【セキュリティ事件簿#2025-086】株式会社リアライブ 当社のサーバーに対する不正アクセスの発生について 2025/2/27

 

株式会社リアライブ（以下、「当社」といいます。）において、作業用に使用していたサーバー（以下、「作業用サーバー」といいます。）に対する第三者からの不正アクセスの痕跡が発見され、当社が保有する個人情報が一部漏えいした可能性があることが判明いたしました。

お客様、お取引先様をはじめとする関係者の皆様には、多大なるご心配とご迷惑をおかけすることとなり、深くお詫び申し上げます。

１．経緯について

2025年２月25日（火）13時20分頃、作業用サーバーにおいて、当社の従業員がデータベースの移行作業を行っていたところ、14時30頃になって、作業用サーバーに保存していた個人情報を含むデータが消失したことが発覚し、同時に、作業用サーバーが、第三者から不正にアクセス（以下、「本件不正アクセス」といいます。）されたと思われる痕跡を発見いたしました。なお、移行作業中のデータベースは予めバックアップにより保全していたため、消失などの被害はありません

本件不正アクセスにより、当社が保有する個人情報が一部漏えいした可能性があるため、当社は事態を重く受け止め、本件不正アクセスの発生直後から、以下の対応策を実施しております。

①不正アクセスを受けた作業用サーバーの利用を停止し、作業に使用していたPCを、インターネット並びに社内ネットワーク環境から遮断。

②情報セキュリティ対策を行う外部の専門会社（以下、「専門会社」といいます。）の支援を受けながら、不正アクセスを受けた可能性・経緯について調査を行い、対応策について協議。

③当社親会社であるブティックス株式会社内に対策本部を設置し、原因の特定、被害状況の確認、二次被害の防止策の実施、情報漏えいした可能性がある情報の特定、再発防止策の策定を行う。

④警察に連絡するとともに、個人情報保護委員会に報告。

２．情報漏えいの可能性がある個人情報等について

現在判明しているのは、個人情報を含むデータが作業用サーバーから消失した事実のみであり、情報漏えいについては判明しておりません。現在、専門会社の支援を受けながら、情報漏えいの可能性について調査を実施しております。

なお、現時点で判明している「情報漏えいの可能性がある個人情報等」は以下の通りです。

※情報漏えいの可能性のある個人情報には、住所、クレジットカード情報は含まれておりません。

リリース文（アーカイブ）

【セキュリティ事件簿#2025-085】株式会社セントラル 弊社が運営する「トータル WEB SHOP」への不正アクセスによる 個⼈情報漏えいに関するお詫びとお知らせ 2025/3/3

 

このたび、弊社が運営する「トータル WEB SHOP」におきまして、第三者による不正アクセスを受け、お客様のクレジットカード情報（2,460 件）、および個⼈情報（9,120 件）が漏洩した可能性があることが判明いたしました。

お客様をはじめ、関係者の皆様に多⼤なるご迷惑およびご⼼配をおかけする事態となりましたこと、深くお詫び申し上げます。

なお、クレジットカード情報、および個⼈情報が漏洩した可能性のあるお客様には、本⽇より、電⼦メールにてお詫びとお知らせを個別にご連絡申し上げております。電⼦メールがお届けできなかったお客様、ご登録のないお客様には、書状にてご連絡させて頂きます。

弊社では、今回の事態を厳粛に受け⽌め、再発防⽌のための対策を講じてまいります。

お客様をはじめ関係者の皆様には重ねてお詫び申し上げますとともに、本件に関する概要につきまして、下記の通りご報告いたします。

1．経緯

2024 年 7 ⽉ 17 ⽇に警察より、弊社サイトを利⽤したお客様のクレジットカードの情報の漏洩懸念について連絡を受け、2024 年 7 ⽉ 19 ⽇弊社が運営する「トータル WEBSHOP」でのクレジット決済を停⽌いたしました。

その後、第三者調査機関による調査も開始いたしました。2024 年 9 ⽉ 11 ⽇に調査機関による調査が完了し、2021 年 5 ⽉ 26 ⽇〜2024 年 7 ⽉ 19 ⽇の期間に「トータル WEBSHOP」で購⼊されたお客様クレジットカード情報が漏洩し、⼀部のお客様のクレジットカード情報が不正利⽤された可能性があることを確認いたしました。

また、2015 年 8 ⽉ 28 ⽇〜2024 年 7 ⽉ 19 ⽇の期間に「トータル WEB SHOP」で⼊⼒された個⼈情報が漏洩した可能性があることも確認されました。

以上の事実が確認できたため、本⽇の発表に⾄りました。

2.個⼈情報漏洩状況

（1）原因

 弊社が運営する「トータル WEB SHOP」のシステムの⼀部の脆弱性をついたことによる第三者による不正アクセスにより、ペイメントアプリケーションの改ざんが⾏われたため。

（2）クレジットカード情報漏洩の可能性があるお客様

2021 年 5 ⽉ 26 ⽇から 2024 年 7 ⽉ 19 ⽇の期間中に「トータル WEB SHOP」においてクレジットカードの決済をされたお客様 2,460 名で、漏洩した可能性のある情報は以下の通りです。

・クレジットカード番号

・有効期限

・セキュリティコード

上記に該当する 2,460 名のお客様については、別途、電⼦メールにて個別にご連絡申し上げます。電⼦メールがお届けできなかったお客様、ご登録のないお客様には、書状にてご連絡させて頂きます。

（3）個⼈情報漏洩の可能性があるお客様

2015 年 8 ⽉ 28 ⽇〜2024 年 7 ⽉ 19 ⽇の期間中に「トータル WEB SHOP」で個⼈情報を⼊⼒されたお客様，9,120 名で、漏洩した可能性のある情報は以下の通りです。

注⽂者、会員登録情報として

・⽒名

・住所

・メールアドレス

・電話番号

・FAX 番号

配送先情報として

・⽒名

・住所

・電話番号

上記に該当する 9,120 名のお客様については、別途、電⼦メールにて個別にご連絡申し上げます。電⼦メールがお届けできなかったお客様、ご登録のないお客様には、書状にてご連絡させて頂きます。

3.お客様へのお願い

既に弊社は、クレジットカード会社と連携し、漏洩した可能性のあるクレジットカードによる取引のモニタリングを継続して実施し、不正利⽤の防⽌に努めております。

お客様におかれましても、誠に恐縮ではございますがクレジットカードのご利⽤明細書に⾝に覚えのない請求項⽬の記載があった場合は、たいへんお⼿数ですが同クレジットカードの裏⾯に記載のクレジット会社にお問い合わせいただきますよう、併せてお願い申し上げます。

なお、お客様がクレジットカードの差し替えをご希望される場合、クレジットカード再発⾏の⼿数料につきましてはお客様にご負担をお掛けしないよう、弊社よりクレジット会社に依頼しております。

4．再発防⽌策ならびに弊社運営するサイトのクレジット再開について

弊社はこのたびの事態を厳粛に受け⽌め、調査結果を踏まえてシステムのセキュリティ対策および監視体制の強化を⾏い、再発防⽌を図ってまいります。

改修後の「トータル WEB SHOP」のクレジット再開⽇につきましては、決定次第、改めてＷＥＢサイト上にてお知らせいたします。

また、弊社は今回の不正アクセスにつきまして、監督官庁である個⼈情報保護委員会は2024 年 8 ⽉ 21 ⽇に報告済であり、また所轄警察署にも 2024 年 7 ⽉ 18 ⽇被害申告しており、今後捜査にも全⾯協⼒してまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2025-084】東北電力株式会社 不正アクセスによる「おでCafe」サイト一時閉鎖について 2025/2/27

 

イベント＆おトク情報コンテンツ「おでＣａｆｅ」については、外部からの不正アクセスを受けたことから、本日（2月27日）より一時サイトを閉鎖し、改修作業を実施いたします。

同サイトでは個人情報を扱っていないため、本件による外部への個人情報の流失はありません。

ご利用いただいているお客さまには、大変なご心配とご不便をお掛けしておりますことを、お詫び申し上げます。

なお、サイトの再開については、別途お知らせいたします。

リリース文（アーカイブ）

【セキュリティ事件簿#2025-083】デジタルテクノロジー株式会社 当社への不正アクセス被害の発生について 2025/2/27

 

デジタルテクノロジー株式会社（以下、当社）は、当社システムにおいて第三者による不正アクセスが発生していたことを確認し、当社が保有する情報（個人情報を含むおよび機密情報等）が一部漏えいしたおそれがあることが判明いたしました。

お客様および関係者の皆様に大変なご心配とご迷惑をおかけする事態となりましたこと、深くお詫び申し上げます。

１. サーバー、一部PCの停止の影響について

2025年２月17日に当社システムにおいて障害が発生し、一部のサービスが停止しました。外部のセキュリティ対策企業へ調査を依頼したところ、不正アクセスを受けたことが確認されました。対応として、不正アクセスを受けたサーバー等をインターネットや社内ネットワークから隔離する措置を講じております。影響として、当社の社内システムの一部が使用できなくなっており、被害の影響範囲及び原因等を含め本件の全容を調査中です。あわせて、当社は早急な社内システムの復旧、平常業務の再開に取り組んでおります。お客様および関係者の皆様にはご迷惑とご不便をおかけすることとなり誠に申し訳ございません。

２. 情報等の漏えいについて

当社は、現在も外部のセキュリティ対策企業を含む専門家の支援を受けながら、漏えいした可能性のある情報を特定するための調査を実施しております。必要に応じて関係各所への報告を行っております。今後、調査を進める中で開示すべき事項が発生すれば、速やかに開示を行います。 

なお、本件につきましては、警察への相談を行うとともに、個人情報保護委員会に対しても報告を行っております。

リリース文（アーカイブ）

【セキュリティ事件簿#2025-082】株式会社オーエム製作所 ランサムウェア被害の発生及び個人情報漏えいの可能性に関するお知らせ 2025/2/27

 

このたび、当社 株式会社オーエム製作所のサーバーが第三者による不正アクセスを受け、ランサムウェア感染被害が発生し、オーエム製作所及び子会社が管理している取引先様等の個人情報及び秘密情報が一部外部へ漏えいした可能性があることをお知らせいたします。

本件につきまして、既に対策本部を設置の上、外部専門家の支援を受けながら、影響の範囲等の調査と早期復旧への対応を進めるとともに、警察等の関係機関への相談を開始しております。

被害の全容、原因の把握には、今しばらく時間を要する見込みですが、現時点で判明している内容について、下記のとおりご報告いたします。

このたびは、お取引先様、関係者の皆様には多大なるご心配とご迷惑をお掛けすることになり、深くお詫び申しあげます。

１．不正アクセス発覚の経緯

2025 年 2 月 24 日（月）早朝、オーエム製作所サーバーに対する不正アクセスが発生し、サーバーに保存している各種ファイルが暗号化されていることを確認いたしました。直ちに、外部専門家の協力のもと調査を開始し、復旧作業に取り組むとともに、警察への相談を開始しました。

２．現在の状況と今後の対応

 サーバーに保存していた各種業務データの一部が暗号化され、アクセス不能な状況となっております。

今回の被害に対応するため、関連サーバーを社内ネットワークから切り離すなど、必要な対策を実施してお

ります。また、情報漏えいにつきましては、外部専門家の協力を得ながら現在調査を進めております。詳しい状況が分かり次第、改めてご報告するとともに、皆様へのご迷惑を最小限に止めるべく取り組んでまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2025-081】松山大学 個人情報漏えいの可能性についてのお詫びとご報告 2025/2/26

 

2025年1月3日に松山大学及び松山短期大学(以下、「本学」という。)におきまして、個人情報が漏えいする可能性のある事案が発生いたしました。多大なるご迷惑とご心配をおかけしましたことを深くお詫び申し上げます。

本学では、本件を厳粛に受け止め、個人情報の管理体制を強化し、再発防止に努めてまいります。

1.事案の概要

2025年1月3日14時20分頃、本学の教育職員が、個人情報を含むパソコンを自宅のWi-Fiに接続してインターネットを利用していた際、警告音と共に警告画面が表示されました。教育職員はこれを正規のセキュリティ警告と誤認し、画面の指示に従い、指定された連絡先に電話をかけました。相手の指示に従って操作を進めた結果、パソコンがリモート操作可能な状態となり、不正アクセスを受ける状態となりました。その後、セキュリティ強化として料金の支払いを求められたことで詐欺に気づきましたが、この間にパソコン内のデータが漏えいした可能性があります。

なお、現時点では個人情報が漏えいした事実は確認されておりません。

2.漏えいの可能性のある個人情報(パソコンに保存されていた個人情報)

件数：ファイル数488個、実人数889名

内容：学籍番号、氏名、生年月日、性別、成績、レポート、編入学試験出願書類

3.発生原因

パソコン操作中に警告画面が表示され、警告音が鳴った際、これを正規のセキュリティ警告と誤認し、偽のサポート窓口に連絡し、指示に従って操作を行ったことが原因です。

4.再発防止策

本学では、本件を厳重に受け止め、2025年1月6日に教職員向けにフィッシング詐欺の手口や対策について説明し、注意喚起を行いました。今後はこのような啓発活動を計画的に行い、適正な個人情報管理の徹底に努めてまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2025-080】一般社団法人くすりの適正使用協議会 くすりのしおりデータベースに対するサイバー攻撃について 2025/2/21

 

一般社団法人 くすりの適正使用協議会（理事長：俵木 登美子）（以下協議会）は、2024年12月末に当協議会のくすりのしおりデータベースに対して行われたサイバー攻撃に関する調査結果、および実施した再発防止策について下記の通りご報告いたします。

なお、同サイバー攻撃によって停止していた『くすりのしおりミルシルサイト』の閲覧サービス、および『くすり教育-担当者のための教材サイト』、以下くすり教育サイト）でのダウンロード機能については、既報のとおり1月17日に再開しています（2025年1月17日付プレスリリース）。

利用者、関係者の皆様には、大変なご不便・ご迷惑をおかけしましたことを深くお詫び申し上げます。

1. 調査結果

(1) 経緯と概要

サイバー攻撃の発生と復旧までの経緯の概要は以下のとおりです。

2024年12月29日16時17分、くすりのしおりミルシルサイトから侵入され、くすりのしおりデータベースが改ざんされた。

翌30日22時35分、当協議会職員がくすりのしおりミルシルサイトの製品名欄に不正な記載を発見し、システム管理会社に連絡。具体的には、くすりのしおりミルシルサイトにおいて、くすりのしおりの製品名と患者向け資材の資材名に外部不正サイトを示すテキストが付記されていた。該当箇所をクリックしても外部不正サイトへの誘導は行われないことを確認。

翌31日午前1時頃、くすりのしおりミルシルサイトを含めたくすりのしおり関連システムをすべて停止し、さらにくすり教育サイトでの教材ダウンロード機能を停止。

調査の結果、くすりのしおりデータベースにおいて、製品名、資材名以外の複数個所に同じ不正なテキストが挿入され改ざんされていることを確認。また、サーバーへの不正侵入、ログの改ざん、情報漏洩はないことを確認。

アクセスログおよびソースコードの調査により脆弱性の原因を特定し、プログラムを修正。

2025年1月17日16時30分に、くすりのしおりミルシルサイトを含めたくすりのしおり関連システム、およびくすり教育サイトの復旧を完了し再開。

(2) 原因と攻撃手法

くすりのしおりミルシルサイトの脆弱性が原因で、SQLインジェクションという方法でくすりのしおりデータベースが改ざんされたことが判明しました。

2.　再発防止策

本日までに、くすりのしおりミルシルサイトを含むくすりのしおり関連システム、およびくすり教育サイトに対し、以下の対策を実施しました。

くすりのしおりミルシルサイトに対して脆弱性診断を実施し、SQLインジェクション攻撃への脆弱性を有するプログラムを改修

その他のくすりのしおり関連システム、およびくすり教育サイトに対しても脆弱性診断を実施し、問題がないことを確認

くすりのしおりミルシルサイトを含むくすりのしおり関連システム、およびくすり教育サイトに対し、更なるセキュリティ対策を導入

3.　その他

本件につきましては、警察、独立行政法人情報処理推進機構（IPA）ならびに関係各所に報告済みです。

当協議会は今後、このような事態が発生しないよう、セキュリティ対策および運用の強化に取り組んでまいります。

リリース文（アーカイブ）

SEC道後2025振り返り ～くたばれPPAP～

 

チケットの入手に成功したので、サイバーセキュリティシンポジウム道後2025に行ってきた。

なんだかんだで10回以上も参加している。武漢ウイルス（コロナ）の影響を受けて一時期開催時期が流動的になっていたが、前回から開催時期が3月に戻っている。

この時期は温泉が楽しめるし、みきゃんの食べ比べもできるので幸せ。

アジェンダ＆メモ

■Day1

• 基調講演：サイバーセキュリティ政策の現状と動向について（山内智生氏＠総務省）

基調講演にもかかわらずスライドが表示されないというアクシデントが発生

R5年の通信利用動向調査によるとテレワークを利用したことがない人が7割超いることになっているが、会場参加者とは真逆の状況。これはいったい誰に聞いた調査なんだろう？？？

NICTERによると13秒に1回攻撃関連の通信（調査スキャン等）が発生

代表的なトラストサービス（「電子署名」、「タイムスタンプ」、「eシール」）に関して、タイムスタンプについては確定申告で相当使われているらしい。

自組織内で脆弱性管理（パッチ管理）をバカにしている人が多く困っているのだが、どうも自組織に限った話ではないことが分かった。

生成AIはお役人も惚れ惚れするレベルの文書が作れるらしい。ただし、平気でウソこくのでファクトチェックはかなり重要 

• 講演① -1 ：サイバー空間をめぐる脅威の情勢と取るべき対応（中川陽介氏@警察庁）

（特になし）

• 講演① -2：サイバー空間の脅威の情勢とJC3の主な活動～産官学の連携の現場から～（櫻澤健一氏@日本サイバー犯罪対策センター）
  

JC3はNCFTA（National Cyber-Forensics & Training Alliance）と呼ばれる米国の

非営利法人（サイバー空間における脅威への対処を目的としたとしている）をモデルに設立されたことを知った。日本はアメリカに比べていろいろなものが10年くらい遅れているが、是非継続して取り組みを続けてほしいと思った。

• 特別講演：サイバーインテリジェンスが事業継続にもたらすもの（軍司祐介氏@株式会社マキナレコード）

特別協賛（最上位スポンサー？）のマキナレコード社からのサイバーインテリジェンスに関するセッション

「マキナレコード」って最初聞いた時、音楽関係の会社が事業の多角化でサイバーセキュリティに手を出したのかと思っていた。どうも2016年に創業したサイバーインテリジェンスがメインの会社らしい。

• パネルディスカッション：インシデント対応の現実と理想～ベストプラクティスを求めて～（佐藤公信氏@NICT、間下義暁氏@JAXA、小川久仁子氏@CPP、マキロイ七重氏@JPEC）　　

JAXAといえば、昨年不正アクセスを受けた被害組織であり、インシデント対応をする側の組織と、報告を受ける側の個人情報保護委員会の小川氏、捜査機関の立場になるマキロイ氏のディスカッション。

話を聞いていて思ったのはインシデント発生時の報告・相談先が多すぎる。セキュリティベンダー、監督官庁、NISC、ケーサツ、IPA、JPCERT/CC、 個人情報保護委員会、、、、、インシデント対応しながら複数の関係各所に共有・報告は結構面倒なので、1か所に報告を上げてそこに関係各所がアクセスさせるようにする枠組みが必要と思った。

聞く側は無邪気にあれこれ聞いてくるが、分からないものは割り切って「分かりません」という必要がある。

インシデント発生時にケーサツにうっかり相談すると証拠物件を押収されてしまうという噂があるようだが、被害組織に対して意向を無視して証拠物件の押収を行うことはしないとのこと（個人的に警察への相談はどこまで効果があるのか懐疑的ではあるのだが・・・）。 

 個人情報保護委員会への報告については、報告の仕方含めて相談すれば優しく対応してくれるらしい。

■Day2

冒頭、JNSAの下村氏から挨拶があった。

先日のNSF2025を受けて、「セキュリティは投資ではなくてコスト」の旨を発言。

自分もNSF2025に参加していたので、もう少し補足すると「セキュリティは投資だ」って言うと投資家からはROIを求められる。しかしセキュリティ投資でROIなんて出せるわけないので、だったらセキュリティは事業継続のための必要経費でいいんじゃねってことで、「セキュリティは投資」ということはやめようということになっている。

この結論自体は自身も賛成。

んで、この日例えとして出てきたのが住宅用火災報知器。

任意だと3割くらいの普及率で推移していたが、義務化されて一気に普及率は8割へ。ところが罰則規定がないので100%にならない。

結局セキュリティも将来的には義務化の道を進むのだろうか？

という感じでDay2スタート。

• 講演② ：持続可能な成長に向けた暗号技術の研究開発（大久保美也子氏@NICT）

共通鍵暗号、公開鍵暗号、ハイブリッド暗号あたりまではついていけていたが、途中から完全に脱落。SEC道後2025で最も難解なセッションだった・・・

• 講演③ ：パソナグループにおけるDXの取組みとセキュリティ対策（西本逸郎氏@LAC、河野一氏@パソナ）

西本さんのセッションは個人的にSEC道後で一番楽しみなセッション。詳細は割愛するが、リスキリングでよく活用されるe-learningの実態を知ることができてとても参考になった。

ちなみにインシデント発生時に”①不確実でも早く上げる”のと、”②時間がかかっても正確な情報を上げる”のどちらを選択するのかは結構悩ましいところだが、これは①が正解。②をやると隠蔽の疑いがかけられる。

• ランチセッション：多層防御で実現するメールセキュリティの新時代（加瀬正樹氏@TwoFive）

SEC道後では初！？となるランチセッション

DMARCについて空港の入国審査（入国許可、入国拒否、別室送り）に例える例がすごく参考になった。

ちなみに日本のDMARC普及率（恐らくRejectポリシー普及率）は発展途上国レベルとのこと。ASEANよりも低いのは認識していたが、こういう領域は日本は後進国であることを認識せねばと感じた。

•  講演④：複雑で難しいサイバーセキュリティを単純明快にする～断片的な情報を図解することでつながる理解～（佳山こうせつ氏@TDU/Ridgelinez）

講演中にオンラインで質問を受け付けていたら鋭い質問が来てなかなか面白かった。（「キュン死」自体知らなかったのである意味勉強になった。）

 

結局セキュリティの構成要素は「人」「プロセス」「技術」に収斂することを学んだ。

その他

PPAP総研さんから「くたばれPPAP」ステッカーをもらった。

PPAPのデファクトスタンダードについて、やはり多いのはクラウドストレージになるのだが、画一的な方法に統一する方法はなく、今あるものを使って柔軟にやればよいらしい。そもそもまともにIT投資をしている会社間であればメールサーバ間の通信は暗号化されているのでPPAP不要でそのまま添付ファイルを送ればよいし、PPAPのために追加の投資をする必要もない。

一方でIT投資をしていない（というかメールセキュリティがクソな）会社に対してのみPPAPで送り付ければよいのではという感じの会話をしたのだが、なるほどと思いつつ、後で考えるとそれはそれで大変だとも思った。

ちなみにAWSの新しい正式名称を学んだ。それは、

Adventure World Shirahama

和歌山県で開催される白浜シンポジウムは近くにAWSがあるらしい。

こういう地方開催のシンポジウムは地域経済への貢献にもなるので、来年もチケットが取れればまた松山に来たい。