本年 4 月 22 日に、弊社アルバイトが業務上知り得た個人情報（２名分）の一部を不正に漏洩するという事案が発生いたしました。被害者様をはじめ関係者の皆様には多大なるご迷惑とご心配をお掛けし、深くお詫び申し上げます。
弊社は、個人情報保護のための社内体制を構築し、その指導管轄の下アルバイトを含むスタッフ全員に就業前研修を実施しており、以降、年に一度の研修を義務化する等、日頃より個人情報について厳格な取り扱いを徹底して参りましたが、今回このような事態を発生させたことを大変重く受けとめております。
再発防止に向けて改めて個人情報管理体制を見直すとともに、スタッフ全員に対して再教育を徹底いたします。
このたび、本学教務システムにおいて、学生・教職員の個人情報が利用者の権限を越えて閲覧・取得できる状態であったことが判明いたしました。直ちにアクセス制限に関する対策を講じましたが、関係の皆さまにご心配とご迷惑をおかけしたことについて深くお詫び申し上げます。今後、このような問題が発生しないよう情報セキュリティに関するチェック体制の強化等、再発防止に努めてまいります。
令和６年２月２９日に本学学生から教員へ報告があり、委託業者が構築した教務システムと連携するアプリを開発する過程で、学生の権限では閲覧できない個人情報を表示させることが可能となっていることが判明し、当該事象を把握することができました。翌日、当該教員が大学へ報告を行い、直ちにアクセス制限を実施しました。その後、教務システムを改修しアクセス制限を解除いたしました。なお、現時点で本学の情報システムから情報が外部に流出したという形跡や被害の報告がないこと、並びに、システムの不具合等が発生していないことを確認しております。
・教職員情報（教職員コード、教職員名）：４８８件（退職教職員を含む）
・卒業生情報（学籍番号、漢字氏名）：６，１２０件
・学納金納付者情報（納付者名（学生漢字氏名）、納付者番号）：１１，４２５件
・入試合格者学納金納付者情報(納付者番号、受験番号、受験者漢字氏名、入学年度)：最大１００件
※いずれも、電話番号、住所、生年月日、性別等の個人情報は含まれておりません。
教務システムパッケージの脆弱性により、教務システムへのログイン権限を持つユーザが、教務システムへのログイン用ウェブサイトへログインし、その際に利用したウェブブラウザを閉じずに、教務システムのプログラムコード等を解析して得たURLを直接指定してウェブブラウザで呼び出すことで、教務システムとの連携機能が実行され、特定の情報への閲覧権限のないユーザでも、データを閲覧することが可能となっておりました。
定期的にシステムの評価・検証を行う体制を構築するとともに、個人情報の取り扱いを含めた情報セキュリティの確保について、改めて委託業者、本学構成員に対し周知徹底し、情報セキュリティに対する取り組みを強化してまいります。
当社が管理する社内用ポータルサイトが、クラウド環境の誤設定により公開状態となっており、ポータルサイト上で管理しているお客様情報及び当社従業員の情報を含む個人情報が外部からアクセス可能な状態となっていたことが、2024年5月15日に判明いたしました。本件判明後、速やかにポータルサイトの非公開設定を行うとともに、ポータルサイトに紐づく関連システムのパスワードを変更する措置を実施いたしました。
現在、原因究明に向けて調査を継続して実施しておりますが、本日時点で判明している事項についてお知らせいたします。
お客様ならびに関係者の皆様には大変なご迷惑、ご心配をおかけいたしますことを、心よりお詫び申し上げます。
本日時点で把握している事項は以下のとおりです。
・対象となる個人情報：お客様の氏名、住所（転居情報）、電話番号、メールアドレス、生年月日、性別、当社商品の購入履歴、お問い合わせ内容、職業、婚姻歴
・対象となるお客様の人数：最大で約42400名
・対象となる個人情報：当社従業員の氏名、顔写真
・対象となる当社従業員の人数：最大で75名
最長で2023年8月2日～2024年5月15日
本件については、すでに個人情報保護委員会に報告をしており、本日より、対象となるお客様には、お知らせいただいているメールアドレス、お電話番号またはご住所宛に、順次、個別にお知らせをさせていただきます。加えて、お客様からのご質問やご不安などにお答えするため、専用の相談窓口を設置いたします。
また、対象となる当社従業員につきましても、社内で説明会を実施いたします。
今後は、原因究明に努めるとともに、個人情報を取扱う上での管理体制をより一層強化するなどの再発防止策を実施してまいります。なお、現時点で不正アクセスが原因である可能性は低いと考えております。
不正アクセスによる「乗っ取り被害」を受けておりました、ヒマラヤ公式X（旧ツイッター ）アカ ウン ト（@HimarayaSports）が、復旧しましたことをご報告いたします。
不正アクセス発覚後、X 社と復旧に向けて取り組んでおりましたが、2024年5月2日（木）に復旧に至りました。
その後、ポストやダイレクトメッセージ等を確認し、被害状況調査ならびにセキュリティ強化の実施を行ったうえで、無事運用できることが確認できましたので、本日2024年5月9日（木）より運用を再開いたします。
なお、当アカウントが保持する情報を全て確認したところ、個人情報に該当するものは含まれておりませんでした。
今後はさらにセキュリティを強化し、安全性を高めて運用してまいります。
また本件を受けまして、弊社が運用している他の SNS アカウントにつきましても同様にセキュリティの強化を実施いたしました。ご利用の皆様に各 SNS を安心して楽しんでいただけるよう、今後も努めてまいります。
このたびは皆様に多大なるご迷惑・ご心配をおかけし、深くお詫び申し上げます。
【2024年4月24日リリース分】
YouTubeにおいて公開されていた動画に本学医学部附属病院（以下「附属病院」という。）の電子カルテの入院患者一覧画面が映っており、42名の患者様の個人情報（漢字氏名、カナ氏名、患者番号、診療科、入院日等）が、当該全動画10分3秒のうち6秒間、公開されている状態となっておりました。
当該動画は附属病院が使用している製品の導入事例紹介動画で、附属病院同意の上、製品を開発した会社が作成し、令和５年11月23日から同社公式YouTubeチャンネルにて公開されていたものです。電子カルテの入院患者一覧画面映り込みの原因は、当該動画作成時にチェックをした際、患者様の個人情報が映ってしまっていることを見落としたことにあります。このことが令和６年４月23日に判明いたしましたので、直ちに本学より同社に動画公開停止を依頼し、同日中に動画の公開を停止しております。
42名の患者様はもとより、御家族、関係者の皆さまに深くお詫び申し上げます。
本学はこれまでも教職員並びに学生に個人情報の取り扱いに対する研修、指導を行ってまいりましたが、本件を受けて、改めて個人情報の厳正な管理、情報セキュリティの指導を徹底してまいります。
また、個人情報漏えいした可能性のある患者様には、個別に状況説明と謝罪をさせていただいております。
なお、これまでに本件の個人情報が不正に使用された事実は確認されておりません。
株式会社北洲（以下「当社」といいます。）は、第三者による不正アクセス攻撃を受けましたこと（以下「本インシデント」といいます。）を2024年3月15日に公表いたしました。
この度、外部専門機関の協力のもと進めてまいりました本インシデントに関する調査が完了しましたので、当該調査結果および再発防止に向けた取り組みにつきましてご報告申し上げます。なお、当社のシステムは現時点でほぼ復旧しており、今後も継続的にセキュリティ対策の強化を図ってまいります。
お客様ならびにご関係者の皆様につきましてはご心配とご迷惑をおかけいたしましたこと、深くお詫び申し上げます。
外部専門機関による詳細な調査の結果、社内データが外部に持ち出された痕跡並びに情報流出の事実は確認されませんでした。また、本件の被害に遭った機器以外のマルウェア感染等の被害も確認されませんでした。その他、外部において不正に公開されている事実や二次被害についても現時点において確認されておりません。
以上の外部専門機関の見解を踏まえ、当社といたしましては、社内データが外部に持ち出された可能性は極めて低いものであると判断しております。
一方で、攻撃者によって開かれた可能性のあるファイルが一部あることを確認しています。開かれた可能性のあるファイルには延べ34,902名分の個人情報を含む取引情報が含まれております。
以上の調査結果から本インシデントは、個人情報保護法の定める「個人情報流出のおそれ」の事案として結論づけております。
攻撃者により外部に持ち出された可能性を示す痕跡等は確認されなかったものの、個人情報を含むファイルが不正に開かれた可能性のある方には、個別にお知らせを行い、専用窓口にて二次被害の疑いなどに関するお問い合わせに対し、誠心誠意対応をして参ります。
当社サーバへの不正アクセスが発覚。
同日、外部に接続しているネットワークを即座に遮断し、外部専門機関へ報告・相談を実施。
以降、ネットワーク遮断の状況から被害拡大のリスクが最小となったことを確認し、専門機関による初動調査に移行。
専門機関の初動調査の速報により、外部からの悪意ある攻撃による被害であることを確認。
宮城県警察本部サイバー犯罪対策課への通報及び関係機関への報告を実施。
外部専門機関へ詳細調査を依頼。依頼した調査内容は以下の通り。
・不正アクセス被害を受けた可能性のある機器に対する安全性確認
・被害を受けた機器のフォレンジック調査及び各種ログの解析を通した被害の詳細・範囲の分析
・侵入経路の調査、及び安全性確認
宮城県警察本部 被害届受理。サイバー犯罪対策課による捜査を開始。
同日、本インシデントに関するお知らせをホームページへ掲載
外部専門機関より調査報告を受領。報告内容から社内データが外部に持ち出された可能性は極めて低い一方、一部のファイルが開かれた可能性があることを確認。
今後の再発防止策等について外部専門機関からのアドバイスを受け対策を実施。
調査結果と再発防止策等についてホームページへ掲載
今回の被害を受け、次の再発防止策を実施しております。
当社は、不正アクセスを受けたことを重く受け止め、セキュリティ体制を強化し、
再発防止に向けて総力を挙げて取り組んでまいります。
今後、お知らせすべき事実が判明した際には、改めてホームページ等にて公表いたします。本件により関係する方々に多大なるご心配をおかけすることを深くお詫び申し上げます。
都立小石川中等教育学校において、個人情報の漏えいが発生しました。
関係の皆様には、多大な御迷惑をお掛けしましたことを、深くお詫びを申し上げます。今後、再発防止を徹底してまいります。
同校主任教諭が、令和6年4月3日（水曜日）にMicrosoft Teams（以下「Teams」という。）にアップロードした同校生徒151名分の進路アンケート調査結果が、令和6年4月5日（金曜日）現在、閲覧できる状態となっていた。
(1) 確認日 令和6年4月5日（金曜日） 午後4時30分頃
(2) 閲覧できる状態となった個人情報
151名分の進路アンケート調査結果（クラス、名前、文理の志望の別、第一志望大学（国公立か私立か）、第一志望大学から第三志望大学までの大学名、学部、学科名、マーク模試で受験する科目、記述模試で受験する科目）
(1) 令和6年3月13日（水曜日）、同主任教諭は、令和6年5月に実施予定である外部模試の受験に際して必要となる進路情報を収集するため、5年生の全生徒に対して、教員及び生徒共有のアカウントで、Microsoft Formsにより回答する進路アンケートを実施した。
(2) 令和6年4月2日（火曜日）、同主任教諭は、教員及び生徒共有のアカウントで、同アンケートを集計してExcelファイルを作成し、同ファイルを保存するとともに、他の担当教員に送信した。
(3) 令和6年4月3日（水曜日）午後2時30分頃、同主任教諭は、Teamsに同ファイルをアップロードした。
(4) 令和6年4月5日（金曜日）午後4時30分頃、生徒のうちの1名が、同アンケート調査結果が閲覧できる状態であることに気付き、別の教員に相談したことから、事実が発覚した。
※ 学校からは、同アンケート調査結果を閲覧した生徒がいないことの報告があった。
令和6年4月5日（金曜日）午後5時頃、同教員から連絡を受けた同主任教諭は、情報拡散を防止するため、Teamsにアップロードされている同ファイルを削除した。
現在のところ、同ファイルの外部への流出等、二次被害等の報告は受けていない。
(1) 令和6年4月16日（火曜日）、該当の生徒・保護者に対し、経緯の説明と謝罪を行った。
(2) 同月17日（水曜日）、全学年保護者に対し、経緯の説明と謝罪を記載した通知文を発出した。
今後、個人情報を厳正に管理するとともに、教職員に対して情報セキュリティの教育・指導を徹底していく。また、Teamsの適正な運用について、指導を徹底していく。
全都立学校長に対しても、個人情報の取扱い等について再度周知徹底を図っていく。