雑記系ブログ。セキュリティとか、マイルとか、投資とか、、、 / Miscellaneous Blogs. Security, miles, investments, etc
【セキュリティ事件簿#2023-357】神奈川県立こども医療センター 個人情報が保存されたUSBメモリの紛失について 2023年9月6日
【セキュリティ事件簿#2023-356】SMBC日興証券株式会社 日興イージートレードにおける不正アクセスにご注意ください 2023年9月4日
- 本件についての当社の調査状況
本件に関する当社の調査において、当社からのお客さま情報の流出は確認されておりません。他方、悪意のある第三者が何らかの方法で取得したお客さまの口座番号やパスワード情報等を流出させていることが、公的機関により確認されております。不正にログインされたお客さまの一部においては、当該流出が確認された時期からパスワードを変更していない方が含まれることから、当社としては、流出したこれらの情報を利用して不正なログインを試みられた可能性があると考えております。
現時点では、不正にログインされたお客さまの口座からご資産が流出する事態は確認されておりませんが、お客さま以外の第三者が、日興イージートレードにおいて、不正に保有株式の売却を行ったと思われる事態が1件判明しております。 - お客さまにお願いしたいこと
より安心して日興イージートレードをご利用いただくために、お客さまご自身によるセキュリティ対策についてご紹介いたしますので、ご対応をお願いいたします。・安全性の高いパスワードを設定する
・身に覚えがない前回ログイン日時や出金、取引が無いか確認する
・メールアドレスを登録する
・出金時に二要素認証を利用する(https://www.smbcnikko.co.jp/news/attention/security/index3.html) - 不正アクセス防止への取り組み
当社では、不正アクセスによる被害を未然に防ぐため、日本証券業協会が定める『インターネット取引における不正アクセス等防止に向けたガイドライン』に則り、継続的にログイン時等のセキュリティ対策やモニタリングの高度化に取り組んでおります。
2023年7月以降、安全性の高いログインパスワードの設定を必須とさせていただいておりますので、当社の定める設定ルールを満たしていないお客さまにおかれましては、お早めの変更をお願いいたします。
(https://www.smbcnikko.co.jp/news/customer/2023/n_20230417_01.html)
アンドロイド用プライバシー保護ブラウザ3選
Brave
- ネイティブのアドブロッカー
- 強力なサイト分離
- プロキシされたGoogleサービス(Braveサービス)
- 優れたプライバシー機能
Ice Raven
- 高度にカスタマイズ可能
- 通信制限が可能
Mull Browser
- 多くの独自blobを排除
- 拡張機能のサポート
- arkenfox、Tor upliftプロジェクトの機能を取り入れる
プライバシー重視のブラウザを推奨するための基準
- オープンソースであること: 透明性を促進し、カスタマイズを可能にするため、ブラウザはオープンソースであるべきです。特に、FirefoxのGeckoエンジンから派生したブラウザが、Chromiumから派生したブラウザよりも好まれます。
- 定期的な更新: ブラウザはしばしば悪用されるため、最新の脆弱性を修正するタイムリーな更新が必要です。これは、派生ブラウザにとって特に重要であり、セキュリティパッチを最新の状態に保つために定期的なアップデートが必要です。
- 開発段階のものは使わない: アルファやベータ段階のブラウザはバグが多かったり、適切に動作するために追加の注意が必要だったりします。適切なリリースバージョンに到達するブラウザが必要です。
- カスタマイズ提供: 最適なプライバシー重視のブラウザは、拡張機能やアドオンなしでブラウザ内で多くのカスタマイズオプションを提供するべきで、これによりユーザーはプライバシー関連の設定を変更できます。
- 限定的なデータ収集: テレメトリーについては、完全にオプトアウトできるようにし、収集された情報をすべて匿名化する必要があります。
【セキュリティ事件簿#2023-355】関西ペイント株式会社 当社海外子会社への不正アクセスについて 2023年09月05日
【セキュリティ事件簿#2023-354】ブリストル・マイヤーズ スクイブ株式会社 セキュアファイル転送サービス「MOVEit」への不正アクセスによる 個人情報の流出に関するお詫び 2023 年 8 月 29 日
この度、弊社がセキュアファイル転送サービスとして利用する Progress Software 社の「MOVEit」において、脆弱性が発覚し、弊社が取扱う個人情報を含むデータの一部が不正にアクセスされた可能性があることが判明しました。なお、「MOVEit」の脆弱性については、米国を含めて各報道機関により報じられているとおりです。
弊社は本件を非常に深刻に受け止め、迅速に対応し調査するための措置を講じており、サイバーセキュリティの主要な専門家と協力して、不正な方法でアクセスされたデータを分析・調査いたしました。
皆さまにはご心配とご迷惑をおかけすることとなり、深くお詫び申し上げます。
1. 経緯
5 月 31 日(水)、Progress Software 社から、弊社が第三者との情報共有のために使用する、同社のセキュアファイル転送ソフトウェア「MOVEit」において、重大な脆弱性が見つかり、ProgressSoftware 社の多くの顧客企業に影響を与えており、その結果、同システム上で保管されているデータが不正にアクセスされた可能性があるとの警告がありました。これを受け、弊社はこの問題を収め、リスクを軽減するため、外部のフォレンジック調査機関に調査を依頼し、迅速かつ包括的な対応を行いました。また、弊社日本法人においては、速やかに、個人情報保護委員会に本件の報告を行いました。
2. 現在の状況と影響範囲
サイバーセキュリティの専門家の協力のもと、調査を行った結果、MOVEit」のサーバーへの不正アクセスが情報漏えいの原因であると判明しました。また、調査の結果、2018年6月13日から 2023年 5 月 31 日までに弊社が運営する医療従事者専用サイトに任意にアカウントのご登録をいただいた医療従事者(※)及び弊社からヘルスケア、メディカル、サイエンスに関する情報を受け取ることにご同意頂いた医療従事者の皆様並びに 2014 年 2 月 28 日から 2023 年 5 月 31 日の期間中に弊社日本法人に在籍されていた弊社の役職員の皆様に関する以下のデータが流出した可能性があることが判明しました。なお、クレジットカード情報やマイナンバーに関する情報は、漏えいしたおそれはありません。
(※)対象となる医療従事者の方は、2018 年 6 月 13 日から 2023 年 5 月 31 日までに以下の専用サイトに登録された方になります。
https://www.bmshealthcare.jp/
https://www.bmsoncology.jp/
https://www.car-t.jp/
https://www.eliquis.jp/
https://www.empliciti.jp/
https://www.hemapedia.jp/
https://www.orencia.jp/
https://www.sotyktu.jp/
https://www.sprycel.jp/
https://www.yervoy.jp/
■流出した可能性のある個人情報
- 弊社が運営する医療従事者専用サイトに任意にアカウントのご登録をいただいた医療従事者の皆様に関する以下の情報
- 氏名、 勤務先、 勤務先住所、 勤務先電話番号、 E メールアドレス、職業、ハッシュ化されたパスワード - 2014 年 2 月 28 日から 2023 年 5 月 31 日の期間中に弊社日本法人に在籍されていた方に関する以下の情報
- 氏名、生年月日、性別、住所、電話番号、業務用メールアドレス(ご退職された場合は現在は利用不可)
- 弊社に勤務していた情報(入社日、離職日、ジョブグループ、ジョブ ID、役職名、現職・退職に関する情報、職種、担当していた施設の情報、出身地域等に関する情報)
3. 今後の対応
弊社は、今回の事態を厳粛に受け止め、再発防止のための対策を講じてまいります。引き続き、この件についての調査を継続し、皆様へのご迷惑を最小限に止めるべく取り組んでまいります。
また、パスワードを含め、流出した可能性のある個人情報については、ハッシュ化するなど一定の措置を講じており、現時点では二次被害の報告等は受けておりませんが、二次被害を可能な限り予防するべく、弊社が運営する医療従事者専用サイトにご登録をいただいた医療従事者の皆様におかれましては、パスワードの変更手続きをお願いしたく存じます。大変お手数をおかけしますが、ご協力のほど、よろしくお願いいたします。
万が一、身に覚えのない電子メール等が届いた場合には、不審な添付ファイルを開かない、不審な URL リンクをクリックしない等のご対応をお願いいたします。
【セキュリティ事件簿#2023-353】アイホン 当社米国法人への不正アクセス発生について 2023年8月18日
2023年7月25日(米国時間)、当社米国の販売子会社であるAIPHONE CORPORATIONにおいて、第三者による社内ネットワークへの不正アクセスを受けたことが確認されました。
本事象を確認後、被害拡大を防止するため、ただちに他拠点とのネットワークを遮断する等の対策を講じ、外部の専門機関による調査を行っております。なお、現時点において当社グループの他拠点への影響及び、外部への情報漏洩やお客様をはじめ関係各位に影響を及ぼす被害は確認されておりません。今後、当社の経営成績に重要な影響を及ぼすことが明らかになった場合は、速やかに開示いたします。
御取引先様をはじめとする関係各位におかれましては、ご心配をお掛けすること深くお詫び申し上げます。
【セキュリティ事件簿#2023-352】茨城・土浦市役所職員、同僚の人事情報を不正収集し書類送検される。
男性職員は、2021年12月18日に市のサーバーから836人の職員の情報を収集し、私用のハードディスクに保存していたとされています。彼はこの行為について、「自らの評価を上げるため、希望部署などの職員の評価を知りたかった」と説明しています。また、彼は今年3月から休職中であり、外部への情報の漏洩は確認されていません。
土浦市役所はこの事件について、市民や関係者に対して謝罪し、新たなセキュリティーシステムの導入や職員教育の強化を行うとの声明を発表しました。
【セキュリティ事件簿#2023-351】高知工科大学 不正アクセス及び個人情報の漏洩の可能性に関するお知らせとお詫び 2023年9月4日
なお、現在のところ、これらの情報を悪用した被害は確認されておりませんが、個人の情報が漏洩した可能性のある方々に対して謝罪するとともに、事案の説明及び二次被害を防ぐための対応についてお願いをしているところです。
このような事態が発生し、関係者のみなさまには多大なご迷惑をおかけしましたことを深くお詫び申し上げます。本学では、今回の事態を重く受け止め、調査及び原因究明に努めるとともに、ソフト・ハードの両面から情報セキュリティ対策を再点検し、より一層強化することで再発防止に取り組んでまいります。
令和 5 年 8 月 13 日(日)、本学の教員が運用している研究用サーバを経由して、本法人ネットワーク内のサーバへの不正アクセスが検知され、不審なプログラムが書き込まれていました。この際、本学の教職員に付与された複数の業務用アカウントが不正に利用されたことが判明いたしました。
不正アクセス検知以降調査を進めた結果、令和 5 年 8 月7日(月)以降に本学の他の研究用サーバへも不正に侵入され、それらを介して、本学 Web サーバ及びメールサーバへも不正にアクセスが行われていたことが判明いたしました。
※本事案については、8 月 14 日(月)に文部科学省に第一報を入れるとともに、高知県警察にも報告いたしました。
- 本法人教職員のメールアドレス 991 件(一部氏名含む)
※退職者等、削除済みメールアドレス含む
- 本学への求人実績のある企業・団体等のメールアドレス 808 件(一部電話番号含む)
不正にアクセスされた業務用アカウント7人分の送受信メールのうち 1 人の受信メールに次の本学学生の個人情報リストが含まれていました。
- 氏名、メールアドレス、授業の予習及び復習課題の評価 98 人分
- 氏名、学籍番号及び所属研究室名 56 人分
本事案の発覚後ただちに、不正に利用された業務用アカウントのパスワードを変更し、不正アクセスに利用された研究用サーバをネットワークから遮断し、隔離しました。不正アクセスを受けた法人内の業務用サーバについては、ウイルスチェックにより不審なプログラムを駆除し、セキュリティアップデートを最新の状態にしました。さらに、全教職員に対して、パスワード変更をはじめとするアカウントのセキュリティ強化等の注意喚起を実施しました。
再発防止に向けて、情報セキュリティポリシーの見直しをはじめ、ネットワークのセキュリティ強化を図るとともに、全教職員に対して個人情報の取扱い及び業務用アカウントの適切な管理を行うよう、周知徹底を継続して参ります。また、本事案を受けて、問い合わせ窓口を次のとおり設置し、漏洩の可能性のあった方々からの問い合わせに対応いたします。