本市では、配水管やお客様の引込み管等の情報を管理するシステムについて、運用業務を水道マッピングシステム株式会社に委託しております。
令和6年7月17日に同社から、再委託先である東京ガスエンジニアリングソリューションズ株式会社のネットワークが外部から不正アクセスを受け、お客様に関する情報が閲覧可能な状態になっていたとの報告があり、情報流出の可能性があることが判明しました。
なお、不正アクセス確認後、速やかにネットワークの外部からの接続遮断を行い、令和6年7月19日時点で個人情報の不正利用等は確認されておりません。
(1)年度 令和5年度
(2)件数 88,627件
(3)データ項目 お客様番号、水栓番号、使用者漢字氏名、水栓所在地、水栓所在地方書、使用水量、使用状況、口径、メーター設置年月日
委託業者に対し、個人情報の厳正な管理や情報セキュリティ指導の徹底について、再度指導・監督を行い、再発防止に努めてまいります。
宇部市水道局の業務委託先である東京ガスエンジニアリングソリューションズ株式会社のネットワークが外部からの不正アクセスを受けたことが判明しました。
同社は、不正アクセス確認後、外部との接続を遮断し、それ以降の不正なアクセスができないよう対策を講じられています。
お客様情報などの個人情報の流出の可能性については、現在その痕跡は、確認されておらず、また、情報が不正利用された事実も確認されていません。
お客様には、ご心配をおかけしておりますことを深くお詫び申し上げます。
今後、新たな事実が判明した場合は、改めて報告いたします。
水道施設情報管理システム（マッピングシステム）の保守・管理
※このシステムは、水道管などの施設情報を電子化し一元管理するものです。
使用者名、住所、水栓番号
なお、電話番号、金融機関口座情報は、含まれておりません。
クラウドストライク社は、自社が提供するEDR製品のアップデートをしくじり、顧客のPCにブルースクリーンを発生させ、導入企業の業務遂行を妨害した。
ある意味、サプライチェーンリスクが発生した典型的な事例。
メーカーを信じて自動アップデートを行っているのに、こういうことをされると自動アップデートは怖くてできなくなる。
導入企業は自動アップデートを有効にしてセキュリティベンダーによる業務妨害のリスクにおびえるか、手動アップデートに切り替えてハッカーによる攻撃リスクにおびえるかのイヤな二択を迫られることになる。
導入しているのは事例を晒している企業を中心に以下の通り。
この度、ウェブサイト「リマコミ＋」において、システム設計上のミスにより ID 識別の不具合が生じました。これにより、一部のお客様のアカウントに第三者の方がログインしてしまう状況が発生し、メールアドレス等が、他の方に閲覧された可能性があることが判明いたしました。なお、閲覧された可能性のあるお客様全員に、すでにメールにてお詫びとご連絡を差し上げました。
関係する皆さまに多大なるご迷惑をおかけしましたことを深くお詫び申し上げます。
本件についての詳細は以下の通りです。
157 件
（うち 5 件はクレジットカード名義を含む）
2024 年 6 月 25 日 12:00～7 月 4 日 14:40 頃
・ニックネーム
・アイコン（設定されていた場合）
・My 本棚（閲覧履歴・お気に入り・レンタル履歴・いいね履歴）
・コイン履歴
・登録されたクレジットカードの下４桁/有効期限/名義
※第三者によるクレジットカードの使用は発生しておりません。
※有償コインが第三者によって使用できる状況にありましたが、そのような使用の有無にかかわらず、該当するお客様には、有償コインの購入代金を全額返金する対応をいたしました。
ウェブサイト開発時の ID 識別システム設計ミス
スタッフ全員に対して、情報セキュリティに関する意識を高めるとともに、適切な管理体制の徹底をはかり、再発防止に努めます。
このたび、本学学生・卒業生のみが利用できるソフィアメールシステム(以下本システム)において、ログインした在学生・卒業生が、同一グループ内の個人情報（学生氏名と学生番号を含んだアカウントID）を互いに閲覧できる状態であったことが判明しました。既に設定を変更し、閲覧できない状態としております。なお、パスワードの流出はありません。
学生・卒業生及びご父母・保証人の皆様、そして関係者の皆様に大変なご迷惑とご心配をおかけすることとなり、深くお詫び申し上げます。
2024年6月19日（水）に、本学学生から情報システム室サポート窓口宛に、本システムにおいて一定の手順を踏むと、他の学生の個人情報（氏名・学生番号を含んだアカウントID）が閲覧可能な状態にあるとの連絡が入りました。翌6月20日（木）に本システムのサポートベンダー等に事実関係や原因、対処方法について問合せをいたしましたが、事象の解消に至りませんでした。
その後、2024年7月8日(月)に、システム上の設定の漏れを確認し、対処いたしました。 また、7月11日(木)に別管理ツールの設定を確認し、しかるべく対処いたしました。なお、調査の過程において、卒業生グループのユーザーも、個人情報（氏名・在籍時の学生番号を含んだアカウントID）を相互閲覧できる可能性があったことが判明しました。こちらについても、設定変更を実施し、対処が完了しております。
学生氏名、学生番号を含んだアカウントID ※パスワードの流出はありません。
（卒業生は在籍時の学生番号を含んだアカウントID）
上智大学と上智大学短期大学部の学生15,160名（うち23名は短期大学部卒業生）
2016年3月以降の上智大学、上智大学短期大学部、上智社会福祉専門学校生の卒業生
2016年1月以降、専任・常勤の教職員として勤務し、その後退職された方々
計36,275名
（※）このグループは、在学生が含まれる「学生グループ」と、主に卒業生で構成される「卒業生グループ」の２種類があり、自身が所属するグループ以外は閲覧できない仕様でした。
2024年7月8日と7月11日に設定を変更して、既に閲覧できないようにしております。対象となった学生・卒業生に対しては、メールで個別に謝罪と本事案についての説明の連絡を行っております。また、個人情報保護委員会および文部科学省にも報告しております。
本システムは学外者の閲覧ができないものであり、現時点において学外への情報漏えいや外部から情報が盗み取られた形跡や、当該個人情報が悪用されるといった事実も確認されておりません。クラウドツールは仕様変更の頻度が多いため、定期的に最新情報を収集し、各種システムの運用に真摯に取り組んでまいります。今後、再びこのような事態が生じることのないよう、サポートベンダーとの緊密な連携を図ります。
産業労働局が実施する「次世代アントレプレナー育成プログラム」事業について、委託契約を締結しているNPO法人ETIC.の再委託先であるフロッグウェル株式会社において個人情報に関わる事故が発生しましたので、お知らせします。
関係者の皆様に多大なご迷惑をおかけし、深くお詫び申し上げます。
今後、再発防止に向け、より一層の情報管理を徹底してまいります。
委託事業者がイベントを行った際の申込時の個人情報が掲載されたホームページ等に、一時外部からアクセス可能な状態となっていた。
令和6年7月1日（月曜日）午前11時50分（委託事業者から報告を受けた時間）
イベント申込者延べ504名分の以下情報
氏名、性別、生年月日、属性、所属（学校名・会社名等）、電話番号、メールアドレス（以下、記載任意）現在のステージ、活動をスタートしたタイミング、本講座の参加動機、本講座に期待すること、事前の質問事項
令和6年5月31日に報道発表した、都立高等学校における個人情報の漏えいについては、関係の皆様に、多大な御迷惑をお掛けしましたことを、深くお詫び申し上げます。
その後、調査確認等を行った結果を取りまとめましたので、御報告いたします。
5月15日（水曜日）、都立学校の生徒から、Microsoft Teams（以下「Teams」という。）において、個人情報が閲覧できる状態にあることについて、東京都教育委員会（以下「教育委員会」という。）に連絡があり、調査したところ、以下のことが分かった。
(1) 氏名のみ又は写真のみが、一時的に、他の都立学校においても閲覧できる状態となっていた学校数：11校（江北高校、晴海総合高校、東高校、芦花高校、新島高校、練馬工科高校、八王子東高校、南多摩中等教育学校、八王子西特別支援学校、多摩桜の丘学園、東久留米特別支援学校）
(2) 氏名に加え、「体育祭の種目」「生徒会役員」など、校内で周知されている情報が、一時的に、他の都立学校においても閲覧できる状態となっていた学校数：18校（葛飾野高校、白鷗高校・附属中学校、三田高校、墨田工科高校、神代高校、雪谷高校、駒場高校、北園高校、豊島高校、山崎高校、八王子北高校、清瀬高校、東久留米総合高校、小平南高校、多摩工科高校、城東特別支援学校、王子特別支援学校、八王子南特別支援学校）
(3) 氏名に加え、「生年月日」「電話番号」など、校内で周知されない情報が、一時的に、他の都立学校においても閲覧できる状態となっていた学校数：5校
なお、同生徒が同電子データを所持していないことを確認済みである。二次被害等の報告は受けていない。
1の(1)の11校について、生徒の個人情報が漏えいした事実の説明と謝罪を行い、保護者にお詫び文を送付した。
1の(2)の18校について、生徒の個人情報が漏えいした事実の説明と謝罪を行い、保護者にお詫び文を送付した。また、必要に応じて生徒の個別面談や保護者への個別の説明を行った。
1の(3)の5校について、以下のとおりである。
5月16日（木曜日）、校長は、教育委員会からの通知に基づき、Teamsの公開範囲の設定について注意喚起を行うとともに、全てのチームの公開範囲を確認し、「プライベート」にするよう教員に指示をした。同校教諭は、他の教員から、自ら作成したTeamsのチームが「パブリック」であることを指摘され、同チーム内にアップロードしていたデータを削除した。個人情報が閲覧できる状態にあることについて、教育委員会に連絡をした都立学校の生徒の閲覧記録があったファイルに、463名分（在校生160名、卒業生303名)の個人情報（氏名、委員会、通知表所見等）が、5月16日まで、他の都立学校においても閲覧できる状態となっていた。
閲覧記録がある都立学校の関係者に対して、同ファイルを所持していないことを確認済みである。二次被害等の報告は受けていない。
6月26日（水曜日）、同校の全生徒に対し生徒の個人情報が漏えいした事実の説明と謝罪を行い、6月27日（木曜日）、卒業生にお詫び文を送付した。6月29日（土曜日）、臨時保護者会を実施し、内容の説明と謝罪を行った。
同高校の部活動の生徒12名の個人情報（氏名、性別、生年月日、記録等）、その12名を含む同高校・附属中学校の部活動の生徒31名の個人情報（氏名、出席番号）及び生徒803名分の個人情報（氏名、出席番号）が、5月16日（木曜日）まで、他の都立学校においても閲覧できる状態となっていた。
6月24日（月曜日）、同高校の部活動の同生徒に対し個人情報が漏えいした事実の説明と謝罪を行い、対象となる保護者に対し、お詫び文を送付すると共に、電話で説明と謝罪を行った。6月25日（火曜日）、同高校・附属中学校の全生徒に対し生徒の個人情報が漏えいした事実の説明と謝罪を行い、保護者にお詫び文を送付した。
同校の部活動生徒8名の個人情報（氏名、性別、生年月日、年齢）が5月16日（木曜日）まで、他の都立学校においても閲覧できる状態となっていた。
6月25日（火曜日）、同校の全生徒に対し生徒の個人情報が漏えいした事実の説明と謝罪を行い、保護者にお詫び文を送付した。6月25日（火曜日）から28日（金曜日）にかけて、対象となる保護者に対し、家庭訪問等により内容の説明と謝罪を実施した。
同校の卒業生8名の個人情報（氏名、クラス、携帯電話番号）が、5月16日（木曜日）まで、他の都立学校においても閲覧できる状態となっていた。
6月24日（月曜日）、卒業生の保護者に対して、電話により内容の説明と謝罪を行った。6月26日（水曜日）、同校の全生徒に対し生徒の個人情報が漏えいした事実の説明と謝罪を行い、保護者にお詫び文を送付した。
同校の全生徒116名の個人情報（氏名、学年、クラス）、うち10名については個人の特性等の追加の個人情報が、5月15日（水曜日）まで、他の都立学校においても閲覧できる状態となっていた。
6月27日（木曜日）までに、追加の個人情報が含まれていた10名の生徒及び保護者に対し、個別に内容の説明と謝罪を行った。7月3日（水曜日）、臨時保護者会を開催して説明と謝罪を行うとともに、全生徒への説明と謝罪を行った。
(1) 教職員専用のアカウントで取り扱うべき生徒の個人情報を、教職員及び生徒共有のアカウントで取り扱ったこと。
(2) Teamsにおいて「プライベート」としなければならないチームの公開範囲を、「パブリック」としたこと。
(1) Teams事故再発防止委員会を設置し、実態に即した研修内容やチェックリストとなるよう都立学校の教職員の意見を踏まえて検討を行い、教員向けの周知資料や研修資料等を作成し、全教職員の理解を着実に進める。併せて、システムの設定変更等も含めた検討を行う。
(2) 職員会議や企画調整会議等の場を活用し、校内周知を徹底する。
【2024年5月31日リリース分】
詳細については現在確認を進めておりますが、お客様にご迷惑とご心配をおかけしておりますことを深くお詫び申し上げます。