【セキュリティ事件簿#2023-428】株式会社GENOVA 「NOMOCaオンライン診療」サービス一時停止のお知らせとお詫び

 

拝啓　平素は格別のお引き立てを賜り厚く御礼申し上げます。

弊社が提供するオンライン診療サービス「NOMOCaオンライン診療」が現在サービスを一時停止しておりますことをお知らせいたします。お客様には多大なご心配、ご迷惑をおかけし、深くお詫び申し上げます。

１．今回の経緯について

医院様より「NOMOCaオンライン診療」のシステムからメール通知が届かない旨の問い合わせを受け、開発会社に調査を依頼しましたところ、NOMOCaオンライン診療システムで利用しているクラウドサーバーより、大量のスパムメールの送信を行われていたことが判明しました。そのため、クラウドサーバーにてNOMOCaオンライン診療のサーバーがスパムであるとみなされ、メール送信機能が強制停止し、弊社の通知専用メールが使用不可となった結果、NOMOCaオンライン診療が利用できない状況に至りました。

２．情報流出について

今回の事象において、情報流出は一切ございません。ご利用者である各医院様のユーザーIDおよびパスワード、並びに各アカウントに登録されている患者様情報の個人情報等、サービスご利用者様の情報へはアクセスされていないことを確認取れております。

３．発覚日時

2023年10月16日 13時42分

４．発生原因

クラウドサーバーのログを確認しましたところ、弊社外注先の開発要員が利用するアカウントで、一連の不正操作が行われたアカウントの新規発行が確認されました。当該開発要員がこの操作を行った認識がないことから、この開発要員が利用するPCがウィルス、スパイウェア等へ感染し、発生した可能性が高いと想定しております。

５．再発防止対策

・システム開発側にて「多要素認証」を行っていないアカウントの根絶、および定点観測等の監視体制の強化

・コンソールへの IP アドレスによるアクセス制限

・外注先会社のウイルス・スパイウェア対策の徹底と履行状況の確認

６．お客様へのお願い事項

弊社サービスをご利用の医院様のユーザーID/パスワードの流出はございませんが、患者様が何らかのスパムメールを受け取り、万一、医院様へお問い合わせがあった際には、弊社のサポートセンターへのご連絡を促して頂きますようお願い致します。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-427】京都精華大学 個人情報が閲覧できる状態になっていたことに関するご報告とお詫び

この度、在学生の学費納入に関する手続きにおきまして、一部申請者の個人情報が申請フォーム上で閲覧できる状態になっていたことが判明しました。原因は手続きに用いたGoogleフォームの設定を誤ったことによるものです。関係者の方々には、深くお詫び申し上げます。

 

閲覧された可能性がある申請情報の件数：134件（134名分）

期間：2023年9月1日（金）15時頃　～　2023年10月13日（金）17時30分頃

閲覧可能であった個人情報：申請者氏名、学籍番号、学生氏名、学費支弁者氏名

（その他、申請者の属性等について統計データのみの表示が閲覧可能状態でした）

個人情報を閲覧可能であったのは、当該フォームでの申請を完了させた134名の方であり、これ以外に外部から当該の個人情報にアクセスできる状態ではありませんでした。

当該フォームを利用された対象の皆様には、 10月19日に「個人情報が閲覧できる状態になっていたことに関するご報告とお詫び」という文書をお送りいたしました。

今後はこのような事態を起こさないよう、諸手続きに利用するフォームの公開時におけるテスト確認とチェック体制の強化をはかり、再発防止に努めてまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-306】セイコーグループ株式会社 当社サーバに対する不正アクセスに関するお知らせ（第３報）

 

既報〔8月10 日付重要なお知らせ（※1）及び 8月22 日付重要なお知らせ（※2）〕の通り、当社は、当社の一部のサーバに対して、第三者によるランサムウェア攻撃の不正アクセスを受けました。本件につきまして、当社は、対策本部を設置のうえ、外部専門家等の助言を受けながら、原因特定、被害状況の確認等の調査を行い、システム復旧を進めております。引き続き、外部専門家等と連携のうえ、対応を進めて参る所存ですが、現時点で判明している内容につきまして、下記のとおりお知らせいたします。

※1：2023年8月10日付重要なお知らせ｢当社サーバへの不正アクセスについて｣

https://www.seiko.co.jp/information/202308101100.html

※2：2023年8月22日付重要なお知らせ｢当社サーバへの不正アクセスによる情報漏えいについて」

https://www.seiko.co.jp/information/202308221300.html

１．発覚の経緯及びこれまでの対応状況

当社は、2023 年 7 月 28 日、当社の一部のサーバに対する不正アクセスを検知しました。当社は、直ちにデータセンター内にある当社のサーバに対して緊急点検を行い、セキュリティ専門会社に本件不正アクセスの対応に関する支援を依頼しました。その後、当社は、本件不正アクセスはランサムウェア攻撃であったことを把握し、対策本部を設置して被害拡大防止の為、複数の外部専門家への本件不正アクセスへの対応支援を依頼するとともに、被害の全容解明及びシステム復旧等の対応を進めました。また、個人情報保護委員会への報告及び警察への相談も行っております。

当社及びセキュリティ専門会社が入手した情報を精査したところ、下記のとおり、当社、セイコーウオッチ株式会社及びセイコーインスツル株式会社が保有する約 60,000 件の個人データが外部に漏えいしたことを確認しております。

なお、当社は本件不正アクセスを受けた後、外部との通信を遮断し、サーバや各端末の不正な挙動を検知する EDR（Endpoint Detection and Response）の全サーバ及び全 PC への導入を早急に進め、多要素認証等により不正アクセスを防止する措置を講じております。

２． 漏えいを確認した個人データ

• セイコーウオッチ株式会社のお客様の氏名、住所、電話番号、メールアドレス等（クレジットカード情報は含まれておりません）
  
  
• 当社、セイコーウオッチ株式会社及びセイコーインスツル株式会社の取引先ご担当者の氏名、会社名、役職名、会社住所、会社電話番号、会社メールアドレス等
  
  
• 当社及びセイコーウオッチ株式会社の採用応募者の氏名、住所、電話番号、メールアドレス、学歴等
  
  
• 当社及び当社グループ会社の従業員及び退職者の氏名、人事情報、メールアドレス等

３． 今後の対応

当社は、引き続き、外部専門家等の第三者の助言のもと、①IT 機器の脆弱性調査、②情報漏えい範囲の特定、③原因の追究等、本件不正アクセス被害の全容解明を行うとともに、④セキュリティ強化及び監視、⑤IT 運営や体制の見直し、⑥全グループでのガバナンスの強化、⑦BCP（事業継続計画）の見直し、⑧第三者評価の実施等を行い、再発防止に向けた取り組みを進めて参ります。

関係する皆さまには個別に対応を行っておりますが、今後も、新たな漏えいの事実が判明した場合には、可能な限り、追加で個別に対応を進めて参ります。関係する皆さまに多大なるご心配とご迷惑をお掛けすることとなりまして、深くお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-389】富士ソフト 当社の社内システムに対する不正アクセスについて（最終報）

 

9月27日からご報告しています当社社内システムへの不正アクセスに関しまして、第三者機関に協力いただきながら社内にて調査・緊急対策を進めるとともに、随時、関係機関やお客様に対してご報告を行ってまいりました。この度、調査が完了し、調査結果を踏まえて今回の不正アクセスの経緯、原因、再発防止策を下記の通りご報告いたします。

経緯

調査の結果、今回の不正アクセスに関する一連の経緯が判明しました。

1. 攻撃者により一部社員のアカウント／パスワード情報が盗まれました。これを起点に以下の2つの攻撃を受けました。
   
   
2. 攻撃者により6名のアカウント／パスワードが利用されて社外から社内端末に侵入され、これを踏み台に、クラウド上に格納していた20ファイルが閲覧またはダウンロードされました。
   
   
3. 攻撃者によりパートナー会社向け教育サイトへ侵入され、バックドア設置を試行されました。

ただし、速やかに当社SOCにて検知し、CSIRTが遮断したことにより被害を最小限に留めることができました。

影響範囲

今回の不正アクセスにより影響を受けた範囲は、以下の通りです。

• 社員6名のアカウント／パスワードの悪用
  
  
• 社員3名の端末への侵害
  
  
• クラウド上に格納されていた当社作成の20ファイルの攻撃者による閲覧またはダウンロード
  
  
• パートナー会社向け教育サイトへの侵害

上記以外の端末、クラウドリソース、ファイルサーバ、お客様環境、当社標準開発環境、社内システム等については、影響はありませんでした。攻撃者に閲覧またはダウンロードされた20ファイルについては、全てが当社の作業上の資料であり、お客様から受領した資料やお客様に納品する資料は含まれておりません。

原因

当社では、社外からのアクセスは多層防御を行っていますが、一部対応していないシステムが存在しました。また、一部の社員が攻撃者に推測可能なパスワードを使用していました。この二点が重なったことから攻撃者による不正アクセスを発生させてしまいました。

再発防止策

今回の不正アクセスの発見を受け、暫定対処として、多層防御に対応していないシステムへの社外からのアクセスを停止するとともに、全社員のパスワードを強度が高いものへ変更しました。

また、侵害された端末・システムについては遮断・隔離の上、分析を行っており、利用再開に向けては対策を講じて再構築を行います。さらなる対処として、社外からアクセスされる全てのシステムへの多層防御の徹底、および攻撃のモニタリング強化を継続的に図っていきます。

今回の不正アクセスで用いられた攻撃手法の詳細については、これを模倣した攻撃による被害の発生を防ぐために公開を控えさせていただきますが、当社が加入するセキュリティ団体等を通じてセキュリティ関係者に共有を図ってまいります。当社の経験を通し、世の中の不正アクセスからの防衛とセキュリティ強化に貢献してまいります。

この度は、当社社内システムへの不正アクセスに関しまして、関係する皆様にご迷惑とご心配をおかけいたしましたことを心よりお詫び申し上げます。今後、同様の事態を起こさないよう、再発防止に努めるとともに、不正アクセスなどの犯罪行為には厳正に対処してまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-426】公立甲賀病院における個人情報を含む USB メモリの紛失について

令和 5 年 10 月 20 日（金）午前、当院外科医師が所持していた個人情報入り USB メモリが紛失したことが判明しました。このたびの事案が発生しましたことにつきまして、患者さん並びに関係者の皆様に多大なご迷惑をおかけし、市民の皆様の信頼を損ねることになったことに対しまして、深くお詫び申しあげますとともに、個人情報取扱いの仕組みの見直しを含め再発防止に努めてまいります。

1 概要と事実経過

令和 5 年 10 月 20 日（金）午前、外科医師が所持していた個人情報入り USB メモリを院内にて紛失したとの報告が入りました。すぐに本人に聞き取りを行ったところ、10 月 17 日（火）に本人が手術着のポケットに USB メモリを入れたところまでは確認ができました

本人が 19 日（木）に USB メモリのデータを自己研鑽のために使用しようとしたところ、ないことが発覚し、身辺をくまなく探すも発見できませんでした。20 日（金）に本人から外科主任部長を通じて、院長へ報告がされました。

その後、院内において捜索を行いましたが発見には至りませんでした。

23 日（月）17 時時点で情報が漏えいした事実は確認していません。

2 紛失した USB メモリに含まれる個人情報

腹腔鏡手術の録画映像 5 名分（動画開始時には患者さんの氏名と生年月日の表記あり）

3 判明後の対応

令和 5 年 10 月 23 日（月）に、USB メモリに含まれる個人情報の対象となる 5 名の患者さんに謝罪及び経過説明を行いました。

4 原因

手術着に入れた USB メモリが、いつの間にか紛失していたことが直接の原因となります。

5 再発防止について

当院といたしましては、これまでも職員に対して個人情報の管理を指導していたにもかかわらず、このような事案を起こしたことについて深く受け止めております。

すぐさま、再発防止策として動画から個人の特定ができないよう対策を講じました。また、パスワード管理のできる USB メモリの運用整備を視野にいれ、個人情報を適切に取扱いをすること及び個人情報保護に関する規程を点検する等、管理の徹底を指導してまいります。

また、院内で今回の事案を共有するとともに注意喚起を図り、個人情報の管理の徹底と、さらなる意識の向上について指導し、再発防止に努めてまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-425】株式会社東名 お客様情報の一部流出の可能性に関するお知らせとお詫び

この度、当社サーバーへの第三者による不正アクセスを受け、お客様情報の一部流出が発生した可能性があることが判明いたしました。

本件について、現在対策本部を設置し、外部専門家の助言を受けながら、影響の範囲等の調査を進めております。また、警察などの関係機関への相談を開始しております。

被害の全容を把握するにはいましばらく時間を要する見込みですが、現時点で判明している内容について、下記の通りご報告いたします。

お客様、関係先の皆様に多大なるご心配とご迷惑をおかけすることに至りましたこと、深くお詫び申し上げます。今後、同様の事象が発生しないよう、より一層のセキュリティ強化と安全性の確保に努めてまいります。

経緯

2023年 10 月 18 日（水）、当社サーバーへの第三者による不正アクセスを受け、お客様情報の一部流出が発生した可能性があることが判明いたしました。

直ちに、外部専門家の協力のもと調査を開始し、迅速に対応を進めるべく全社対策本部を立ち上げました。

現時点で流出した可能性のある情報

・会社名、氏名

・メールアドレス

・郵便番号、住所

・電話番号

・請求情報（請求金額、使用量など）

※マイナンバー（個人番号）、クレジットカード情報は含まれてございません

関係機関への報告

個人情報保護委員会及び関係省庁への報告を行うと共に、警察への報告・相談を行い、助言を受けて対応をしております。

現在の状況

現時点で当社システムへの被害は確認されておらず、通常通り稼働しております。

今後の対応

お客様情報の一部流出につきましては、引き続き外部専門家や警察と連携のうえ、皆様へのご迷惑を最小限に止めるべく取り組むと共に、個人情報取り扱い業務における管理体制の厳重化を行うことに加え、個人情報委託先に安全管理措置の徹底を依頼するなどして、再発防止に努めてまいります。

業績への影響

本件が当社グループの今期の業績予想に及ぼす影響については現在精査中であり、修正の必要があると判断した場合には速やかに公表いたします。

リリース文（アーカイブ）

【セキュリティ事件簿#2023-416】沖縄県 NTTビジネスソリューションズ元派遣社員による個人情報の不正流出について

１　概要　

沖縄県が、自動車税に係るコールセンター業務を委託した株式会社NTTマーケティングアクトProCXにおいて、同社が利用するコールセンターシステムの保守業者であるNTTビジネスソリューションズ株式会社の元派遣社員が、不正に個人情報を持ち出し流出させていたことが、NTTビジネスソリューションズ株式会社等からの報告により判明しました。

現時点（令和5年１０月１８日）では、沖縄県分の個人情報については、第三者への流出は確認できておりませんが、県民の皆様には、不審な電話や訪問者等にご注意くださるようお願いいたします。

２　漏えいした可能性のある個人情報

自動車税に関する平成２５、２６年度の納税者情報　約6.5万人分※

対象となる納税者情報：氏名、住所、電話番号、生年月日

※　人数については、NTTマーケティングアクトProCX社等の社内調査で得られた電話番号データと、本県が所有する情報を照合することにより、確定する予定。

３　対応

1. 個人情報保護委員会への報告及び本人への通知
   
   
2. NTTマーケティングアクトProCX社等が設置する問い合わせ窓口の周知（下記、４　相談窓口　参照。）
   
   
3. 県税務課等での問い合わせ対応
   
   
4. 県税情報を扱う委託業者への事案共有及び個人情報の管理体制の点検

リリース文（アーカイブ）

【セキュリティ事件簿#2023-424】東京大学大学院総合文化研究科・教養学部への不正アクセスによる情報流出について

東京大学大学院総合文化研究科・教養学部（以下、「当該部局」という）が保有するPCが、標的型攻撃メールによりマルウェアに感染し、調査の結果、PC内の情報窃取の形跡が発見され、情報漏洩した可能性があることが判明いたしました。

上記判明後、漏洩した可能性のある情報の調査を慎重に進めてまいりました。調査結果の概要は以下のとおりです。 ご関係の皆さまには多大なご迷惑とご心配をお掛けすることになり、深くお詫び申し上げます。

本学では、今回の事態を重く受け止め、より一層、情報管理体制の強化や情報セキュリティ対策の適切な管理に努めて参ります。

1．本件発生の経緯

2023年1月18日、標的型攻撃メールの事案を調査していた専門機関からの指摘を受け、当該部局が保有するPC（当該部局所属の教員1名（以下、「利用者」という）が在宅勤務で使用していたもの）が2022年7月19日に受信した標的型攻撃メールによりマルウェアに感染していたことが発覚いたしました。

感染発覚後、当該PCを隔離保全し、同機関ならびに別の専門機関により、PC内の情報漏洩等に関する調査を行いました。調査の結果、2023年5月23日にPC内の情報窃取の形跡が発見され、以下の情報が漏洩した可能性があることが判明いたしました。

2．漏洩した可能性のある情報

(1) 本学教職員、学生、卒業生等の情報（氏名、所属、身分、学年、教職員番号、学生証番号、生年月日、性別、住所、電話番号、メールアドレス、学歴、職歴等のうち1つ以上の情報が含まれるもの）：2,409件

(2) 利用者が在籍する学会会員、学会主催イベント等参加者の情報（氏名、所属、身分、生年月日、性別、住所、電話番号、メールアドレス、学歴・職歴等のうち1つ以上の情報が含まれるもの）：1,082件

(3) 利用者が他大学で非常勤講師等として担当する授業の受講学生の情報（氏名、所属・学年、学生証番号、生年月日、性別、住所、電話番号、メールアドレス等のうち1つ以上の情報が含まれるもの）：796件

(4) 過去の当該部局の学生成績・評価、過去の試験問題：24件

(5) 当該部局所属教員の評価等：30件

3．現在の対応、再発防止に向けた取組み

警察に捜査を依頼すると共に、漏洩した可能性のある情報について、メールアドレスを確認できた方々に対して、当該部局より、謝罪及び経緯説明の連絡を始めており、本件により被害が発生した場合はご連絡いただくよう案内しておりますが、現時点では二次的被害等の情報は確認されておりません。

本学では、情報漏洩したことと併せ、容易にマルウェアに感染したことを極めて重大な事態と認識し、個人情報の取扱いを含む情報セキュリティの確保に関して、本学情報セキュリティ・ポリシーに沿った対応を確実に実施できるよう、全構成員への指導、徹底をさらに強化し、対策に努めてまいります。

リリース文（アーカイブ）