【セキュリティ事件簿#2024-354】部外秘の人事情報に不正アクセスした新潟市の係長が処分される

 

新潟市は9日、人事課が管理するネットワークハードディスクに不正アクセスし、部外秘の人事異動情報を閲覧・収集していたとして、40代男性職員を停職3カ月の懲戒処分にしたと発表しました。

8月9日付で停職3カ月の懲戒処分となったのは、総務部に所属する係長級の40代男性職員です。

男性職員は2020年10月から2023年11月までの間、業務上の必要性がないにも関わらず、1400を超えるファイルを個人が使用する業務用パソコンにコピーし、部外秘の人事異動情報を閲覧・収集していました。

新潟市によりますと、ネットワークハードディスクは、定期的にパスワードを変更するなどセキュリティ上の対策を講じていたものの、男性職員は業務上与えられていた権限を悪用してパスワードを取得したうえで、不正にアクセスしていて、警察が不正アクセス行為の禁止等に関する法律違反の疑いで新潟地検に書類送検。その後、男性職員に罰金20万円の略式命令が出ていたということです。

市の調査に対して、男性職員は「自己の興味や好奇心を満たす目的だった」と話していて、行為発覚後は、ネットワークにつながっているパソコンを使わない業務をしていたということです。

職員の処分に対し、中原八一市長は「法令を遵守し、公正に業務を遂行することが求められる公務員の立場にありながら、部外秘の人事異動情報を聞覧・収集するといった不正アクセス事案を起こしたことは誠に遺憾であります。今回の事態を重く受け止め、今後はこのようなことが起こらぬよう、改めて全職員に情報セキュリティポリシーの遵守や個人情報の適切な取り扱いを徹底するよう指示したところであり、再発防止に取り組み、市民の皆様の信頼回復に努めてまいります」とコメントしています。

出典:「興味本位で…」不正アクセスして部外秘の“人事異動”情報を閲覧…40代の係長級職員に停職3カ月の処分アーカイブ

【セキュリティ事件簿#2024-353】岡山大学 学生の個人情報が他の学生から閲覧可能となった事案について 2024/8/9

 

この度、本学自然系研究科等学務課において、学習管理システムの教職員専用のページに誤って学生を参加者として登録したことにより、当該ページに保存していた学生の個人情報が他の学生から閲覧可能となる事案が発生したので、以下のとおり公表します。

ここに謹んで深くお詫び申し上げるとともに、本事案が発生したことを本学として厳粛に受け止め、今後、個人情報の厳正な管理のさらなる徹底を大学全体で取り組み、再発防止に努めてまいります。

1.経緯

工学部及び工学系大学院の教職員に必要な学生情報を共有するために作成した学習管理システムのページに、6月27日に職員が誤って工学部学生を参加者として登録したことにより、工学部学生名簿及び工学系の大学院生の学生名簿が、登録された学生から閲覧可能な状況となっていたことが、7月4日、登録された学生からの通報により判明しました。

なお学生名簿ファイルにはパスワード設定がなされていましたが、そのパスワードを、同ページ内の、参加者がアクセス可能な場所に記載していたため、ファイルを開封できる状況にありました。

2.学生名簿に含まれる個人情報

工学部学生名簿:所属、学生番号、氏名、性別、年次、学籍状態区分、出入学日付、住所、電話番号、メールアドレス、本籍(都道府県)、国籍、留学生区分、緊急連絡先情報、入学区分、出身校情報、カリキュラム年度、出学情報、転籍前学生番号

工学系大学院学生名簿:学生等区分、入学区分、所属、学生身分、学生番号、氏名、生年月日、入学日付、卒業予定日、年次、学籍状態区分、メールアドレス、国籍、留学生情報、社会人区分、フェローシップ情報

3.現在までの対応

事実判明後直ちに学生の登録を削除するとともに、当該ファイルへのアクセス状況を確認したところ、当該ページへアクセスした学生が39名おり、そのうち4名が、当該ファイルを開封していることを確認しました。アクセスした学生に対しては面談等を行い、その使用機器からファイルが完全に削除されていること、また、他へ転送等を行っていないことを確認しました。また、ファイルを開封した学生に対しては、上記と併せて、開封し閲覧した個人情報の内容を他に伝えていないことを確認しました。

現在のところ当該情報の拡散及び不正使用は確認されておりません。

また、関係する学生には、本事案について報告及び謝罪を行っております。

4.再発防止について

本事案の発生原因は、学習管理システムの操作ミス及び個人情報の取扱いが不適切であったことによります。再発防止のため、今後は、システムの操作手順及びパスワード伝達方法の再確認を行い、また、改めて個人情報を含む学生情報の取扱いを徹底し、個人情報の適切な管理に一層努めてまいります。

リリース文アーカイブ

【セキュリティ事件簿#2024-352】セイコーエプソン株式会社 当社サーバーへの不正アクセスについて 2024/8/8

 

セイコーエプソン株式会社は、7月24日に第三者によるセイコーエプソン株式会社、エプソン販売株式会社、Epson Taiwan Technology & Trading Ltd.のサーバーへの不正アクセスを確認しました。

本件につきまして、外部専門機関の助言を受けながら、影響範囲等の調査を行っております。また、不正アクセスを確認後、ただちにアクセスを受けたシステム等の遮断を行うとともに、関係機関への報告を実施しました。現時点で情報流出の事実は確認できておりません。

お取引先様、関係先の皆様に多大なるご心配とご迷惑をおかけすることになり、深くお詫び申し上げます。

リリース文アーカイブ

【セキュリティ事件簿#2024-351】株式会社アイリックコーポレーション お客様の契約情報等の漏えいについて 2024/8/8

 

弊社株式会社アイリックコーポレーション(代表取締役:勝本竜二)は、ネオファースト生命保険株式会社(以下「ネオ社」)の取扱代理店ですが、このたび、弊社のお客様がご契約されている生命保険・損害保険・少額短期保険契約に関する情報(一部個人情報を含みます)が、第一生命保険株式会社から弊社への出向者によりネオ社に情報漏えいしていたことが判明いたしました。

お客様にはご心配をおかけすることになり深くお詫び申し上げます。

現時点で確認できています事実関係は以下のとおりです。

1.経緯

8 月 2 日(金)、ネオ社から弊社に対する報告により発覚

2.漏えいが確認された情報

被保険者名、保険会社名(ネオ社を含む生命保険会社計 27 社、損害保険会社 22 社、少額短期保険会社 1 社)、生年月日、証券番号

3.対象となる延べ契約件数

約 7.2 万件

4.二次漏えいについて

無し(個人情報を目的とした取得ではありませんでした)

5.今後の対応

本件に関しましては、関係機関に報告を完了しており、二次漏えい・二次被害につきましては現時点において発生していないことを確認しております。

また、これと並行して引き続き調査を続けておりますが、再発防止策を早急に定め対応を進めております。

このたびはご心配をおかけして誠に申し訳ございませんでした。

リリース文アーカイブ

【セキュリティ事件簿#2024-190】八尾市立斎場における個人情報漏えい事案について 2024/7/26

八尾市
 

本件概要等の本人通知を行いました

個人情報漏えいの疑いのある方に対して「個人情報の保護に関する法律第68条第2項」等に基づき、本人通知を行いました。

対象者

令和4年10月1日から令和5年10月31日までの間に八尾市立斎場で火葬の申請をされた方

通知の発送日

令和6年7月26日(金曜日)

事案の概要

八尾市立斎場勤務の元職員(元技能長)が、令和4年10月上旬から令和5年10月下旬までの間、葬儀関連商品の販売業を営んでいた人物に対し、埋火葬許可証等に記載された個人情報を記載した書面を提供した見返りに現金の供与を受けたもの

漏えいした個人情報

令和4年10月上旬から令和5年10月下旬までの間に八尾市立斎場に火葬の申請をされた方の埋火葬許可証等に記載されている申請者氏名、申請者住所、死亡者氏名、死亡者住所、死亡者年齢及び葬儀会社

発生原因

本市元職員の不正による情報漏えい

二次被害又はそのおそれの有無、内容その他について

火葬後に仏具店等から資料が届いたといった情報が本市に寄せられていますので、ご注意のほどお願い申し上げます。

市民の皆様には多大な不安とご心配をおかけして誠に申し訳ございません。

現在、外部の専門家による調査チームを設置し、事案に係る原因究明を進めておりますが、今後、全容を明らかにしたうえで、さらなる情報提供や再発防止策を講じ、利用者の不安の解消に努めるとともに、市民の皆様の信頼回復に全力で取り組んでまいります。

お問い合わせ専用ダイヤルの開設

本件について、市民のみなさま、八尾市立斎場のご利用者からの問い合わせ先として、専用ダイヤルを開設しております。
本事案についての不安やご相談等がございましたら、専用ダイヤルまでお問い合わせくださいますようお願いします。

電話番号:072-992-2655

受付時間: 午前9時から午後5時まで(土曜・日曜・祝日を除く)

これまでの経緯

職員の逮捕

令和6年5月8日(水曜日)

本市の市立斎場に勤務する職員1名が地方公務員法違反、加重収賄の疑いで逮捕されました。

調査チームの設置

令和6年5月24日(金曜日)

外部有識者(弁護士等)による調査チームを設置しております。

職員の起訴

令和6年5月29日(水曜日)

大阪地方検察庁に地方公務員法違反、加重収賄で起訴されました。

職員逮捕による懲戒処分(免職)について


令和6年6月12日(水曜日)

◇処分内容 

懲戒処分(免職)

◇処分の事案

市立斎場利用者の個人情報を外部事業者に提供していた見返りに、その事業者から現金を受け取っていたとして、令和6年5月8日に加重収賄罪及び地方公務員法違反の疑いで逮捕された。

◇市長のコメント

市民の重要な情報を預かる市職員として、到底許されるものではなく、市民の信頼を裏切る信用失墜行為であります。誠に遺憾であり、市民の皆様にお詫び申し上げます。
今回の事件に係る全容の解明と服務規律に関する指導を再度徹底し、改めて再発防止に取り組み、市民の皆様の信頼回復に努めてまいります。

【2024年5月9日リリース分】

リリース文アーカイブ

【セキュリティ事件簿#2024-350】気仙沼市 市立病院における個人データの漏えいのおそれについて  2024/8/7

 

1 事案の概要

令和5年9月 26 日、フリマアプリからPOSレジ端末1台を購入した方(東京都内在住)から、警視庁荻窪警察署を通じ、当該端末に当院の名称と個人データが記録され、閲覧可能である旨の連絡を受けました。

当該購入者の御協力の下、回収した機器を調査した結果、本件業務において処分したPOSレジ端末3台のうちの1台であり、委託事業者に当該機器に個人データが記録されている認識がないままに流通させたことが判明しました。

2 事案発覚後の調査及び対応

 (1) POSレジ端末の流通

POSレジ1号機 フリマアプリにて当該購入者氏が購入し、当院が回収。委託事業者からフリマアプリ出品者までの流通経路は判明しませんでした。

POSレジ2号機・3号機 一部再委託事業者から部品取り用のジャンク品として流通させたとする報告はあるものの、その後の流通を客観的に証明することはできませんでした。

 (2) POSレジ端末に記録されている漏えいの恐れのある個人データの件数

平成 26 年6月 30 日から平成 29 年 10 月 27 日までの間、各端末に記録された➀患者 ID及びカナ氏名(住所や電話番号はありません。)、➁入院・外来の別及び診療科、③請求金額

 漏えいの恐れのある個人データの件数:48,651人 

 (3) 当該情報のアクセスの困難度

回収した端末は、直近 11 営業日のログが txt 形式で記録されるよう設定されているため、当該 11 営業日(平成 29 年 10 月 13、16、17、18、19、20、23、24、25、26 及び27
日)に係る延べ3,427件(実人数2,567人)分は、特段の技術なしに閲覧可能で、機器購入者はその一部(件数不明)を閲覧し、本事案の判明に至りました。

回収したPOSレジ1台に記録された個人データは、12営業日以降は圧縮化処理され、システムと接続し、当院が管理するログイン用のID及びパスワードがない限り、通常は閲覧不能ですが、極めて高度な情報処理技術を用いれば、閲覧できる可能性を完全には否定できません。

また、POSレジ2号機・3号機については、使用不能なジャンク品として流通されたものであり、仮に、何らかの手段で修繕した場合においても、システムと接続し、当院が管理するログイン用の ID 及びパスワードがない限り、通常は閲覧不能で、事実上、個人データの漏えいは極めて低いものと考えられます。

(4) 関係機関・本人への報告

本件事案は、個人データ漏えい等事案として、個人情報保護委員会(内閣府外局)に遅
滞なく報告しております。

また、個人情報の保護に関する法律第 26 条第2項に基づく本人通知をしており、連絡
先の不明な方に対する代替措置(同項ただし書)として、当院ホームページにおいても周
知しました。 

3 再発防止策

今後、このような事態を招くことのないよう、次のとおり取り組んでまいります。

  1. 当院又は委託事業者の保有する情報機器を委託により廃棄処分する際には、破砕等作業を実地により確認してまいります。

  2. 全ての委託先に対し、業務遂行に当たり「個人情報取扱特記事項」を遵守するよう改めて申し入れました。

  3. 本件事案を全職員に共有するとともに、個人情報の取扱いに関する研修会を定期的に実施します。 

リリース文アーカイブ

【セキュリティ事件簿#2024-202】長崎県物産協会 協会が運営する通販サイト「e-ながさきどっとこむ」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ 2024/8/7

e-ながさきどっとこむ

このたび、当協会が運営する通販サイト「e-ながさきどっとこむ」におきまして、第三者による不正アクセスを受け、お客様のクレジットカード情報(18,746名分)と、お客様の個人情報(60,350名分)及びお届け先の個人情報(78,840名分)が漏えいした可能性があることが判明いたしました。

本件につきましては、5月24日の第一報、5月27日の第二報にてお知らせしたところですが、このたび第三者調査機関による調査の完了、およびクレジットカード会社との協力体制が整いましたので、改めてご連絡させていただいております。

お客様をはじめ、関係者の皆様に多大なるご迷惑およびご心配をおかけする事態となりましたこと、改めて深くお詫び申し上げます。

なお、クレジットカード情報及び個人情報が漏えいした可能性のあるお客様には、本日より、電子メールにてお詫びとお知らせを個別にご連絡申し上げ、また、メールアドレスのご登録のないお客様、または電子メールの配信が出来なかったお客様には別途書状にてご連絡させていただきます。

当協会では、今回の事態を厳粛に受け止め、再発防止の為の対策を講じてまいります。

お客様をはじめ関係者の皆様には重ねてお詫びを申し上げますとともに、本件に関する概要につきまして、下記のとおりご報告いたします。

1.経緯

2024年5月21日、長崎県警から、サイト内のプログラムの一部が不正に改ざんされていること、会員登録されたお客様の個人情報の漏えい懸念があることについて連絡を受け、2024年5月22日当協会が運営する「e-ながさきどっとこむ」のサイトを停止いたしました。

2024年6月7日には、第三者調査機関による調査も開始いたしました。2024年6月22日、調査機関による調査が完了し、2021年3月10日~2024年5月22日の期間に「e-ながさきどっとこむ」で購入されたお客様のクレジットカード情報の漏えいが認められることを確認するとともに、2000年10月2日から2024年5月22日までの間、サイトにおいて会員登録されたお客様の個人情報及びお届け先の個人情報が漏えいした可能性があることを確認いたしました。その後、当協会では会員情報を基に当該期間における個人情報の漏えいの可能性があるお客様の特定を行い、今回の公表に至った次第でございます。

2.個人情報漏えい状況

(1)原因

当当協会が運営する通販サイト「e-ながさきどっとこむ」のシステムの一部で第三者の不正アクセスにより、不正ファイルの設置及びペイメントアプリケーションの改ざんが行われたため。

(2)クレジットカード情報の漏えいの可能性があるお客様

2021年3月10日~2024年5月22日の期間中に「e-ながさきどっとこむ」においてクレジットカード決済をされたお客様のカード情報18,746名分。

〈カード情報〉

  • カード名義人名
  • クレジットカード番号
  • 有効期限
  • セキュリティコード

(3)個人情報漏えいの可能性があるお客様

2000年10月2日から2024年5月22日までの間、サイトにおいて会員登録されたお客様の個人情報60,350名分及びお届け先の個人情報78,840名分。

〈会員情報〉

  • 氏名
  • メールアドレス
  • 郵便番号
  • 住所
  • 電話番号
  • 会社名(任意)
  • 性別(任意)
  • 生年月日(任意)
  • FAX番号(任意)
  • 職業(任意)

〈お届け先情報〉

  • 氏名
  • 郵便番号
  • 住所
  • 電話番号
  • 会社名(任意)

※お客様が未入力の任意項目は、漏えい対象ではございません。

上記(2)及び(3)に該当するお客様については、別途、電子メールまたは書状にて個別にご連絡申し上げます。

3.お客様へのお願い

既に当協会では、クレジットカード会社と連携し、漏えいした可能性のあるクレジットカードによる取引のモニタリングを継続して実施し、不正利用の防止に努めております。

お客様におかれましても、誠に恐縮ではございますがクレジットカードのご利用明細書に身に覚えのない請求項目がないか、今一度ご確認をお願いいたします。万が一、身に覚えのない請求項目の記載があった場合は、たいへんお手数ですが同クレジットカードの裏面に記載のカード会社にお問い合わせいただきますよう、併せてお願い申し上げます。

なお、お客様がクレジットカードの差し替えをご希望される場合、カード再発行の手数料につきましてはお客様にご負担をお掛けしないよう、当協会よりクレジットカード会社に依頼しております。

また、不審な電話やメールなどはご注意いただきますようお願いします。万が一、不審な電話やメール・郵便物などを確認された際は、まずは最寄りの警察署または警察相談専用ダイヤル ♯9110へご連絡いただければと存じます。

4.再発防止策ならびに弊社が運営するサイトの再開について

当協会はこのたびの事態を厳粛に受け止め、調査結果を踏まえてシステムのセキュリティ対策および監視体制の強化を行い、再発防止を図ってまいります。

改修後の「e-ながさきどっとこむ」の再開日につきましては、決定次第、改めてWebサイト上にてお知らせいたします。

また、当協会は今回の不正アクセスにつきまして、監督官庁である個人情報保護委員会には 2024年5月24日に報告済みであり、また、長崎警察署にも2024年5月31日に被害届を提出しており、今後捜査にも全面的に協力してまいります。

リリース文アーカイブ

【2024年5月27日リリース分】

リリース文アーカイブ

【セキュリティ事件簿#2024-349】攻撃代行の海外サイトを使って出版社にDDoS攻撃した25歳男が逮捕される

 

東京都内の出版社にサイバー攻撃の一種である「DDoS(ディードス)攻撃」を仕掛けたとして、警察庁サイバー特別捜査部は6日、大分市三佐3、配管工、赤坂篤洋容疑者(25)を電子計算機損壊等業務妨害容疑で逮捕した。

DDoS攻撃は、大量のデータを送ってシステム障害を起こさせる手法。赤坂容疑者はプログラム作成などの専門知識はなかったが、攻撃を代行する海外の有料サイトをネットで見つけ、千数百円程度で利用していたとみられる。

逮捕容疑は2022年3月17日、ウェブサイト「Bootyou(ブートユー)」を使い、都内の出版社のサーバーに2回にわたってDDoS攻撃をし、出版社のサイトを計約1時間半閲覧できない状態にして業務を妨害したとしている。

赤坂容疑者は容疑を認め、「ブートユーを使って他にもDDoS攻撃をした」と供述しているという。

警察庁によると、ブートユーは、欧州刑事警察機構(ユーロポール)などの国際共同捜査によって22年に閉鎖された。日本も23年9月に、この国際共同捜査に参画。外国の捜査機関から提供されたデータを警察庁が解析したところ、出版社の被害や赤坂容疑者の関与が浮上した。

警察庁直轄のサイバー特捜部の前身組織が22年4月に設置されて以降、国内で逮捕した容疑者は2人目。国際共同捜査をきっかけに国内の容疑者を摘発したのは初めてという。

出典:出版社にサイバー攻撃疑いで25歳を逮捕 攻撃代行の海外サイト使用か