【セキュリティ事件簿#2023-334】株式会社アップガレージグループ メールアドレス漏えいについてのご報告及びお詫び 2023 年8月 15 日


当社が 2023 年8月 14 日(月)15 時 29 分に配信いたしました「お客様インタビューへのご協力のお願い【タイヤ流通センター】」という件名のメールにつきまして、受信者様のメールアドレスが表示される形で一斉送信してしまうという事態が発生いたしました。漏えいしたメールアドレスは 94 件です。

皆様には、多大なるご迷惑とご心配をおかけしましたことを深くお詫び申し上げます。

このたびのことを厳粛に受け止め、今後、再発防止の徹底に努めてまいります。

1.経緯

2023 年 8 月 14 日(月)15 時 29 分に、当社よりお客様に対し、「お客様インタビューへのご協力のお願い【タイヤ流通センター】」という件名のメールを配信いたしました。その際、受信者様のメールアドレスを「bcc」にて送信すべきところを、誤って宛先に入力し送信してしまいました。この結果、メール受信者様は、相互にメールアドレスが確認できる状態になりました。

2.漏えいした個人情報

タイヤ流通センター横浜町田総本店をご利用いただいたお客様の一部 94 件のメールアドレス

3.お客様への対応

当該メールの受信者様に対し、メールアドレス漏えいに関するお詫びと、当該メールの削除をお願いするメールを当日中に送信しております。

4.再発防止策

メール送信時にメールアドレスの誤入力を防ぐため、一斉送信時には複数人による多段階確認を徹底するとともに、改めて個人情報の適正な取り扱いルールの社内周知を行い、再発防止に努めてまいります。

関係者の方々にはご迷惑をおかけしましたこと、心よりお詫び申し上げます。

なお、本件に関し、ご質問等がある場合は下記お問い合わせ先にご連絡くださいますよ
うお願い申し上げます。

【セキュリティ事件簿#2023-333】神栖市 教職員によるUSBメモリ紛失について 2023年8月25日


市立小学校に勤務する20代教員が、児童の個人情報が入ったUSBメモリを紛失する事案が発生しましたので報告いたします。

USBメモリには、当該教員が担当する5,6年生全員の氏名や1学期の成績等が保存されていました。

本事案につきましては、当該教員が警察に遺失物届けを提出しましたが、現在のところまだ発見されておりません。なお、現時点で個人情報の流出は確認されておりません。

事案の経過

8月7日(月曜日)

当該教員が夏季休業中に新学期の授業準備をするため、校長の承認を得て、校内職員共有ハードディスクからUSBメモリへデータをコピーし、校内設置の「校外への個人情報持ち出し記録簿」に必要事項を記入後、USBメモリを自宅へ持ち帰った。

8月13日(日曜日)

当該教員が自宅で、USBメモリがなくなっていることに気づき、校長へ連絡。

8月18日(金曜日)

校長から市教育委員会へ報告。

8月22日(火曜日)

当該教員が警察署へ遺失物届を提出。

個人情報の内容
  • 担任学級の国語、算数、図工、体育の1学期の成績
  • 5,6年生の教科担当をするクラスの社会科の1学期の成績
  • 運動会の実施計画書
今後の対応

当該教員は、学校の「個人情報取扱い要項」に従い、学校の許可を得て校外に個人情報を持ち出し紛失したことから、教育委員会では再発防止のため、市内全校の「個人情報の取扱に関するガイドライン」等の見直しやコンプライアンス研修の実施を通して、改めて教員の厳正な服務規律の確保の徹底を図り、信頼回復に努めてまいります。

【セキュリティ事件簿#2023-332】バクマ工業株式会社 当社サーバーへの不正アクセスに関するお知らせ 2023年08月21日

 

この度、当社は、当社サーバーに対して不正アクセス攻撃を受けたことを確認しましたので、お知らせいたします。

2023年8月15日に、当社のサーバーが暗号化されるランサムウェア被害が発生していることを確認いたしました。

現在、被害の拡大を防ぐために被害端末をネットワークから遮断し、不正アクセスの原因調査、復旧作業を併行して進めております。

ネットワーク広域に攻撃の被害が及んでいる可能性もあり、全ての特定・調査完了と日常業務への完全な復旧までには、しばらくの時間がかかる見込みとなっております。

警察をはじめシステム会社などの関係機関への報告と助言のもと、連携しながら対応を進めております。

今後、お知らせすべき事項が判明しましたら、改めて開示いたします。

関係各位には、多大なるご迷惑およびご心配をおかけしますことを、深くお詫び申し上げます。

リリース文アーカイブ

【セキュリティ事件簿#2023-331】株式会社インタースペース 不正アクセスによる被害発生について 2023年8月25日


当社は海外事業で使用している外部クラウドサーバーにおいて、第三者からの不正アクセスによる被害を受けたことを確認いたしましたので、お知らせいたします。

2023年8月11日早朝に、第三者からの不正アクセスが行われたことを確認しその影響範囲、被害状況などの調査を行いました。外部クラウドの運営会社および社内調査を行った結果、現時点においては

①海外事業で使用するメールアカウントを悪用したスパムメールが配信された。

②クラウドサーバーの当社アカウントに対して、第三者が利用する外部サーバーのアカウントが不正に紐づけされていた。

ことが判明しております。

被害発生を確認後、社内システムチームを中心に外部クラウド運営会社の専門チームとも連携を行い、不正アクセスの遮断、対策を講じており、一時的な対策は完了しております。詳細な調査結果、対応策等につきましては外部専門家と連携し改めて公表いたします。

なお、現時点において、個人情報にアクセスされていないこと、外部に漏洩された可能性は極めて低いことを確認しております。また業務遂行における支障はないことも併せてご報告いたします。

2023年9月期連結業績に与える影響につきましては、現在精査中であり開示が必要な場合は速やかに公表いたします。

本件により、関係する方々に多大なるご心配をおかけすることを深くお詫び申し上げます。

リリース文アーカイブ

【セキュリティ事件簿#2023-330】株式会社スプリックス  当社子会社におけるランサムウェア被害の発生について 2023年8月23日


このたび、当社子会社の株式会社湘南ゼミナールの一部サーバーが暗号化されるランサムウェア被害が発生したことをお知らせいたします。

本件につきましては、直ちに対策本部を立ち上げ、外部専門家を交え原因の特定、被害情報の確認、情報流出の有無などの調査に着手すると共に、システムの早期復旧に向け全力で取り組んでおります。現在も調査及び作業を継続しておりますが、現時点で判明している事実関係及び当社グループの対応について、以下の通りお知らせいたします。

関係各位におかれましては、ご心配とご迷惑をおかけすることになり、誠に申し訳ございません。深くお詫び申し上げます。

1. 発覚の経緯及びこれまでの対応状況

本年8月 21 日(月)に、株式会社湘南ゼミナールの一部サーバーが、ランサムウェアにより暗号化される被害が発生していることを確認しました。直ちに、外部専門家の協力のもと調査を開始し、迅速に対応を進めるべく対策本部を立ち上げ、警察への通報を実施しております。

なお、現時点では情報流出の事実は確認できておりませんが、個人情報保護委員会への報告も行っております。

2. 被害を受けた情報

今回の被害に対応するため、また二次被害を防止するため一部の社内システムをサーバーから切り離しています。湘南ゼミナールのホームページやメールシステムは通常通り稼働しています。なお、個人情報含むデータ流出につきましては現段階で確認できておりません。

3.今後の対応

外部専門家及び警察と連携の上、調査の継続ならびにシステムの保護と復旧に向け取り組んでまいります。今後の経過について報告が必要な場合は、湘南ゼミナールのホームページ等にてお知らせいたします。なお、当社グループの業績に及ぼす影響については軽微と見込んでおりますが、現在精査中でございますので、開示が必要な場合は速やかに公表いたします。

【TryHackMeウォークスルー】Command Injection

 

Command Injectionとは、アプリケーションの動作を悪用して、デバイス上で実行中のプログラムと同じ権限でオペレーティングシステム上のコマンドを実行することです。これはOWASPフレームワークのトップテンの脆弱性の一つとして挙げられています。また、攻撃者がシステム自体への直接的なアクセスを得ることなく、アプリケーションに攻撃者が提供するペイロードのシーケンスを実行させることができるため、"Remote Code Execution" (RCE) とも呼ばれます。

この脆弱性は、PHP、Python、NodeJSなどのプログラミング言語で頻繁に使用される関数を使用して、データを転送し、マシンのオペレーティングシステム上でシステムコールを行うために存在します。例として、入力フィールドからの入力を取得し、ファイル内のエントリを検索する場合が挙げられます。

攻撃者は、このプログラムの脆弱性を利用して、自分のコマンドを実行させることができます。

あるWebアプリケーションがあり、ユーザーはIPアドレスを入力すると、サーバーがそのIPアドレスに対してpingを実行し、結果をユーザーに返します。


攻撃者はこの機能を悪用して、次のような入力をすることができます:

127.0.0.1 & cat /etc/passwd


Command Injectionは、以下の2つの方法のいずれかで検出できることが多いです:

Blind Command Injection: ペイロードをテストする際、アプリケーションから直接の出力はなく、攻撃者はペイロードが成功したかどうかを発見するためにアプリケーションの動作を分析する必要があります。

Verbose Command Injection: ペイロードをテストした後、攻撃者はプログラムから即座に応答を受け取ります。

この脆弱性を回避する方法はいくつかありますが、プログラム言語で有害な関数やライブラリを使用することから、ユーザー入力に依存せずに入力をフィルタリングすることまで、さまざまな方法が考えられます。

  1. ユーザー入力の検証: ユーザーからの入力を信頼せず、特定のパターンや値にのみ一致する入力のみを受け入れるようにします。

  2. ホワイトリスト方式: 期待される入力のホワイトリストを作成し、それ以外の入力を拒否します。

  3. 外部コマンドの使用を避ける: 可能であれば、外部システムコマンドの実行を避け、代わりにプログラム言語の組み込み関数やライブラリを使用します。

  4. エスケープ処理: システムコマンドを実行する前に、ユーザー入力を適切にエスケープ処理します。

  5. 最小権限の原則: アプリケーションが実行されるアカウントの権限を最小限に保ち、不要な権限を持たせないようにします。

  6. セキュリティライブラリの使用: コマンドインジェクションを防ぐためのセキュリティライブラリやフレームワークを使用します。

  7. 環境変数の制限: システムの環境変数を制限し、攻撃者がこれを利用してコマンドを実行するのを防ぎます。

  8. 入力長の制限: ユーザーからの入力の長さを制限し、大量のコマンドやペイロードの挿入を防ぎます。


【セキュリティ事件簿#2023-329】鹿児島県 迷惑メールの送信事案の発生について 2023年8月23日

このたび,鹿児島県森林技術総合センターのメールアカウントを不正に利用し,第三者からの迷惑メールが送信されていたことが判明しました。メールは英文であり,送信者名も鹿児島県森林技術総合センターではなく,内容も当センターとは関係がないことが記載されています。

当該メールを受け取られた方々には,深くお詫び申し上げます。

なお,このようなメールを受信された場合は,開封せずに削除していただくようお願いします。

事案の概要等は次のとおりです。

1概要

令和5年8月11日から18日にかけて当センターのメールアカウント(kpftc@kpftc-pref-kagoshima.jp)を踏み台にしたメールが送信された。

なお,送信数は,調査中である。(受信ボックスに約9万3千件の返送(非受取)あり。(11~20日午後5時時点))

2原因

調査中。

3対応状況

令和5年8月18日午後6時00分にメールアカウントのパスワードを変更するとともに,海外とのアクセスを遮断した。また,ホームページの公開を停止した。

4再発防止策

今般の事案に対し,原因究明を行い,改めて再発防止策を検討する。

なお,公開停止中のホームページは,再発防止対策完了後再開予定。

リリース文アーカイブ

【セキュリティ事件簿#2023-328】株式会社イトーキ 当社グループ会社ホームページに対する不正アクセスについて  2023 年8月 23 日


このたび、当社グループ会社(株式会社イトーキエンジニアリングサービス)のホームページに対する不正アクセスにより当該ホームページの閲覧障害が発生し、これを経由した各種お問い合わせが停止致しましたので下記のとおりお知らせいたします。

関係者の皆様に多大なるご迷惑とご心配をおかけすることになり、深くお詫び申し上げます。

1.経緯
日本時間の8月 21(月)から 22 日(火)にかけて、当社グループ会社のホームページにおいて不正アクセスにより閲覧障害が発生致しました。ただちに、初期対応を始めるとともに迅速な対応を進めるべく、当社と当該グループ会社における対策チームを立ち上げました。
影響の範囲等を調査しておりますが、個人情報及び顧客情報の流出の有無については、現在確認中です。
また、8月 22 日に、当社ホームページにおいて、「当社グループ会社:イトーキエンジニアリングサービスのホームぺージ閲覧障害発生について(https://www.itoki.jp/info/2023/08/22.html)を重要なお知らせとして公開しております。なお、当該グループ会社の業務遂行自体については支障は生じておりません。

2.今後の対応
本件について、対策チームを設置し、外部専門家の助言を受けながら、影響の範囲等の調査と復旧への対応を進めております。また、関係機関への相談等を開始しています。
なお、本件の当社グループの今期の業績に及ぼす影響については現在精査中です。