサイト」(https://www.terra-r.jp/index.html・以下、「公式サイト」と記載)におきまして、第三者による不正アクセスを受け、ご支援者様のクレジットカード情報(89件)が漏えいした可能性があることが判明いたしました。

ご支援者様をはじめ、関係者の皆様に多大なるご迷惑およびご心配をおかけする事態となりましたこと、深くお詫び申し上げます。

なお、個人情報が漏えいした可能性のあるご支援者様には、本日より、電子メールおよび書状にてお詫びとお知らせを個別にご連絡申し上げております。

弊会では、今回の事態を厳粛に受け止め、再発防止のための対策を講じてまいります。

ご支援者様をはじめ関係者の皆様には重ねてお詫びを申し上げますとともに、本件に関する概要につきまして、下記の通りご報告いたします。

1.経緯

2022年12月17日、公式サイトを利用したご支援者様より「クレジットカードを使用して寄付を行おうとしたが申し込みが完了できない」とご連絡を受け、同日に内部調査を実施。2022年12月19日、公式サイトでのカード決済を停止いたしました。

同時に、第三者調査機関による調査も開始いたしました。2023年6月27日、調査機関による調査が完了し、2022年12月16日~2022年12月18日の期間に公式サイトで寄付の申し込みをされたご支援者様のクレジットカード情報が漏えいし、一部のご支援者様のクレジットカード情報が不正利用された可能性があることを確認いたしました。

以上の事実が確認できたため、本日の発表に至りました。

2.個人情報漏えい状況 

(1)原因
公式サイトのシステムの一部の脆弱性をついたことによる第三者の不正アクセスにより、ペイメントアプリケーションの改ざんが行われたため。

(2)クレジットカード情報及び個人情報漏えいの可能性があるご支援者様
2022年12月16日~2022年12月18日の期間中に公式サイトにおいて、寄付の申し込み時にクレジットカード決済をされたご支援者様のべ89名で、漏えいした可能性のある情報は以下のとおりです。

クレジットカード情報
・カード名義人名
・クレジットカード番号
・有効期限
・セキュリティコード
・3Dセキュア認証情報

個人情報
・氏名
・生年月日
・住所
・電話番号
・メールアドレス
・寄付金額

上記に該当する方のうち、特定できている39名のご支援者様については、別途、書状にて個別にご連絡申し上げます。

上記に加え、偽の決済フォームにてクレジットカード情報を入力されたものの、ご寄付のお申し込みが完了にいたらなかったご支援者様についても情報が流出した可能性がございますが、特定はできておりません。

3.ご支援者様へのお願い

既に弊会では、クレジットカード会社と連携し、漏えいした可能性のあるクレジットカードによる取引のモニタリングを継続して実施し、不正利用の防止に努めております。

ご支援者様におかれましても、誠に恐縮ではございますがクレジットカードのご利用明細書に身に覚えのない請求項目がないか、今一度ご確認をお願いいたします。万が一、身に覚えのない請求項目の記載があった場合は、たいへんお手数ですが同クレジットカードの裏面に記載のカード会社にお問い合わせいただきますよう、併せてお願い申し上げます。

なお、ご支援者様がクレジットカードの差し替えをご希望される場合、カード再発行の手数料につきましてはご支援者様にご負担をお掛けしないよう、弊会よりクレジットカード会社に依頼しております。特定できているクレジットカード以外のカードについて、再発行をご希望される場合の手数料につきましては、クレジットカード会社により対応が異なります。ご支援者様ご負担での差し替えをご案内された場合、お手数ではございますが、弊会相談窓口へご連絡ください。

4.公表が遅れた経緯について

2022年12月17日の漏えい懸念から今回の案内に至るまで、時間を要しましたことを深くお詫び申し上げます。

本来であれば疑いがある時点でご支援者様にご連絡し、注意を喚起するとともにお詫び申し上げるところではございましたが、不確定な情報の公開はいたずらに混乱を招き、ご支援者様へのご迷惑を最小限に食い止める対応準備を整えてからの告知が不可欠であると判断し、発表は調査会社の調査結果、およびカード会社との連携を待ってから行うことにいたしました。

今回の発表までお時間をいただきましたこと、重ねてお詫び申し上げます。

5.再発防止策ならびに弊会が運営するサイトの再開について

弊会はこのたびの事態を厳粛に受け止め、調査結果を踏まえてシステムのセキュリティ対策および監視体制の強化を行い、再発防止を図ってまいります。

改修後のご寄付のお申し込み受付の再開日につきましては、決定次第、改めて公式サイト上にてお知らせいたします。

また、弊会は今回の不正アクセスにつきまして、監督官庁である京都府には2022年12月26日に報告済みであり、また、所轄警察署にも2023年7月12日被害申告しており、今後捜査にも全面的に協力してまいります。

【セキュリティ事件簿#2023-300】 内部関係者によるセキュリティ侵害:高知の行政書士が罰金刑に


事件の概要
2023年4月、高知県高知市に住む行政書士が、過去に勤務していた法人のクラウドサービスに不正にアクセスしました。この行政書士は、職員のアカウントを削除するなどの妨害行為に及び、インターネット上で職員に対して誹謗中傷を繰り返していました。その後、逮捕され、書類送検を経て略式起訴されました。最終的に、高地簡易裁判所から罰金30万円の略式命令が発されました。

不正アクセスの背景
この事件は、日本国内での内部関係者による情報漏洩や不正アクセスが増加している中で発生しました。2023年7月にも、大手通信企業やIT企業などで同様の事件が起きています。

考察と対策
この事件は、企業のセキュリティ対策の重要性を改めて浮き彫りにしています。内部からの不正アクセスに対しても、適切な対策が求められる時代となっています。中小企業から大企業まで、情報漏洩対策の基本を理解し、適切なセキュリティ対策を講じる必要があります。

【セキュリティ事件簿#2023-299】福岡徳洲会病院 不正アクセスによる個人情報流出の可能性についてお知らせとお詫び 2023年07月28日


この度、当院は、第三者から不正アクセスを受け、データベースに保存されている個人情報及び患者情報が外部から閲覧可能な状態になっていたことを確認いたしました。しかしながら、現時点までに情報の流出は確認されておりません。

当院では、個人情報が流出した可能性が生じたことが確認された後、速やかに、以下の措置を講じました。

患者様をはじめ皆様には、個人情報の流出の可能性を生じさせ、ご心配をお掛けしましたことをお詫び申し上げます。

【事実経過】
 2023年4月4日 不正アクセスによって情報流出の可能性が発生
 2023年4月4日 専門業者に調査を依頼。ウイルスチェックを行い、問題がないことを確認
 2023年4月4日 被害にあったシステムについては、物理的に外部から遮断
 2023年4月7日 福岡県警春日署に相談
 2023年4月10日 厚生労働省に報告
 2023年4月10日 個人情報保護委員会に報告
 2023年4月10日~6月30日 流出した可能性のある個人情報の洗い出しと、改ざん等の影響について調査
  ※今回、不正アクセスの被害にあったシステムは4月4日以降使用できないようにし、データベースは、より高度なセキュリティーを構築したシステムに移行しています。

【流出した可能性のある情報】
 1 患者様の情報  最大48,983件
   氏名、住所、生年月日、投薬内容、病名、検査値
 2 職員及び外部の情報 最大3,223件
   氏名、メールアドレス
 3 学生、研修生の情報 最大1,801件
   氏名、住所

【今後の対応】
 1 引き続き厚生労働省、個人情報保護委員会へ経過報告を行います。
 2 実被害の報告があった場合は、速やかに福岡県警と協力して対応いたします。

当院では、今回の事態を重く受け止め、再発防止に向けて一層の管理体制の強化を図って参ります。

また、不正アクセスなどの犯罪行為には厳正に対処いたします。

皆様にはご心配をお掛けいたしますことを重ねてお詫び申し上げます。

なお、個人情報の流出の可能性のある患者様の特定を進めており、追って個別にご連絡を差し上げる予定です。

【セキュリティ事件簿#2023-298】札幌医科大学附属病院 個人情報の入った記録媒体(USB メモリ)の紛失について 2023年7月 27 日


札幌医科大学附属病院において、患者さん3名の個人情報(氏名、画像データ等)が記録された USB メモリを紛失する事案が発生しました。

現時点では情報の流出等は確認されておりませんが、このような事案が発生し、患者さんご本人とご家族、関係者の皆様に多大な御迷惑と御心配をお掛けすることになりましたことを心からお詫び申し上げます。

個人情報の取扱いについては、機会あるごとに注意喚起や研修を行ってきたところではありますが、今回このような事案が発生し、適切な取扱いが徹底されていなかったことが明らかになったことから、事態を重く受け止め、職員に対し、あらためて個人情報の取扱いの管理徹底を行うとともに、再発防止に努めてまいりますので、ご理解のほどお願い申し上げます。

本件につきましては、当該患者さんとご家族に対しまして、ご報告及び謝罪を行ったところですが、重ねて深くお詫び申し上げます。