【セキュリティ事件簿#2024-292】個人情報保護委員会 メールの誤送信について 2024/7/4

 

個人情報保護委員会事務局において、当事務局が主催する認定個人情報保護団体向けの説明会の開催案内をメールにて送信する際に、誤送信が発生いたしました。

関係者の方々にご迷惑をお掛けしたことを深くお詫び申し上げます。

１ 概要

令和６年７月２日（火）16 時頃に、当事務局主催の認定個人情報保護団体向けの説明会の開催案内をメールにて送信する際に、送信先としていた 96 件のメールアドレスが送信先全員に表示される形でメールを一斉送信していたことが判明しました。

２ メールの誤送信の原因

本件説明会の案内メールを送信する際に、操作を誤り、送信先としていた方々全員のメールアドレスが表示される形でメールを一斉送信しました。

３ 対応状況

同日に、送信先の方々に対してメールにより誤りがあった旨をお伝えしました。その後、送信先の方々に対してメールによりお詫びをお伝えするとともに、最初に送信したメールの削除をお願いしました。

４ 再発防止のための対応

当事務局は、今回の事態を重く受け止め、メール送信時の注意事項について、改めて職員に対して注意喚起を行いました。今後このような事態が発生しないよう、職員に対して個人情報を取り扱う際の留意点や漏えい事案発生時の対応等についての教育を徹底するとともに、外部へのメール送信に当たっては、事前に複数人で確認することを改めて徹底するなど、より厳格かつ適正な個人情報の取扱いに努めてまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-217】富士信用金庫 個人情報漏えいに関するお詫びとお知らせ 2024/7/5

 

平素は格別のご高配を賜り厚くお礼申し上げます。

当金庫が業務委託する外部業者（株式会社東海信金ビジネス）の再委託先業者（株式会社イセトー）において、ランサムウェア感染による一部お客様情報が漏えいしたことが判明いたしましたのでお知らせいたします。

お客様には多大なご迷惑とご心配をおかけいたしますこと誠に申し訳なく、深くお詫び申し上げます。本件の経緯および今後の対応について下記の通りご報告いたします。

１.経緯

５月２６日にお客様向けハガキ帳票作成を再委託しているイセトーが利用しているサーバがランサムウェアに感染していることが発覚し、サーバ内の情報が暗号化される被害が発生しました。

イセトーでは感染が疑われるサーバ、ＰＣ、ネットワークを遮断して調査を開始し、６月２６日にイセトーから東海信金ビジネスに対し、個人情報漏えいの可能性がある旨の第一報がありました。このため、両社において更に確認作業を進めた結果、７月１日に漏えいした個人情報が特定され、一部のお客様において個人情報の流出があることが判明したものです。

２.漏えいの可能性のある情報

（１）個人情報の項目

氏名、金融機関コード、支店コード

（注）対象はダイレクトメール作成時に出力されるログデータ上の氏名、金融機関コード、支店コードであり、ダイレクトメールの内容の漏えいはございません。

（２）対象顧客人数

１,２４５件

３.今後の対応

本件については、現在再委託業者において調査を継続中ですが、本件の事故発生を厳粛に受け止め、委託先及び再委託先の管理を含め、より一層の管理体制の強化に努めるとともに、不正アクセスなどの犯罪行為には厳正に対処してまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-290】新日本製薬株式会社 当社サーバーへの不正アクセスについて 2024/7/5

 

当社は、2024年6月6日付「当社サーバーへの不正アクセスについて」にて公表いたしましたとおり、当社サーバーに保管されていた業務関連データ等の一部が暗号化されるなどの、第三者からのランサムウェアによる不正アクセス攻撃を受けました。不正アクセスを確認後、速やかに対策本部を設置、外部専門機関の協力を受け、原因究明や被害状況の調査を進めてまいりました。

現時点で確認された事実として、当社サーバーに保管されていた業務関連データの外部への漏洩は確認されておりません。また、第三者の侵入経路、および今回の不正アクセスにより影響を受けたサーバー等の特定を完了し、これらについての再発防止策を実施しております。引き続き、対策本部のもと被害の全容解明および再発防止に総力を上げて取り組んでまいります。 

なお、当社の事業に関わる全ての業務は通常通り稼働しており、今後もセキュリティ対策の強化を進め、安全を確保した上で継続してまいります。

お客さまや関係者の皆さまには、多大なるご不安、ご心配をおかけし、改めて深くお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-288】国立研究開発法人宇宙航空研究開発機構 JAXAにおいて発生した不正アクセスによる情報漏洩について 2024/7/5

 

宇宙航空研究開発機構（JAXA）において昨年発生した不正アクセスによる情報漏洩への対応状況について、以下のとおりお知らせいたします。

昨年10月、外部機関からの通報に基づき、JAXAの業務用イントラネットの一部のサーバに対する不正アクセス（以下、「本インシデント」といいます）を認知しました。その後速やかに不正通信先との通信遮断等の初期対応を実施しつつ、専門機関及びセキュリティベンダー等とも連携して調査を行い、事案の解明、対策の策定及び実施に取り組んできました。本インシデントの概要は別紙のとおりですが、その中で、JAXAが管理していた情報の一部（外部機関と業務を共同で実施するにあたっての情報及び個人情報）が漏洩していたことを確認いたしました。

本インシデントについて、関係する皆様には多大なるご迷惑をお掛けしましたこと、深くお詫び申し上げます。

本インシデントで漏洩した情報については、相手方との関係もあることから詳細は差し控えさせていただきますが、情報が漏洩したご本人・関係者の皆様には個別に謝罪及びお知らせを行いました。現在のところ、関係者の皆様の事業活動に著しい支障が生じているという報告はありませんが、皆様に多大なご迷惑をお掛けしたことは大変遺憾であり、改めてお詫び申し上げます。

また、本インシデントにより、国内外の関係機関との協力を含め、事業遂行が困難になるようなことは生じていないと認識していますが、JAXAとしては信頼関係を損ないかねない事案として重く受け止めており、再発防止に向けて対策を強化してまいります。

なお、今年に入って複数回の不正アクセスが発生していますが、これらによる情報漏洩はないことを確認しています。昨年のインシデントを含めて、これらはいずれもVPN機器を狙ったものであることを確認しています。

JAXAとしては、脆弱性対応を迅速に行うための体制整備等の短期的対策及び更にセキュリティを強化するための恒久対策の策定を既に実施済です。現在、恒久対策の具体化を順次進めており、引き続き情報セキュリティ対策を一層強化していく所存です。

1. JAXAの対応状況

JAXAは、外部機関からの通報を踏まえて、攻撃元との通信遮断及びサーバ等のJAXAのネットワークからの切断など初期対応を速やかに実施しました。その上で、セキュリティベンダーによる侵害痕跡の調査、攻撃対象サーバ及び端末の詳細調査（フォレンジック調査）等を実施し、マルウェアを発見・除去したほか、内部通信の強化など、想定されるリスクに対する緊急対策を実施しました。

また、調査の過程で、Microsoft365（以下、「MS365」といいます）に対する不正アクセスの可能性が確認されたことから、Microsoft社の専門チームによる調査を実施し、更なる侵害が発生していないことを確認しました。

これらの対応を実施するにあたっては、警察、一般社団法人JPCERTコーディネーションセンター、独立行政法人情報処理推進機構（IPA）などの専門機関と連携し、不正な通信先の情報や使用されたマルウェア情報などを報告・共有して進めております。

2. 侵害範囲

初期調査、セキュリティベンダー及びMicrosoft社による調査並びにJAXAによる分析を踏まえ、本インシデントに関する主な侵害範囲を以下の通り明らかにしました。なお、侵害の過程では、未知のマルウェアが複数使用されていたことが確認されており、侵害の検知を困難にしておりました。

①第三者がVPN装置の脆弱性を起点にJAXAの一部のサーバ及び端末に侵入。先だって公表された脆弱性が悪用された可能性が高い。

②侵入したサーバからさらに侵害を広げ、アカウント情報等を窃取。

②窃取したアカウント情報等を用いて、MS365に対して正規ユーザを装った不正アクセスを実施。

3. 流出した情報

本インシデントにより、侵害を受けたJAXAの端末・サーバに保存されていた一部の情報（JAXA職員等の個人情報含む）が漏洩した可能性があります。また、MS365上でJAXAが管理していた情報の一部（外部機関と業務を共同で実施するにあたっての情報及び個人情報）が漏洩したことを確認しております。関係する方々には既に個別にご説明及び謝罪を差し上げております。なお、本インシデントで侵害を受けた情報システムやネットワークにおいては、ロケットや衛星の運用等の機微な情報は扱われておりません。

4. 対策

本インシデントを受けて、脆弱性対応を迅速に行うための体制整備や内部通信ログの監視強化等の短期的対策を実施しました。加えて、更にセキュリティを強化するための恒久対策を検討し、エンドポイントを含めたネットワーク全体の更なる監視強化、外部からの接続方法の改善、運用管理の効率化・可視化、なりすまし対策の強化等の対策を策定しました。現在、これらの対策の計画の具体化をはかっているところです。

なお、上記の対策を進め監視を強化している中で、本年1月以降、複数回の不正アクセスを確認しました（その中には、ゼロデイ攻撃によるものも含まれます）が、情報漏洩等の被害が発生していないことを確認しました。

5. 今後の取組

サイバー攻撃がますます高度化し、攻撃も対策も常に進化し続ける中、JAXAは中核的宇宙開発機関として、迅速・的確なセキュリティ対応が求められていることを強く自覚し、本インシデントを受けた短期的対策及び恒久対策を着実に実施していく予定です。今後も専門機関を含めた関係機関と連携し、情報セキュリティを今後一層強化してまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-217】豊田市 委託業者サーバー等のランサムウェア感染に伴う個人情報の流出について 2024/7/4

 

豊田市から納税通知書などの印刷業務を受託している株式会社イセトー（本社：京都府京都市。以下「同社」という。）において、ランサムウェアの被害が発生し、本市の納税者等の個人情報が流出したことが判明しました。

なお、現時点において、個人情報が悪用されたとの報告は受けていません。

不審な電話や郵便物等があれば、最寄りの警察署にご相談ください。

判明日

令和6年7月2日（火曜日）

流出した個人情報

• 対象者数（同社の報告を受け、豊田市で推計をしたもの）
  延べ約42万人
  
  
• データ（通知書等）の名称
  市県民税、軽自動車税、固定資産税、都市計画税及び国民健康保険税の各納税通知書、市営住宅使用料等納付通知書、介護保険料納入通知書等、後期高齢者医療保険料納入通知書、新型コロナ予防接種券、非課税世帯等給付金確認書、子育て世帯臨時特別給付金申請書
  
  
• 上記に含まれる個人情報
  氏名、住所、税額、生年月日、保険料、口座情報等
  （備考）口座情報についてはマスキング済みのもの。個人番号、電話番号は含まれていない。

経緯

• 令和6年5月26日（日曜日）
  同社において複数のサーバー、PC端末がランサムウェアの被害を受ける。
  
  
• 令和6年5月29日（水曜日）
  同社から本市に関する個人情報の流出はないとの報告が入る。
  
  
• 令和6年6月18日（火曜日）午前11時
  同社がインターネット上で個人情報を含むデータの流出を確認。
  
  
• 令和6年7月2日（火曜日）午後4時
  同社から本市に個人情報を含むデータが流出したとの報告が入る。

流出の原因

同社からの報告によると、各通知書等に係るシステム改修用データ等について、同社の担当者が本来業務終了後消去するべきところを消去せず、当該データが流出した。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-287】ミント神戸 Googleフォーム設定ミスによる個人情報漏えいについて 2024/7/4

 

224年7月4日に発信したGoogleフォーム設定ミスによる個人情報漏えいに関し、以下の通り、お知らせいたします。

本件につきましては、関係者の皆さまに多大なるご迷惑とご心配をおかけする事態となりましたことを、心より深くお詫び申し上げます。

概要

下記フォームのGoogleフォームの設定ミスにより、お客様の情報が閲覧できる状態となっておりました。

・映画『インサイド・ヘッド２』特別試写会40組80名様をご招待！応募専用フォーム

原因は、ご応募の方法として用いておりましたGoogleフォームの設定が不十分であったことによるものです。該当されるお客様をはじめ、関係者の方々にご迷惑をおかけいたしましたこと深くお詫び申し上げます。

現在、閲覧可能な状態は解消されております。

弊社対応

事態判明後、対象となるお客様へ個別の電話と電子メールにて、事態のご説明とお詫びの連絡を行っております。

また弊社がGoogleフォームで運用している全てのWEBフォーム受付を再確認し、同様の設定ミスはなかったことを確認しております。

再発防止

再発防止に向けて、個人情報の収集および管理の際に厳守すべき事項を、改めて社内に周知徹底してまいります。

また今後も継続的に個人情報保護および情報セキュリティ教育を徹底し、情報管理への感度の引き上げを図り、再発防止に努めて参ります。

重ねてお詫び申し上げますとともに、今後ともご愛顧を賜りますようお願い申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-286】特定非営利活動法人日本ネットワークセキュリティ協会 SECCON CTF for Girls において発生した 個人情報が第三者から閲覧可能になっていた事象についてのお知らせとお詫び 2024/6/26

 

特定非営利活動法人日本ネットワークセキュリティ協会は、SECCON実行委員会が主催するイベントであるCTF for Girlsにおいて、イベント参加申込サイトにアクセスしたユーザ全員が、申込者情報の個人情報が閲覧可能な状態となっていた事象が判明しましたのでお知らせいたします。

本件につきまして、以下の通り報告いたしますとともに、ご関係者の皆さまに多大なるご迷惑とご心配をおかけする事態となりましたことを、心より深くお詫び申し上げます。

なお、当事象については、運用設定時の人為的ミスによるものであり、外部からの攻撃等によって発生したものではございません。また、2024年6月24日現在において、当該個人情報の不正利用は行われておりませんが、問合せ窓口を設けており、二次被害や不正利用が発生した場合は速やかに対応してまいります。

■発生した事象と対応

2024年5月31日14時46分に公開したSECCON実行委員会が主催するイベントCTF for Girlsにより運営されたイベント Kunoichi Cyber Game予選会の申込サイトにアクセスした者が、予選会申込の編集用ページにアクセスできる状態であり、2024年5月31日14時46分から6月19日13時19分までの間、予選会申込者の個人情報が閲覧可能な状態となっていた。

本件の時系列は下記のとおりとなります。

- 2024年5月31日14時46分：受付を開始（予選会申込サイトのフォーム公開）

- 2024年6月15日14時37分：予選会申込サイトの受付終了処理を実施

- 2024年6月19日 9時36分：外部からの指摘により事象が発覚

-2024年 6月19日 13時19分：予選会申込サイトフォームの権限変更し、外部から閲覧出来ないことを確認

-2024年 6月20日12時56分：参加者に対する謝罪および対応状況の連絡の実施

■閲覧可能な状態になっていた情報

件数：Kunoichi Cyber Game予選会申込サイトを利用した26名

（閲覧可能になっていた情報）

・氏名（ローマ字）

・メールアドレス

・Beginners CTF（同主催の別のイベント） で登録したチーム名

・国籍(日本国籍か否か)

・国内在住か国外在住か

・2024年11月15日時点で18歳以上～30歳未満か否か

・予選通過の場合、通過者に参加が認められるイベントCODEBLUE(2024年11月14日と2024年11月15日)に両日参加可能か

・予選通過の場合、チームメンバと協力して準備が進められるか

■原因

予選会申込サイトに利用したGoogleフォームのアクセス範囲・編集権限を「リンクを知っている全員」と設定したことが原因となります。

本設定により、Googleアカウントにログインした状態で、予選会申込サイトのフォームにて閲覧・回答を行ったGoogleユーザが、自身のGoogleアプリからGoogleフォームに移動した際に、「最近使用したフォーム」の欄に予選会申込サイトのフォームが表示され、申込者の情報が閲覧可能な画面に遷移が可能となっておりました。

■影響範囲

・Googleフォームから申込者の情報を大会主催者以外の者がダウンロードしたログはございません。

・現在のところ当該個人情報が不正に使用された事実は確認、報告されておりません。

・予選会申込サイトのフォームの操作ログを調査した結果、予選会の結果に影響するような操作は行われていませんでした。

■対応について

2024年6月20日より、本イベントの参加登録者全員に対し謝罪および対応状況の連絡を実施しております。

2024年6月24日に個人情報保護員会へインシデント発生の報告書実施いたしました。

 今後は、以下の対応を徹底し、再発防止に努めてまいります。

・Googleフォームのアクセス範囲・権限を「リンクを知っている全員」が設定できないようにポリシーにて強制する

・関係者間でGoogleフォームを共有する際は、関係者のアカウントからのみアクセスを許可する運用とする

・Googleフォームが適切な権限設定になっているか、また想定通りの挙動をしているかを、フォーム作成時に都度確認する

リリース文（アーカイブ）

【セキュリティ事件簿#2024-217】株式会社伊予銀行 業務委託先での不正アクセスによるお客さま情報の漏えいについて 2024/7/3

株式会社伊予銀行（以下、当行）がお客さま向け各種帳票の作成・発送業務を委託しております株式会社イセトー（京都市中京区）（以下、イセトー社）より、イセトー社がランサムウェア（※）に感染したとの報告を 2024 年 5 月 27 日に受けました。本報告では、当行の委託業務に関する情報漏洩は発生していないとの説明を受けておりましたが、2024 年 6 月 25 日に改めてイセトー社より報告があり、当行のお客さまの情報が漏洩した事実が確認されたとの説明を受けました。

本情報漏洩は、イセトー社内の受託業務処理の作業工程において発生したものであり、現在、同社において漏洩情報の特定に向けて捜査機関や外部専門家により調査を進めております。なお、ランサムウェア被害があったイセトー社のネットワークと当行のネットワークは接続していないため、当行のネットワークに影響はございません。

今後の調査で新たにお客さまへのお知らせが必要な内容が判明した場合には、速やかにご報告いたします。

お客さまには、ご心配とご迷惑をおかけいたしますことを深くお詫び申し上げます。

なお、現時点において、当行のお客さまの情報が悪用されたという報告は受けておりませんが、氏名、住所、電話番号、口座番号、取引金額等の情報が漏洩している可能性があります。これらの情報を利用した電話・郵便物等による勧誘や詐欺には十分にご注意いただき、不審に思われた場合には、下記窓口および最寄りの警察にご相談いただきますようお願いいたします。

また、イセトー社では、当行委託業務を処理するネットワークの安全性を十分に確認のうえ、業務を再開しておりますので、お客さま向け各種帳票の作成・発送業務には影響ございません。

リリース文（アーカイブ）