雑記系ブログ。セキュリティとか、マイルとか、投資とか、、、 / Miscellaneous Blogs. Security, miles, investments, etc
Airalo(海外eSIM)レビュー: 海外でのインターネット接続をゲット
【セキュリティ事件簿#2024-339】宮崎県 県外ICT人材マッチング支援サイト「ひなターンみやざき」の改ざんについて 2024/7/30
現在、「ひなターンみやざき」を閉鎖しています。
概要
インターネットの検索結果から「ひなターンみやざき」へアクセスすると、当ホームページとは関係のないサイトが表示される状況を、2024年7月30日に確認しました。当該状況の確認の後、「ひなターンみやざき」を閉鎖する対応を行い、改ざん内容の詳細な確認と原因究明をおこなっています。
「ひなターンみやざき」とは、県外ICT技術者と県内ICT企業とのマッチング支援のために、交流会の案内や県内ICT企業の紹介、移住情報などを提供するサイトです。当サイトにメールアドレス等を登録された方には、メールマガジンの配信をおこなっています。
内容
(1)判明日及び判明した経緯
2024年7月30日(火曜日)サイト管理業者の点検作業中に判明
7月26日(金曜日)のサイト管理業者による点検作業では問題がなかった事を確認しています。
(2)登録者データの漏えいの有無
現在、サーバー内の登録者(91名)の登録データについて、外部からの不正アクセスの有無を調査しています。
(登録データとは、ニックネーム・メールアドレス・性別・年齢・職種・出身地(「宮崎県」か「それ以外」の2択)・居住地(県単位で選択)・メールマガジン希望の有無・求人相談の有無・宮崎県とのつながり、です。)
(3)原因
現在、調査中です。
対応経過
- 2024年7月30日(火曜日)当該状況を確認
- 2024年7月30日(火曜日)「ひなターンみやざき」を閉鎖
- 2024年7月30日(火曜日)「ひなターンみやざき」登録者へ状況を連絡するメールを送付
- 2024年7月31日(水曜日)「ひなターンみやざき」登録者へサーバー内に登録データが含まれていること及び不正アクセスの有無について調査中であること等のメールを送付
今後の対応
原因が判明次第、今後改ざんされることのないよう適切な措置を講じるとともに、サーバー内に登録者データが残らないように改善した上で運用を再開することとしています。
【セキュリティ事件簿#2024-270】株式会社Brave group 個人情報流出に関する調査結果と再発防止につきまして 2024/7/31
2024年6月25日よりご報告させていただいておりました、当社グループが運営するオーディションにおける個人情報流出があった事案(※)につきまして、漏えい対象者の皆様をはじめ、ファンの皆様、関係者の皆様には大変なご迷惑、ご心配をおかけすることを心より深くお詫び申し上げます。
本事案における原因と影響範囲の特定に向けて、当社および外部機関によるログ情報の調査・分析、社内関係者へのヒアリングなどの詳細調査を実施しておりましたが、この度、調査及び精査が完了いたしましたので、当該調査結果及び再発防止に向けた取り組みについてご報告いたします。
1. 調査結果
・原因の特定について
本事案の経緯としまして、まず対象のオーディションにおけるGoogle Formsの編集用URLの閲覧範囲が「このリンクを知っているインターネット上の全員が閲覧できます」と設定されていたことから、この編集用URLのリンクを知っていれば、誰でも、編集用URLにアクセスし、上記個人情報を閲覧できる状態でありました。
ただし、オーディション応募フォーム上に掲載されているURL(回答用URL)と、回答内容が確認できるURL(編集用URL)は別のものとなっており、オーディションページに掲載されているURLは回答用URLであったこと、さらには回答用URLから編集用URLを容易に推察できるものでなかったことから、個人情報を閲覧できるURLがオーディションページ上で一般公開されていたわけではありませんでした。
しかしながら、該当のフォームにて閲覧・回答を行ったユーザが、自身のGoogleアカウントのGoogleアプリからフォームに移動した際に、「最近使用したフォーム」の欄に回答したフォームが表示され、そこから申込者の情報が閲覧可能な画面に遷移が可能となっておりました。
なお、本事案に関して外部機関による調査を依頼した結果、外部からの意図しないアクセスが発生した2024年6月4日 当時には、Google Formsの予告・通知のない仕様変更により、回答用URL から編集用URL を特定可能となる手法が存在していた可能性が高いことが判明いたしました。
この事象については2024年6月4日前後から発生したと推定され、2024年6月26日時点では既に再現ができなくなっていたことも確認されました。
以上の経緯から、2024年6月4日から該当フォームの閲覧制限を行った2024年6月25日の期間において、当社が意図していない外部の第三者が閲覧できる状況であったことがわかりました。
・影響範囲の確認について
本件を受け、当該インシデントと類似したケースを想定し、当社グループ内のGoogleドキュメント全般について、外部の第三者からの意図しないアクセス(漏えいの可能性)がないか、外部機関によるアクセスログの調査も実施いたしました。
その結果、第三者からの意図しないアクセスが確認されるのは、既に皆様にお知らせした以下の4つのGoogle Formsのみであることが確認されました。
「ぶいすぽっ!JP オーディション」
「Brave group総合オーディション」(グローバル向けの「Brave group総合オーディション」を含む)
「HareVare VLiverオーディション」
「ぶいすぽっ!切り抜き動画」のチャンネル許諾申請用Google Forms
具体的には、
①漏洩開始したと考えられる6月4日~6月25日において外部からのアクセス数が多いファイル
②2024年6月中の外部からのアクセスの割合が高いファイル
③1日当たりのアクセスログが異常値としてみなされるファイル
以上3つの観点から外部調査を行ったところ、オーディションフォームの他に5つのファイルが該当いたしましたが、いずれも外部からのアクセスは、当社が社内ルールに従ってリンクを共有した外部ユーザーのものと推定できるものであり、意図しない不正なアクセスはなかったことを確認いたしました。
2. 対策・対処
本事案については、既に以下の施策を実施しております。
当社グループ内全てのGoogle Workspaceにおいて、作成されたGoogle Formsを洗い出し、権限を「制限付き」(当社のドメインによるアクセス又は当社の許可がなければアクセスできない)に変更。
3.再発防止
今後の再発防止策として、①ファイル共有設定・権限の見直しによる制御、②個人情報の取り扱いに関するルールの整備・及び運用、③個人情報が含まれる情報取得時のアンケートツールの検討を行って参ります。
なお、再発防止策は2024年9月を目途に完了する予定です。
①ファイル共有設定・権限の見直しによる制御
Google Formsを含む全てのGoogle Workspaceサービスについて、「リンクを知っている全員への共有」等、アクセス制限がない公開設定を無効化することにより外部共有の制御を実施いたします。
②個人情報の取り扱いルールの整備・運用
個人情報に関する管理体制の強化、規程やルール等の見直し及び社内への周知を徹底して行い、個人情報を含めた情報管理に関する役員及び全従業員の意識の向上に取り組んでまいります。
③オーディション等の個人情報が含まれるアンケートにおける外部サービス利用の検討
個人情報を含む情報を取得するアンケートにおいては、Google Formsではない、メンバーを限定した利用が可能な外部サービスの利用を検討してまいります。
4.オーディションの再開について
本事案後、一時閉鎖の対応を取らせていただいているオーディションにつきまして、順次再開してまいります。
外部サービスの導入以前におきましては、まずはご応募時に入力いただく情報から「ご本名」「お電話番号」等といった個人情報の取得を制限し、当社でご用意した独自フォームにてご応募を受け付けて参ります。
当社といたしましては今回の事態を重く受け止め、今後このような事態が発生しないよう、再発防止に向けて個人情報の管理強化及び徹底に努め、信頼回復に全力を尽くしてまいります。この度は、多大なるご迷惑とご心配をおかけいたしましたこと、改めて心より深くお詫び申し上げます。
【2024年6月25日リリース分】
【セキュリティ事件簿#2023-338】⾧崎県立大学 本学が利用するe-ラーニングシステムへの不正アクセスに係る調査結果等について 2024/7/31
本学が利用しているe-ラーニングシステム(manabie:マナビー:以下、本システムと呼びます。)が第三者による不正アクセスを受けた件につきましては、令和5年8月22日及び令和5年12月7日にご報告しておりましたが、最終報告とし、下記のとおり対応についてお知らせいたします。
この度の不正アクセスにおいて、関係する皆様にご迷惑とご心配をおかけしましたことをあらためてお詫び申し上げます。なお、詳細は別添「e-ラーニングシステム(manabie:マナビー)不正アクセス報告書」をご確認ください。
1.今回の不正アクセスについての概要
令和5年8月4日 9 時 16 分頃、大学の公式ホームページを通じて、本システムが不正アクセスを受けているとの情報提供があり、調査した結果、本システムが第三者による不正アクセスを受け、サーバーに保管されていた個人情報が流出したおそれがあることが判明しました。
本システムのプログラムは、一般公開されているプログラムを基に構築しています。今回の不正アクセスでは、一般公開されているプログラムに脆弱性が発見され、外部のハッカーがその脆弱性を悪用し本システムに侵入しました。そして、本システムの運用については外部に委託していましたが、本学の委託先に対する監督が不十分であったことなどが問題であったと考えます。
外部の専門機関の調査の結果、情報漏えい等の痕跡は確認されませんでした。また、個人情報漏えいのおそれがあることを在校生および卒業生に連絡し、個人情報漏えいが疑われる場合は連絡を依頼していますが、現時点までに連絡はありません。今後も継続的に対応してまいります。
2.対応について
今回、不正アクセスを受けた本システムは、廃止しました。
また、今回の不正アクセスを可能にした要因を踏まえ、以下の対応を着実に実施してまいります。
- 一般利用されているプログラムの脆弱性情報収集と、本学で管理するシステムの定期的な脆弱性診断
- システムをより安全に運用していくための委託契約スキームの見直し及び委託業者の監督強化
- 不正アクセス等を早期に発見し、適切に対応して早期に回復するための初動マニュアルの整備や不正アクセス等の発生を想定した適切な体制づくり
- 全教職員を対象とした情報セキュリティに関する実効性のある教育・訓練の実施
この度の不正アクセスにおいて、関係する皆様にご迷惑とご心配をおかけしましたことを重ねてお詫び申し上げます。今回の事態を重く受け止め、必要な対策を講じ、再発防止に努めてまいります。
【2023年8月22日リリース分】
【セキュリティ事件簿#2024-269】株式会社駒井ハルテック 当社におけるシステム障害について調査結果のお知らせ 2024/7/31
当社の一部業務サーバが第三者による不正アクセスを受け、サーバ 内のファイルが暗号化される被害を受けましたことを、2024 年6月 24 日に確認し、6月 25 日、26 日に開示いたしました。
本件につきましては、外部の専門家等の協力を得て調査等を進めてまいりましたが、この度、調査が完了し、報告書を受領しましたので、調査結果、再発防止策、現状及び今後の対応について下記の通りお知らせいたします。
お取引先、関係先の皆様に多大なるご心配とご迷惑をおかけしたことを、深くお詫び申し上げます。
当社は、本件から得た教訓を活かし、再発防止に向けた包括的な対策を実施してまいります。
1.調査結果
不正アクセスによる暗号化ファイルは、サーバ4台より確認されました。うち1台に対しては、2024年6月 22 日 22 時ごろにリモートデスクトップ接続による不正ログオンが行われていたことが確認されました。
その後、6月 23 日 17 時ごろに同サーバを起点として4台に対しランサムウェアが実行され、ファイルの暗号化が行われたことが確認されました。
情報漏洩に関しましては、一部データの漏洩痕跡を確認しており、当該情報には当社従業員情報が含まれていたため、順次個別連絡を進めております。
現時点において、その他個人情報及びお取引先、関係先の皆様からお預かりした情報の漏洩については確認されておりませんが、新たな事実が判明した際には、開示いたします。
なお、2024 年6 月26 日に開示した通り、第95 回定時株主総会は2024 年6 月27 日に執り行い、2024年3 月期有価証券報告書は2024 年7 月1 日に提出いたしました。
2.再発防止策
本件を踏まえた再発防止の取り組みとして、教育とリスク管理を含めたセキュリティ体制の改善・強化など種々の対策を講じております。また、EDR(Endpoint Detection and Response 監視システム)の導入により、機器の不正な挙動等を早期に検知し対応することといたします。
3.現状及び今後の対応
現状、安全なネットワーク及びパソコンを用いて、生産や営業活動を再開しておりますが、その他業務への影響については引き続き確認中であります。今後は不審な通信先に意図せずアクセスするリスクを考慮しつつ、インターネット接続を徐々に開放し、2024 年8 月30 日以降は通常の通信環境に戻る予定としております。
また、本件による当社グループの今期の業績に与える影響につきましては、なお精査中であり、開示が必要な事実が判明次第、速やかに開示いたします。
【2024年6月25日リリース分】
【セキュリティ事件簿#2024-338】市川市 職員の懲戒処分について 2024/7/29
地方公務員法に基づき、下記のとおり職員の処分を行いましたので公表いたします。
1.市営テニスコートの不正利用
(1)処分の理由
被処分者は、市営テニスコートを利用するに当たり、令和2年11月頃から複数年に渡り、同職員に与えられた職権を濫用して、市営テニスコートの使用に係る利用者登録及びその更新について不正な処理を行うとともに、職務に関連して把握した同職員以外の者の利用者IDを用いて市営テニスコートの申請の予約をした上、抽選等を経て決定された利用予定者を同職員に変更して、市営テニスコートを使用した。
(2)被処分者
スポーツ部 副主幹(50歳代)
(3)処分内容
停職3月
(4)処分年月日
令和6年7月29日
(5)処分の根拠法令
地方公務員法第29条第1項第1号、第2号及び第3号
【セキュリティ事件簿#2024-337】日本貿易振興機構 個人情報を含む外付けハードディスクの紛失について 2024/7/31
このたび、当機構日本食品海外プロモーションセンター(JFOODO)において、事業に参加・関与された方の個人情報を含むデータが記録された外付けハードディスク(以下、「当該HDD」)の所在が不明となりました。
紛失したHDDに記録された個人情報は、団体・企業名、氏名、メールアドレス、電話番号が含まれていますが、システムなどの個人IDやパスワード、銀行口座、クレジットカードの情報はありません。
関係する皆さまに、ご迷惑、ご心配をおかけすることを深くお詫び申し上げますとともに、本事案の発生を深刻に受け止め、JFOODOを含むジェトロ全職員および関係者に情報の適切管理をあらためて周知徹底し、再発防止に努めていく所存でございます。
また、本事案の発表に際し、関係の皆様にはこれを悪用した詐欺などにご注意いただきますようお願いします。本件に関し、本機構職員が電話やメールで個人情報をお聞きすることは決してありません。
紛失場所
日本食品海外プロモーションセンター(JFOODO)執務室内
(東京都港区赤坂1丁目 12-32 アーク森ビル7階)
紛失した情報
日本食品海外プロモーションセンター(JFOODO)事業に参加・関与された方に関する以下の情報
- 企業・団体名、氏名等連絡先がない情報:14,436件
- 企業・団体名、氏名等(メールアドレス、電話番号を含む情報):5,960件(ジェトロ職員331名を含む)
紛失が判明した経緯
6月14日、当該HDDが所定の保管場所になく、使用の記録がないことが判明しました。速やかに当該部署内を捜索、職員が誤って自宅に持ち帰っていないかといった確認を行いましたが、現時点で見つかっておらず、引き続き捜索中です。
その後の調査を通じて、当該HDD内に個人情報等が含まれていることが判明したため、7月2日、個人情報保護委員会へ報告いたしました。
再発防止策
ジェトロでは、「個人情報保護方針」に基づき、個人情報管理の体制、規程などを整備し、お客様の個人情報を慎重に取扱い、安全かつ適切な保護に努めているところではございますが、本事案の発生を深刻に受け止め、個人情報や記録媒体の管理状況を総点検し、継続的な保有が不要な個人情報の削除を行い、今後、適切な管理体制を整備し、再発防止に努めてまいります。
【セキュリティ事件簿#2024-242】株式会社東京玉子本舗 弊社が運営する「東京玉子本舗公式オンラインショップ」への 不正アクセスによる個人情報漏えいに関する お詫びとお知らせ 2024/7/31
このたび、弊社が運営する「東京玉子本舗公式オンラインショップ」におきまして、第三者による不正アクセスを受けたことによって、お客様のクレジットカード情報(65,387件)および個人情報のみ(73,961件)が漏洩した可能性があることが判明いたしました。 お客様をはじめ、関係者の皆様に多大なるご迷惑およびご心配をおかけする事態となりましたこと、深くお詫び申し上げます。
なお、個人情報が漏洩した可能性のあるお客様には、本日より、電子メールまたは書面にてお詫びとお知らせを個別にご連絡申し上げております。 情報漏洩が確認された「東京玉子本舗公式オンラインショップ」は閉鎖しておりますが、弊社では今回の事態を厳粛に受け止め、再発防止のための対策を講じてまいります。 お客様をはじめ関係者の皆様には重ねてお詫びを申し上げますとともに、本件に関する概要につきまして、下記の通りご報告いたします。
1.経緯
2024年5月28日、警視庁から弊社運営サイトの一部が不正に改ざんされている可能性があり、利用したお客様のクレジットカード情報および個人情報の漏洩懸念があることについて連絡を受け、2024年5月28日「東京玉子本舗公式オンラインショップ」でのカード決済を停止し、2024年6月8日サイトを閉鎖いたしました。
同時に、第三者調査機関による調査も開始いたしました。2024年6月20日、調査機関による調査が完了し、2021年3月18日~2024年5月28日の期間に「東京玉子本舗公式オンラインショップ」で購入されたお客様のクレジットカード情報、および2019年4月22日から2024年5月28日までに登録された個人情報に漏洩した可能性があることを確認いたしました。
以上のとおり、本事案について弊社として本事案に関する事実関係が確認できたため、本日の発表に至りました。
2.個人情報漏洩状況
(1)原因
「東京玉子本舗公式オンラインショップ」のシステムの一部の脆弱性をついたことによる第三者の不正アクセスにより、ペイメントアプリケーションの改ざんが行われたため。
(2) クレジットカード情報漏洩の可能性があるお客様
2021年3月18日~2024年5月28日の期間中に「東京玉子本舗公式オンラインショップ」においてクレジットカード決済をされたお客様は65,387件で、漏洩した可能性のある情報は以下のとおりです。
・カード名義人名
・クレジットカード番号
・有効期限
・セキュリティコード
(3) 個人情報のみ漏洩の可能性があるお客様
サイトがオープンした2019年4月22日~2024年5月28日までに「東京玉子本舗公式オンラインショップ」をご利用されたお客様は73,961件で、漏洩した可能性のある情報は以下のとおりです。
・ 氏名
・ 住所
・ メールアドレス
・ 電話番号
・ FAX番号(任意)
・ 生年月日(任意)
・ 性別(任意)
・ 職業(任意)
・ 購入履歴
上記に該当する139,348件のお客様については、別途、電子メールまたは郵送にて個別にご連絡申し上げます。
3.お客様へのお願い
(1) クレジットカード不正利用のご確認とお願い
既に弊社では、クレジットカード会社と連携し、漏洩した可能性のあるクレジットカードによる取引のモニタリングを継続して実施し、不正利用の防止に努めております。
誠に恐縮ではございますが、お客様におかれましてもクレジットカードのご利用明細書に身に覚えのない請求項目がないか、今一度ご確認をお願いいたします。万が一、身に覚えのない請求項目の記載があった場合は、大変お手数ですが同クレジットカードの裏面に記載のカード会社にお問い合わせいただきますよう、併せてお願い申し上げます。
なお、お客様がクレジットカードの差し替えをご希望される場合、カード再発行の手数料につきましてはお客様にご負担をお掛けしないよう、弊社よりクレジットカード会社に依頼しております。
(2)その他の個人情報について
お客様のもとに差出人や件名に心当たりのない不審なメールが届いた際には、ウイルス感染や不正アクセス等の危険がございますので、メールに添付されているファイルは開封せず、メール自体を直ちに消去いただくようお願いいたします。不審な電話がかかってきた場合には、お客様の重要な情報等は決してお伝えにならないようお願いいたします。
4.再発防止策ならびに「東京玉子本舗公式オンラインショップ」の再開について
弊社はこのたびの事態を厳粛に受け止め、調査結果を踏まえてシステムのセキュリティ対策および監視体制の強化を行い、再発防止を図ってまいります。
改修後の「東京玉子本舗公式オンラインショップ」の再開日につきましては、決定次第、改めてWebサイト上にてお知らせいたします。
なお、弊社は今回の不正アクセスにつきまして、監督官庁である個人情報保護委員会には2024年6月3日に報告済みであり、また、警視庁にも2024年5月28日被害申告しており、今後捜査にも全面的に協力してまいります。
【2024/6/5リリース分】