【セキュリティ事件簿#2023-471】株式会社クロックワークス 【映画『カンダハル 突破せよ』感想投稿キャンペーンにおける個人情報の漏洩に関するお詫びとお知らせ】


このたび、当社配給映画『カンダハル 突破せよ』の公式X(旧Twitter)アカウントで実施した【映画『カンダハル 突破せよ』感想投稿キャンペーン】において当選者の個人情報が閲覧できる状況にあったことが判明しました。本件に関する概要につきまして、下記の通りご報告いたします。

ご迷惑をおかけした当選者の皆様には、個別にお詫びのご連絡をいたしました。
お客さまには多大なご迷惑とご心配をおかけしておりますことを、深くお詫び申し上げます。個人情報の適切な管理及び取扱の徹底を行い、再発防止に努めてまいります。

1)個⼈情報漏えいが発⽣した項⽬


当選された25名様のXアカウント名、氏名、住所、電話番号、映画をご覧になった劇場名

※同キャンペーンの当選者33名に対して、11月24日(金曜日)午後3時49分よりダイレクトメッセージで景品送付先に関する情報入力の依頼を行い、11月28日(火曜日)午後2時8分までに入力を行った25名の方の情報が相互で閲覧可能な状態にありました。

2)原因

当社が設置した応募入力フォームにて、Googleフォームの機能である「前の回答を表示」の設定を誤ったことが原因で入力した方の個人情報が閲覧できる状態になっておりました。

3)経緯と対応状況

11月24日
・公式Xアカウントにて、該当の入力フォームを当選者へ随時送付
11月28日
・フォームを入力したお客様から当社公式WEBサイト経由でお問い合わせいただき、ほかのお客様の情報が閲覧できるようになっているとご連絡(この時点までで25名が回答)
・お問い合わせメールを確認し、直ちに第三者が他人の申込情報を閲覧できないよう設定を変更。同様のご指摘を公式XへのDM返信でもいただいていたことを確認。
現在の対応
・当選者様全員に、本件についてのご説明とお詫びのご連絡。
・本お知らせをHPにて公表。

4)再発防止策

・同様の事態が今後発生しないよう、フォーム作成と公開時のルール確立、複数名でのチェック体制の原則化、各社員に対して個人情報保護の重要性をはじめとした教育の徹底など、再発防止策を実施します。

この度の事態についてご指摘いただくまでの長期間、状況を認識できなかったことを重く受け止め、今後の運用体制についても検討・改善してまいります。

改めまして、本件について、多大なるご迷惑とご心配をおかけする事態となりましたことを、心より深くお詫び申し上げます。

【セキュリティ事件簿#2023-472】株式会社レスターホールディングス 当社及びグループ会社サーバーへの不正アクセス発生のお知らせ


当社は、2023年12月5日、当社及びグループ会社のサーバー(株式会社レスターエレクトロニクス、株式会社レスターデバイス、株式会社レスターコミュニケーションズ、株式会社レスターソリューションサポート、株式会社バイテックエネスタ、株式会社バイテックベジタブルファクトリー)が第三者Lockbitと思われるランサムウェアによる不正アクセス(以下当該不正アクセス)を受け社内システムに障害が発生していることを確認いたしました。またお客様への出荷やカスタマーサポートなどにおいても影響が発生していることをご報告いたします。

当該不正アクセスの判明後、被害拡大を防ぐために各種サーバーの停止、外部ネットワークを遮断するなどの対応をしております。現在、当該不正アクセスを受けた内容、原因や経路の究明、情報漏洩の範囲などを外部の専門家の協力を得ながら調査を進めています。

現時点で確認できている情報漏洩の内容は以下の通りです。
ファイルサーバーのフォルダ情報画像2点、株式会社レスターコミュニケーションズのシステム図面4点、その他サンプル画像等8点、計14点

お客様への出荷活動は継続しておりますが、納入遅延など影響が発生する場合には速やかに担当営業よりご連絡させていただきます。お客様ならびにお取引先様、関係者の皆様に多大なご迷惑とご心配をお掛けすることとなりお詫び申し上げます。

今後、公表すべき事項が判明した場合には、速やかに当社ホームページなどでお知らせいたします。

【セキュリティ事件簿#2023-448】株式会社アイテス 当社サーバーへの不正アクセスに関するお知らせと調査結果のご報告


株式会社アイテス(以下「当社」といいます。)は、第三者による不正アクセス攻撃を受けましたこと(以下「本インシデント」といいます。)を2023年10月23日に公表いたしました。

この度、外部専門機関の協力のもと進めてまいりました本インシデントに関する調査が完了し、報告書を受領しましたので、当該調査結果および再発防止に向けた取り組みにつきましてご報告申し上げます。なお、当社は今後も継続的にセキュリティ対策の強化を図ってまいります。

お客様ならびにご関係者の皆様につきましてはご心配とご迷惑をおかけいたしましたこと、深くお詫び申し上げます。

【対応経緯】

 ■2023年10月20日
  当社サーバーへの不正アクセスが発覚。
  同日、外部に接続しているネットワークをすぐに遮断し、外部専門機関へ報告・相談
 ■2023年10月23日
  警察および関係機関への報告を実施
 ■2023年10月23日
  本インシデントに関するお知らせをホームページへ掲載
 ■2023年10月25日
  外部専門機関へ詳細調査を依頼。依頼した調査内容は以下の通り。
   ・不正アクセス被害を受けた可能性のある機器に対する安全性確認
   ・被害を受けた機器のフォレンジック及び各種ログの解析を通した被害の詳細・範囲の分析
   ・侵入経路の調査、及び安全性確認
 ■2023年11月30日
  外部専門機関より調査報告を受領。
 ■2023年12月5日
  調査結果と再発防止策等についてホームページへ掲載

【調査結果】


 1.被害の原因
   調査の結果、攻撃者は当社ネットワークおよびサーバー等へ不正に侵入し、ランサムウェアによるデータ暗号化の侵害をしていたことを確認しました。
   なお、他のPCについてマルウェア感染等の被害は、確認されませんでした。

 2.影響範囲
   外部専門機関による調査では、当社のデータについて、情報窃取およびデータの外部転送等を示唆する明確な痕跡情報は確認されませんでした。

 3.二次被害について
   現時点で本インシデントにかかわる個人情報あるいはお客様情報情報の不正利用は確認されておりません。

【再発防止策について】

 当社では、本インシデントの発生を重く受け止め、再発防止に向けて外部専門機関からのアドバイスを受け以下の対策等を実施します。

  ・脆弱性管理の徹底
  ・強固な認証方式の利用
  ・適切なセキュリティ機能監視体制の整備
  ・インシデントに対する体制整備 等

【セキュリティ事件簿#2023-470】NHK 取材に関する情報の流出について


NHKの記者が、 先月、 取材したインタビューの内容メモなどが、インターネット上に流出したことが分かりました。この内容メモに接することができる人物の中から流出させた者の特定を進めた結果、NNHKの子会社が契約している派遣スタッフが、 きょう、自分が流出させたと認めました。この派遣スタッフは、「 大変なことをしてしまい、申し訳ありません」と話しています。

NHKは、インタビューに協力していただいた方に、お詫びいたしました。

(NHKコメント)
「取材に関わる情報が外部に流出したことは、 取材対象者との信頼関係を損なうだけでなく、NHKに対する視聴者の皆さまからの信頼を損なう、あってはならないことで、深くお詫び申し上げます。 事実関係をさらに調査したうえで、厳正に対処してまいります。また、 管理体制を強化するなど再発防止策をとりまとめ、信頼の回復に努めます」

【セキュリティ事件簿#2023-469】積水ハウス株式会社 システム開発用クラウドサーバーのセキュリティ設定不備によるお客様情報等の外部漏えいについて


弊社が設計業務システムの開発を委託していた BIPROGY 株式会社(以下「BIPROGY 社」)のセキュリティ設定に不備があり、システム開発用クラウドサーバー(以下「当該サーバー」)より、お客様情報の漏えい及び漏えいしたおそれがあることがわかりましたのでお知らせいたします。お客様をはじめ多くの関係者の皆様にご迷惑とご心配をおかけしますことを謹んでお詫び申し上げます。今後は、委託先の情報セキュリティに関する監督強化を行うとともに、個人情報の取り扱いの一層の厳格化に取り組んでまいります。

【経緯及び状況】

  • 当該サーバーには、弊社から提供したお客様情報等が存在していましたが、11 月 6 日、外部からの不審なアクセスが検知されたため、当該サーバーを停止し、調査を開始しました。
  • 調査の結果、BIPROGY 社のセキュリティ設定の不備により、当該サーバーにおいて、11 月 10 日にお客様情報等の漏えい及び漏えいしたおそれがあることを確認しました。
  • お客様情報等の不正利用は現在確認されておりませんが、漏えいの有無も含め、IPROGY 社と共に引き続き調査を行います。
  • 当該サーバーは独立したものであり、弊社におけるその他のシステムに影響はありません。
  • 本件に関しては、弊社より個人情報保護委員会に報告を行っております。
【漏えいが確認されたお客様情報等】
対象範囲 : 2023 年に弊社が取得したお客様情報等
項目 : 
お客様の氏名、建築地住所及び図面 2 件
当該物件を担当した弊社従業員氏名 12 件

【漏えいしたおそれのあるお客様情報等】
対象範囲 : 2001 年から 2023 年の間に弊社が取得したお客様情報等
項目 : 
お客様の氏名及び建築地住所 11,707 件
お客様の氏名のみ 15,682 件
当該物件を担当した弊社従業員氏名 7,184 件

【お客様への対応】

  • 漏えいが確認されたお客様には弊社より連絡をさせていただきました。
  • 漏えいしたおそれのあるお客様につきましては、順次郵送やメール等で弊社よりご連絡をさせていただきます。そのため、ご連絡までにお時間を頂く可能性がございますが、何卒ご容赦くださいますようお願いいたします。
  • 漏えいが確認された及び漏えいしたおそれのある弊社従業員(退職者も含む)に対しても、順次郵送やメール等で弊社より連絡を行います。

【セキュリティ事件簿#2023-383】名古屋芸術大学 学生の個人情報の漏洩の可能性に関するお詫びとお知らせ


学生、教職員の皆様

この度、株式会社ECC(以下、ECCという。)より、名古屋芸術大学が入学前英語テスト他、英検オンラインプラクティスにおいて利用しているECCの学習支援システムサーバーへの外部からの不正アクセスが確認され、個人情報が漏洩した可能性を排除できないことが判明したとの報告がありました。現時点において、個人情報の不正利用などの事実は確認されておりませんが、今回の事態により関係各位に対して多大なご迷惑とご心配をおかけしておりますこと、深くお詫び申しあげます。

1. 本件の経緯


令和5年9月19日(火)にECCから、本学が英検オンラインプラクティスにおいて利用しているサーバーへの不正アクセスを9月12日(火)に確認した旨の通報がありました。その後のECCの調査により、令和5年5月16日(火)以降、複数回の不正アクセスがあり、今年度の英検オンラインプラクティス受講対象者の情報が漏洩した可能性のあることが判明しました。

2. 漏洩の可能性のある個人情報


(1)対象件数:在籍学生586人分

(2)対象項目:①氏名、②大学名、③学籍番号、④受験番号、⑤暗号化済みパスワード※、⑥英検オンラインプラクティス受講情報(受講者のみ)

※ 生年月日を暗号化したデータで、生年月日が流出することはありません。

3. 本件の対応窓口及び調査結果について


ECCからの報告とその後の調査を受け、令和5年10月13日(金)に該当学生に対し、上記2-(2)の個人情報が漏洩した可能性に関するお知らせとお詫びについて配信するとともに、対応窓口として連絡先メールアドレスの指定と、対面での相談機会を設定するなどして調査を開始しました。

そして調査の結果、個人情報を悪用された事実は確認されませんでした。


4. 再発防止策について


ECCにおいて、通信制限などセキュリティ強化を実施し、不正アクセスに用いられたアカウントのID/パスワードにつきましても強固なものに変更するなど再発防止策をすでに講じています。

本学では、今回の事態を重く受け止め、委託先の業者も含め、より一層、個人情報の保護、情報セキュリティ対策の適切な管理に努めてまいります。

【セキュリティ事件簿#2023-468】株式会社大西 不正アクセス発生による情報流出の可能性とお詫びについて


株式会社大西は、当社グループの情報システムに対する2023年7月の外部からの不正な攻撃(以下「本件」といいます。)により当社サーバのアクセス障害が発生し、保存されている関係者の情報が外部に流出した可能性のあることが判明しましたので、お知らせします。このたび、当社や外部機関などによる調査の結果がまとまりましたので、公表させていただくことといたしました。

当社や第三者機関などによる調査の結果、現時点で情報の不正使用などの二次被害は確認されておりません。関係者の皆様におかれましては、多大なご迷惑とご心配をおかけしますことをお詫び申し上げます。

1.流出した可能性のある情報

・グループ各社のお客様にかかる情報(電話番号、住所、事業者名・店名、代表者氏名・担当者氏名、メールアドレスなど)
・グループ各社のお取引先様にかかる情報(受注情報、請求情報、仕入先情報など)

※当社グループのECサイトにおけるクレジットカード情報につきましては、決済代行会社のシステムを利用しているため今回の対象外でございます。

2.事案発生と調査の経緯

当社グループのサーバが2023年7月21日、外部からの不正アクセスを受け、ファイルサーバに脅迫文が置かれた上でファイルの毀損が発生していることを確認しました。

発生直後に初期対応を行うとともに、原因の究明と対策を進めるため、当社グループの情報システム部門と契約するITシステム開発事業者、さらに第三者機関が慎重に調査を実施してまいりました。

このたびまとまった調査の結果 、VPN接続やウェブサーバの脆弱性を悪用して侵入された可能性が高く、管理権限を持つサーバを改ざんされたことで被害が拡大したとみられることが判明しました。

現時点では、当社グループの保有する個人情報を含む各種情報が外部へ流出した痕跡や、外部の攻撃者による当社情報の公開は確認しておりません。また、本件に起因する情報の不正利用など二次被害にかかる報告も受けておりません。

こうした状況も踏まえて、各種情報にかかるデータの外部流出の可能性は極めて低いと考えられます。しかしながら、情報流出の可能性を完全に否定すること、また流出の可能性がある情報の特定については、困難な状況となっております。

3.対応策

調査結果を受けて、システム侵入経路を封鎖するとともに、監視体制の強化をはじめとするセキュリティ対策を講じております。PCスキャンチェックなどを行い、再発防止のための措置を講じております。個人情報保護委員会にも報告しており、対応策について助言を受けているほか、警察にも相談しております。

4.今後の対応

当社グループはこれまでも、不正アクセス防止措置を講じてまいりましたが、今回の事態を重く受け止め、本件にかかる調査結果や外部機関の助言を踏まえた、さらなる管理体制の強化に努めてまいります。

【セキュリティ事件簿#2023-396】個人情報保護委員会 青森県上北郡野辺地町における保有個人情報の取扱いについての個人情報の保護に関する法律に基づく行政上の対応について

 

個人情報保護委員会(以下「当委員会」という。)は、令和5年 11 月 29 日、青森県上北郡野辺地町(以下「野辺地町」という。)における個人情報等の取扱いについて、野辺地町長に対し、個人情報の保護に関する法律(平成 15 年法律第 57 号。以下「個人情報保護法」という。)第 157 条に基づく指導等を行った。

1.事案の概要

本件は、野辺地町健康づくり課において、同課で使用していたUSBメモリ(以下「本件USB」という。)が紛失し、本件USBに記録されていた町民に関する保有個人情報の漏えいのおそれが発生した事案である。

2.漏えいしたおそれのある保有個人情報とその件数

本件により漏えいしたおそれのある保有個人情報は、氏名、生年月日、性別、住所、健康診断結果及び新型コロナワクチン接種履歴等であり、本人数は 12,856 名である(本件が発覚した時点で死亡していた者 547 名を除く。また、健康診断結果が漏えいした本人数は 51 名である。)。

3.個人情報保護法上の問題点

個人情報保護法第 66 条第1項は、「行政機関の長等は、保有個人情報の漏えい、滅失又は毀損の防止その他の保有個人情報の安全管理のために必要かつ適切な措置を講じなければならない。」と規定している。しかしながら、野辺地町では、個人情報等の取扱いについて、以下の問題点が認められた。

(1) 電子媒体等を持ち運ぶ場合の漏えい等の防止の不徹底(物理的安全管理措置の不備)

野辺地町では、本件USBを定められた場所に保管していたものの、当該保管場所の施錠が行われていなかった上、本件USBには、パスワード等によるアクセス制御も行われていなかった。

(2) 個人情報の取扱状況を確認する手段の整備の不徹底(組織的安全管理措置の不備)

野辺地町では、保管場所からのUSBメモリの持ち出し、返却に関する管理台帳を作成しておらず、USBメモリの取扱状況について確認できる適切な手段が整備されていなかった。

(3) 漏えい等安全管理上の問題への不十分な対応(組織的安全管理措置の不備)

野辺地町から当委員会に漏えい等報告(速報)が提出されたのは当該事案の発覚後 28 日目であり、当委員会への速やかな漏えい等報告が行われなかったことから、個人情報保護法第 68 条第1項の規定に則った適正な取扱いがなされておらず、保有個人情報の漏えい等の安全管理上の問題への対応が不十分であった。

4.個人情報保護法第 157 条に基づく指導及び第 156 条に基づく資料提出等の求めの内容

(1) 個人情報保護法第 66 条第1項、個人情報の保護に関する法律についてのガイドライン(行政機関等編)及び個人情報の保護に関する法律についての事務対応ガイド(行政機関等向け)に基づき、必要かつ適切な措置を講ずること。

(2) 既に策定した再発防止策を確実に実施するとともに、爾後、適切に運用し、継続的に保有個人情報の漏えい等の防止その他の保有個人情報の安全管理のために必要かつ適切な措置を講ずること。

(3) 再発防止策の実施状況について、関係資料を提出の上、令和5年 12 月 28 日(木)までに説明するよう求める。

リリース文アーカイブ