当社は、悪意ある第三者による社内サーバーへの不正アクセスを受け、調査を進めてきましたが、お客様・お取引先様・従業員等に関する個人情報流出の可能性が否定できないことが判明したため、法律の専門家および外部専門機関等と協議の結果、個人情報保護法等の法令に基づき、皆さまにお知らせすることといたしました。
現時点では本件に関わる個人情報の不正利用の事実は確認されておりません。
〈発生の経緯〉
8月27日早朝、社内システムへのアクセスができないことが判明し、調査を開始したところ、複数のサーバーでデータが不正に暗号化されていることが確認されました。被害の拡大を防ぐために、不正アクセスを受けた可能性のある全てのサーバーへのアクセスを遮断し、当社内機器に対してウィルススキャンを実施、安全性を確認しております。
今後については、復旧作業を進めると同時に、原因及び被害状況の調査を進めてまいります。なお、8月28日に警察当局への届け出、8月31日に個人情報保護委員会への報告は完了しております。
この度は、お客様ならびに関係者の皆様へ多大なご迷惑とご心配をおかけいたしますこと、深くお詫び申し上げます。
ヤマトホールディングス株式会社（本社：東京都中央区、代表取締役社長：長尾裕、以下「ヤマトHD」）は、シンガポールヤマト運輸株式会社（本社：シンガポール共和国、代表取締役社長：梨本祐児、以下「YTS」）が、9月4日（水）に、同社のサーバーが第三者による不正アクセスを受けたことを確認しましたので、お知らせいたします。
YTSでは、不正アクセスの確認後、速やかに外部からのアクセスを制限するなど必要な対策を講じるとともに、関係当局への報告を行っています。
また、現在、セキュリティ専門機関の協力を得て、原因および影響範囲の調査を進めるとともに、情報セキュリティの強化および再発防止策の検討を進めています。
なお、今回の不正アクセスはYTSのサーバーにとどまり、ヤマトHDを含む他のヤマトグループのサーバーやネットワークへの影響がないことを確認しています。
関係する皆さまに多大なるご迷惑とご心配をおかけしていることを、深くお詫び申し上げます。
個人情報保護委員会は、本日、株式会社 NTT マーケティングアクト ProCX 等における不正持ち出し事案に対する個人情報の保護に関する法律（平成 15 年法律第 57号）に基づく行政上の対応について、以下資料のとおり、取りまとめましたので、お知らせいたします。
１ 株式会社 NTT マーケティングアクト ProCX（西日本電信電話株式会社（以下「NTT 西日本」という。）が 100％出資する子会社。以下「ProCX 社」という。）は、多数の民間事業者及び地方公共団体等から委託を受け、商品販売等や健康診断等の行政上の通知に係るコールセンター業務（以下「コールセンター業務」という。）を行っている。
２ 本件は、平成 25 年７月頃から令和５年２月頃にかけて、ProCX 社のコールセンター業務に関するシステムの提供及び保守運用を行っている NTT ビジネスソリューションズ株式会社（NTT 西日本が 100％出資する子会社。以下「BS 社」という。）の元従業者（派遣会社から BS 社に労働者派遣されていた派遣社員。以下「Ｘ」という。）が、委託元である民間事業者 30 社、独立行政法人１機関及び地方公共団体 38 団体（以下まとめて「本件委託元」という。）の顧客又は住民等に関する個人データ等合計約 928 万人分を不正に持ち出したことにより漏えいが発生し、Ｘが名簿業者に売却した事案である。
ProCX 社及び BS 社は、当委員会が、本件過去調査においてＡ社に事実とは異なる内容を回答した経緯及び原因を調査し、問題点を明らかにするよう勧告したことに対し、令和６年２月 29 日付け報告書において、本件過去調査を検証し、複数の問題点があったものの、漏えいに繋がる端緒を意図的に隠蔽したものではなかったと結論付けている。また、発覚した複数の問題点についても、両社は、NTT 西日本が設置した調査委員会からの再発防止策の提言を受け、計画どおり同再発防止策を実施しており、ProCX 社及び BS 社における勧告に係る措置は現時点において一定の取組が認められるものである。
 |
| 勧告に対する是正状況（一部） |
当委員会は、令和６年４月 26 日から同年５月 10 日にかけて、本件委託元に対し、法第146 条第１項又は法第 156 条の規定により報告等を求め、本件委託元による ProCX 社及び BS 社に対する監督状況を調査してきた。
 |
| 委託元に対する調査結果について |
ア 以下のとおり、法違反が認められたため、法第 147 条の規定による指導及び法第146 条第１項の規定による報告等の求めを実施することとし、今後１年間、３か月ごとに、個人データの第三者提供を受けた状況及び個人データの第三者提供をした状況を報告させることによって、株式会社中央ビジネスサービスの法遵守状況を注視していくこととする。
① 不適正取得（法第 20 条第１項の規定違反）
Ｘから大量の個人データを取得するに当たり、Ｘによる個人データの提供が法第 27 条第１項の規定に違反すること（第三者提供についての本人同意を得ていない等）を知り、又は容易に知ることができるにもかかわらず、Ｘから個人データの提供を受けて個人情報を取得していた行為は、法第 20 条第１項の規定に違反する。
② 第三者提供を受ける際の確認義務（法第 30 条第１項第２号）違反
Ｘから個人データの提供を受けるに際し、Ｘから当該個人データの取得の経緯の確認を行っていなかった。
イ 当委員会が法第 146 条第１項の規定により実施した報告等の求めに対し、虚偽の報告をした事実が確認されたため、刑事告発を実施する。
Ｘから大量の個人データを取得するに当たり、Ｘによる個人データの提供が平成 27 年改正法第 23 条第１項の規定に違反すること（第三者提供についての本人同意を得ていない等）を知り、又は容易に知ることができるにもかかわらず、Ｘから個人データの提供を受けて個人情報を取得していた行為は、平成 27年改正法第 17 条第１項の規定に違反する。
令和４年４月以降、法第 27 条第２項本文の規定（オプトアウト規定）により、Ｘから法 20 条第１項の規定に違反して取得した個人データを第三者に提供することは禁止されており（同項ただし書2）、本人同意を得ることなく当該個人データを第三者に提供していた行為は、法第 27 条第１項の規定に違反する。
③ 第三者提供を受ける際の確認義務（平成 27 年改正法第 26 条第１項第２号）違反
Ｘから個人データの提供を受けるに際し、Ｘから当該個人データの取得の経緯の確認を行っていなかった。
⑶ 詳細は、別紙３「株式会社中央ビジネスサービス及びネクストステージ合同会社に対する個人情報の保護に関する法律に基づく行政上の対応について」参照。
【2024年1月24日リリース分】
平素より、東本願寺出版ホームページをご利用いただきありがとうございます。
2023年10月の東本願寺出版ホームページリニューアルに伴い、旧ホームページの使用を終了いたしましたが、
現在、旧ホームページにアクセスした場合、
東本願寺出版とは関わりのない団体のホームページが表示されております。
これは、新ホームページ開設の際に旧ホームページのサーバーを解約しドメイン（※）を東本願寺出版から手放した後に、
第三者の方が、ドメインを取得し、新たなサーバーでWEBサイトを立ち上げていることによるもので、
弊部にて内容を変更することはできません。
つきましては、あらためて東本願寺出版のリニューアル後のホームページをご利用いただけるよう周知に努めてまいります。
また、お手数ではございますが、お気に入り登録をされている方は、
リニューアル後のＨＰ https://books.higashihonganji.or.jp/
を再度ご登録いただきますようお願いいたします。
引き続き東本願寺出版をよろしくお願い申し上げます。
※ドメイン・・・インターネット上の住所
2024年6月10日に公表しました「ランサムウェア被害発生についてのお知らせ（初報）」及び同年7月10日に公表しました「ランサムウェア被害発生についてのお知らせ（第2報）」につきまして、その後、外部専門機関などの支援を受けながら影響の範囲等の調査と復旧への対応を継続して進めておりましたが、この度、本事案に関するフォレンジック調査（※）が終了し、報告書を受領しましたので、当該調査結果及び再発防止に向けた取り組みについてご報告申し上げます。
当グループのシステムは、現時点で新しいサーバおよびセキュリティ環境の下で稼働しており、現時点まで今回のランサムウェア被害に関わる情報流出は確認されておりません。
お取引先様、関係先の皆様に多大なるご心配とご迷惑をおかけすることになりましたことを深くお詫び申し上げます。
（※）デジタル機器の記憶装置から証拠となるデータを抽出し、サーバや通信機器等に蓄積されたログ等の証跡情報から発生した事象を明らかにする手段や技術
6月4日（火）夜に税理士法人髙野総合会計事務所、髙野総合コンサルティング株式会社及び監査法人TSK（以下、当グループとします。）のデータ管理サーバにおいて発生したアラートを契機に、速やかに当該データサーバの隔離および当グループネットワークのインターネット遮断を実施し、委託業者（※１）による調査を行ったところ、6月6日（木）夜にランサムウェアによる被害が発生していることを確認しました。
（※1）当グループのITシステムの保守を委託している業者
６月７日（金）より外部専門機関による調査を行い、下記の事項が判明いたしました。
・６月４日（火）に外部（海外）より複数サーバに対して不正アクセスが行われていたこと
・不正アクセスに先立つ5月26日（日）に行われた当グループのインターネット接続点に設置する通信機器の更新作業において、委託業者が通信機器の設定を誤った結果、当グループのデータサーバに不正アクセスできる状態であったこと
・当該経路から不正アクセスが行われ、ウィルス対策ソフトの停止を含む当グループのセキュリティ対策の無効化が行われたのちに、ランサムウェアが実行された可能性が高いこと
調査の結果、データサーバの一部で保管しているファイルがランサムウェアにより暗号化されていることが判明しました。暗号化されたデータには、お取引先様からお預かりしたデータも含まれており、当該お預かりしたデータには氏名、住所、電話番号等の 個人情報が含まれていることを確認しております。なお、個人情報保護法に基づき、お取引先様と連携して対応を進めております。
調査の結果、外部との微量な通信が確認されているため、情報漏えいの可能性を完全に否定することはできないものの、現時点では、個人情報を含む各種情報が外部に流出したことを示す事実や、攻撃者によって情報が公開されている事実は確認されておりません。
現在、本事象の影響を受けない形で新たなシステム環境を構築し、業務を復旧しております。なお、今後も情報漏えいの有無について、外部専門機関により監視を継続し、新たな事実が判明しましたら、お知らせいたします。
本事案について外部専門機関等と連携して、今後の情報セキュリティ面の強化及び再発防止のための対策を講じております。
①業務委託におけるセキュリティリスクの評価
➁業務委託のセキュリティリスクに応じた委託先への安全管理措置の策定、実施の要求、実施状況の把握
③委託契約における監督権限の明文化
④その他委託先の選定及び監督に必要な行為の実施
①IT環境の刷新
本インシデントの影響を受けない環境とするため、ネットワーク、システム、端末を含むIT環境を新たに構築して業務を再開しております。
➁アクセス制御の強化
ネットワーク境界をベースとしたアクセス制御からID認識ベースのアクセス制御に移行することにより厳格なアクセス制御を適用しております。
③認証強化
ID認識ベースのアクセス制御への移行とあわせ、多要素による認証強化を行っております。
④監視機能の強化
最新のセキュリティソリューションの導入のほか、認証および端末操作のログ取得を通じて、異常検知の強化を行ってまいります。
リリース文（アーカイブ）
【2024年7月10日リリース分】
【2024年6月10日リリース分】
当組合は今回の事案を重く受け止め、皆様にご迷惑とご心配をおかけしておりますことを、深くお詫び申し上げます。
2024年8月22日、関西情報センターより、ヒロケイのサーバーにランサムウェアによる不正アクセスがあり、本来は削除されているべき当組合のデータが格納されていたサーバーも対象となった旨の報告がありました。
2024年8月28日には、関西情報センターより、詳細情報が提供されました。
氏名、性別、生年月日、住所、電話番号、保険証の記号番号
※医療機関受診歴や健康診断結果等のセンシティブな情報、マイナンバーは含まれておりません。
86,936名（2017年当時の資格喪失者、被保険者及び被扶養者）
※当組合とヒロケイのネットワークは接続しておりませんので、上記以外の情報については漏えいのおそれはありません。
現時点において、本件による情報の不正利用などの事実は確認されておりませんが、不審な電話や郵送物が届くような事象が発生した場合は、応答や開封の際は慎重なご対応をお願い申し上げます。
関係機関（個人情報保護委員会及び近畿厚生局）には、2024年8月23日に必要な報告を行っており、再発防止の徹底に最大限努めてまいります。
ご連絡先が把握できております皆様には、9月末から順次、個別にお知らせの手紙をお送りする予定です。また、個別にご連絡ができない皆様には、本発表を以て、通知と代えさせていただきます。
今後、新たな事実が判明した場合には、改めてご報告申し上げます。
さて、当健康保険組合の業務委託先（株式会社ヒロケイ）において、社内サーバーへの不正アクセスがあり、被害を受けた社内サーバーの中に、当健康保険組合の個人情報が含まれていたことが判明し、関係者の皆様へは多大なるご迷惑とご心配をお掛けすることとなり、深くお詫び申し上げます。また、ご報告までに期間を要しましたこと重ねてお詫び申し上げます。
今後このような事態を二度と起こさないよう十分注意し、委託先に対し、必要かつ適切な監督を行うとともに、引き続き、関係各所と連携を取りつつ適切な対応に努めてまいります。
現在判明している事実と対応につきましては、下記のとおりでございます。
なお、当健康保険組合のネットワークにつきましては、業務委託先のネットワークと物理的に分断されており不正アクセスによる被害はございません。
２０２４年６月３日、当健康保険組合の業務委託先（株式会社ヒロケイ）において、社内サーバーへの不正アクセスがあり、社内サーバー内のデータが一部、暗号化されたことが確認されました。
外部専門家の調査によりますと社内サーバーの脆弱性及びＶＰＮルータの設定不備により外部から攻撃を受けたものと推測されております。
調査を進める中で、この社内サーバー内に本来削除されているべきである当健康保険組合の個人情報が残っていたことが判明いたしました。
現時点で皆様の個人情報の漏えい事実は確認されておりません。
氏名、性別、生年月日、２０１６年(平成２８年)７月請求分の診療情報、被保険者証記号・番号、保険者番号、保険医療機関・保険薬局の名称及び所在地
速やかに個人情報保護委員会など関係各所へ届け出るとともに二次被害防止を図っておりますが、現在までに上記の個人情報が不正に使用されたとの報告はございません。
引き続き二次被害発生状況の監視を行い、二次被害等の新たな情報が発覚した場合は、速やかにご報告させていただきます。
「個人情報対応窓口」（株式会社ヒロケイ専用ダイヤル）
電話：0120-345-634（受付時間 平日9:00～17:00）
このたび、当財団の委託先である株式会社ヒロケイ（https://www.hirokei.co.jp/）が外部からのサイバー攻撃を受けたことから、ヒロケイ社のサーバ内に保管されていた個人情報が漏えいしたおそれがあることを確認いたしました。
お客さまをはじめ関係者の皆さまには、ご迷惑とご心配をおかけしておりますことを深くお詫びいたします。
本件に関する影響範囲調査に基づき、現在、判明している事実関係等についてご報告いたします。
２０２４年４月に、ヒロケイ社が外部からサイバー攻撃を受け、攻撃を受けたサーバに、過去に当財団のお客さまから取得した健康関連事業に関する個人情報が含まれておりました。
調査で検出された不正プログラムの特徴から、個人情報漏洩の可能性はあるものの、現時点では漏洩した痕跡は検出されておりません。しかしながら、漏洩の可能性を完全に否定することは難しいことから、漏洩に関する調査を継続しております。
ヒロケイ社のサーバの脆弱性およびＶＰＮルータの設定不備から、ランサムウエア「Phobos」のリモートアクセスによるサイバー攻撃を受けたものです。
委託先と連携しながら、関係するお客さまには、個別にご報告し対応しております。今後、委託先管理の厳正化や委託先を含めた研修の実施等、再発防止策を実施してまいります。