【セキュリティ事件簿#2025-094】国立研究開発法人量子科学技術研究開発機構　リモートアクセス機器に対する不正アクセスに関するご報告　2025/3/7

国立研究開発法人量子科学技術研究開発機構（以下「QST」という）のリモートアクセス機器（以下「当該機器」という）に対するゼロデイ攻撃※1による不正アクセスが発生しましたので、お知らせいたします。個人情報漏えいの可能性が否定できない状況ですが、現時点で漏えいそのものの痕跡や具体的な被害は確認されておりません。

１．不正アクセス発覚までの経緯

令和７年1月9日（木）

外部セキュリティ機関より受領したネットワーク関連機器の脆弱性情報に、QSTのネットワークで利用している当該機器が対象として含まれている事を情報基盤管理部職員が確認。脆弱性の緊急度及び深刻度を勘案し、安全確保のため同日17:30頃に当該システムを緊急停止しました。

1月14日（火）

当該機器の状況を調査した結果、令和6年12月下旬にゼロデイ攻撃による不正アクセスの痕跡があったことを確認しました。

２．被害状況

テレワーク若しくはリモートアクセス業務を行う目的で、個人情報（メールアドレス、氏名、所属組織名）が当該機器に登録されていることが判りましたが、現時点で当該個人情報の漏えいそのものの痕跡や、漏えいした情報が悪用される等の具体的な被害は確認されておりません。

３．今後の対応

現在、侵害の詳細及び情報漏えいの有無、漏えいが有った場合の範囲など外部委託会社の協力を得て調査を進めているところです。今後、調査を進めQSTとして再発防止措置を含めた情報セキュリティ対策を強化してまいります。

※1)ゼロデイ攻撃

サーバ等IT製品で発見されたセキュリティ上の脆弱性を解消するための対策がメーカー等から提供・公表される前に行われるサイバー攻撃

リリース文（アーカイブ）

【セキュリティ事件簿#2025-093】静岡市生涯学習センター　サーバへの不正アクセスによる個人情報流出の可能性についてお詫びとお知らせ　2025/3/4

平素より、静岡市生涯学習センターのサービスをご利用いただき誠にありがとうございます。

この度、当法人がウェブサイト管理を委託している株式会社静岡情報処理センター（以下「SIC」といいます。）より、ウェブサーバに対して不正アクセス攻撃を受け、お客様情報の一部が外部へ流出したおそれがあるとの報告を受けました。専門調査会社による調査の結果、個人情報が流出した明確な痕跡は確認されませんでしたが、個人情報の保護に関する法律の定めに基づき、対象の方々にお知らせさせていただくものです。

１. 事案の概要　

2024年12月４日に、SICが契約しているサーバ管理会社のサーバが、何者かによる不正アクセス攻撃を

受けたことにより、２. に示す個人情報が流出および閲覧された可能性のあることが判明いたしました。

不正アクセス覚知後、速やかに外部経路からの接続遮断を実施し、接続遮断後の不正アクセスは確認されておりません。また、専門調査会社による調査の結果、個人情報が流出した明確な痕跡は確認されておりません。

２. 流出の可能性がある個人情報

①2024年12月４日までに、生涯学習センターウェブサイト「講座のお申し込みフォーム」ページから送信して下さった申込者の氏名、住所、電話番号、メールアドレス

②2024年12月4日までに、生涯学習センターウェブサイト「講座のお申し込みフォーム」ページから送信して下さった同伴者の氏名

③生涯学習センターのメールマガジンに登録して下さっている方のメールアドレス

３．二次被害又はそのおそれの有無及びその内容

現時点で個人情報が流出した痕跡、不正利用等の事象は確認されておりませんが、不審な連絡等には十分ご注意くださいますようお願い申し上げます。万が一、不審な連絡や行為を確認された場合は、下記窓口までご一報くださいますようお願い申し上げます。

４．今後の対応

当法人は、専門機関の調査結果を受け、同様の不正アクセスがなされぬよう、SICと協議のうえセキュリティ対策の強化に取り組み、再発防止に努めて参ります。

当法人ならびにSICは、このような事態が発生したことを大変重く受け止めており、

お客様に多大なるご迷惑とご心配をおかけしておりますことを、深くお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2025-092】NTTコミュニケーションズ株式会社　当社への不正アクセスによる情報流出の可能性について　2025/3/5

NTTコミュニケーションズ株式会社(以下 NTT Com)は、当社の設備が不正アクセスを受けたことを2月5日に発見し、一部の情報が外部に流出した可能性があること(以下本事象)を2月6日に確認しました。

社内調査の結果、当社の社内システムである、オーダ情報流通システム※1に格納されていた法人のお客さま向けサービスの一部の情報が外部に流出した可能性があることが判明しました。なお、個人のお客さま向けサービスに関する情報は含まれておりません。

2月5日に初動措置を実施し、2月15日に不正アクセスを受けた装置を遮断する措置を実施しております。

影響を受けた可能性があるお客さまには、順次連絡を差し上げております。なお、現時点においては、お客さま情報の不正利用などの事実は確認されておりません。

お客さま、関係者の皆さまには、多大なご迷惑およびご心配をおかけすることとなり、誠に申し訳ございません。心よりお詫び申し上げます。

※1：オーダ情報流通システムとはサービスの開通や変更に関わる情報を管理、流通するシステムです。

1.不正アクセス発見の経緯、当社の措置状況

2月5日に当社情報セキュリティ部が社内ネットワーク内のオーダ情報流通システム内の装置Aに対する通信で不審なログを検知しました。検知後、同日、オーダ情報流通システム内の装置Aの入口を制限する初動措置を実施しました。

その後、詳細な調査を開始し、装置Aと周辺システムへの通信ログを解析した結果、オーダ情報流通システムから一部の情報が流出した可能性があることが2月6日に判明しました。

調査を継続した結果、2月15日に社内ネットワークにある装置Bに不正アクセスがあったことを特定し、同日、装置Bを社内ネットワークから遮断しております。

【発生事象の概要図】

2.お客さまへの影響

現時点で、流出の可能性が判明している情報は以下のとおりです。本事象の影響を受けた可能性があるお客さまには、順次、当社の営業担当もしくは封書によりご案内させていただきます。なお、当社より本件に関する電子メールでのご案内はいたしません。

情報流出した可能性のあるお客さま数：

17,891社

対象サービス：

一部の法人のお客さま向けサービス

＊株式会社NTTドコモが提供する法人名義のスマートフォン・携帯電話の契約は対象外です。

流出の可能性のある情報：

契約番号、お客さま名(ご契約名）、お客さまご担当者名、電話番号、メールアドレス、住所、サービスの利用に係る情報

3.今後の対応

再発防止のためのセキュリティ対策、監視体制のさらなる強化を進め、より一層のサービス品質の向上を図ってまいります。

新たにお知らせすべき内容が判明した場合、速やかに情報を開示してまいります。なお、個別のお客さまに関する情報の開示は、機密保持の観点から差し控えさせていただきます。ご理解賜りますよう、よろしくお願い申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2025-091】株式会社ポケモン　新規会員の個人情報漏洩、および、緊急サイトメンテナンスのお詫び　2025/3/4

平素よりポケモンセンターオンラインをご利用いただき、ありがとうございます。

2月28日（金）に、ポケモンセンターオンラインにて障害が発生し、

リニューアル後に新規会員登録を申し込んだお客様のメールアドレスが、他の新規会員様の会員情報に登録されてしまう場合がある、という事象を確認いたしました。

また、それに伴い、2025年2月28日（金）10時36分より、緊急サイトメンテナンスを実施させていただきました。

この度は、多大なるご迷惑とご心配をおかけしましたこと、深くお詫び申し上げます。

当該事象については、既に解消されております。

および、漏洩の可能性のあるお客様へは、ポケモンセンターオンラインサポートデスクより個別にお詫びのメールを差し上げております。

【会員登録の障害について】

＜発生期間＞

2025年2月28日（金）10時00分～10時36分

※リニューアルオープンから、サイトの公開一時停止までの期間

＜対象＞

326件

＜概要＞

複数のお客様が同時刻に新規会員登録を申し込んだ場合、ご本人のものではないメールアドレスで会員登録されてしまった場合がある

＜漏洩した可能性のある個人情報の種類＞

①メールアドレス

事象の発生期間に新規会員登録申請をした一部のお客様

②会員氏名 / お届け先氏名 / お届け先住所

事象の発生期間に新規会員登録をした、および、ご注文をされた一部のお客様

リリース文（アーカイブ）

安く旅する方法

旅行を阻む最大の要因は「お金」であり、多くの人がその解決方法を求めています。一方で、旅行はお金持ちである必要はなく、創意工夫さえあれば予算内で、あるいは無料で旅行することが可能です。旅行保険のような妥協できない費用はあるものの、低予算や無料で旅行できる具体的な方法がいくつかありますので紹介します。

海外で働く

選り好みしない限り、世界にはたくさんのチャンスがあります。これらは単に旅行のためにお金を稼ぐ方法で、キャリア形成になることはありません。

Au pair
Au pairは、ホストファミリーの子供の世話を手伝う住み込みの仕事です。その代わり、部屋代と食事代が無料になり、少額の給料がもらえます。
バーテンダー
スキルがあれば海外に移籍しやすい仕事です。バーテンダーとしてのスキルがない場合は、皿洗いなども考えられます。
Hostel worker
ホステルの従業員の仕事は新しい土地に慣れながら、他の旅行者と知り合うには最高の方法です。Worldpackers、Workaway、HelpXの3つのウェブサイトが、ボランティア先のホステルを探すのに役立ちます。
ウエイター/ウェイトレス
世界には、観光客の多い時期に人手を必要とするレストランが山ほどあります。経験があれば、海外で簡単に見つけられる仕事です。
ダイビングインストラクター
ダイブインストラクターはどこでも必要とされる仕事なので、資格さえ持っていれば、旅に出やすい仕事です。何より、これらの仕事はたいてい絵に描いたようなトロピカルな場所で行われます！
ツアーガイド
歴史に造詣が深く、人前で話すことに抵抗がない人にはぴったりの仕事です。また、通常は現金払いなので、チップを直接受け取ることができます。
クルーズ船員
この仕事は先に紹介した仕事よりもずっと堅苦しいですが、旅をするには最高の仕事です。拘束時間は長いですが、海上での生活には格別なものがあります！
スキーリゾートの季節労働者
インストラクター、レストランスタッフ、ホテルスタッフ、ライフガード......スキーリゾートはあらゆる種類のスタッフを必要としています。
ヨットワーカー
拘束時間は長いかもしれませんが、お金持ちや有名人のヨットで働くことで、大金を稼ぐことができます。何よりも、たいてい素晴らしい目的地に行くことができます！ヨットに乗っている間、とても幸せな気分になることでしょう！
ヨガインストラクター
スキル（と資格）があれば、海外でヨガを教えることはお小遣いを稼ぐ簡単な方法です。言葉の知識は必要かもしれませんが、ヨガスタジオは世界中のほとんどの都市にあります。

海外で働くという選択肢は、難しそうだからと敬遠されがちです。しかし、そんなことはありません。これらの仕事には、高度な学位や多くの実務経験も必要ありません。

ただし、高給の事務職には就けません。あくまで旅行代を稼ぐための（低賃金な）仕事です。

WWOOFingに参加し、農場で働く

WWOOFとは、World Wide Opportunities on Organic Farmsの略です。無料の部屋と食事を提供する代わりに、農場で働くことができるプラットフォームです。大自然とふれあいながら、目的地をより深く知ることができる素晴らしい方法です。農場に行くにはお金がかかりますが、そこに着いてしまえば、あとはすべてカバーされます！安く旅行できるだけでなく、ユニークな体験ができ、たくさんの素敵な人たちと出会えます。

WWOOFは世界130カ国にあり、12,000人以上のホストと100,000人以上のWWOOFerがいます。WWOOFerに最も人気のある目的地は、ポルトガル、フランス、イタリア、コスタリカ、オーストラリア、ニュージーランド、ハワイです。

ちなみにブラジルには弓場農場がある。こちらはいつか行ってみたい。

参考：ブラジルの弓場農場　生きるのに必要なものは全部ここにあるブラジル【世界一周376~384日目】

シェアリングエコノミーの活用

シェアリングエコノミーを利用して、より安い宿泊施設、風変わりなツアーガイド、ライドシェアのオプション、地元のシェフによる家庭料理を見つけましょう。シェアリング・エコノミーのウェブサイトを利用すれば、従来の旅行業界をバイパスして、地元の人たちが自分たちの資産やスキルを活かして、より安い価格で小さな旅行会社になっているところにアクセスすることができます。さらに、地元の人々はどこでお得な情報を見つけられるかを知っています。どこのスーパーマーケットが一番安いか、どの店が一番セールをやっているか、どこの穴場レストランやバーが一番安くて美味しいかを知っています。彼らと直接話すことで、その知識を得ることができます。

BlaBlaCar
ライドシェアアプリで、車に余分な座席を持っているドライバーとつながれます（主に中長距離用で、ヨーロッパメイン）。
EatWith
個人的な食事を提供する地元の料理人とつながるプラットフォーム。
RVShare
このウェブサイトでは、RV車やキャンピングバンを地元の人から直接借りることができます。
Turo
地元の人から車を借りることができるカーシェアリングマーケットプレイス。
Campspace
このプラットフォームでは、私有地でキャンプをすることができます。基本的なテント区画から豪華なグランピングやRV車での滞在まで、さまざまな物件があります。
Trusted Housesitters
ペットシッターやハウスシッターサービスを無料で提供する地元の人との交流の場。

自炊

旅先でお金を節約する最善の方法は、すべての食事を自炊することです。

ホステルに泊まるなら、キッチンのある宿を予約して、料理をするスペースを確保しましょう。カウチサーフィンやAirbnbを利用する場合は、おそらくホストがキッチンを持っているはずです。

キッチンがない？自分の容器とカトラリーを用意して、外出先でサンドイッチやサラダを作りましょう。すべての食事にコンロが必要なわけではないのですから。

旅行中だからといって、毎食外食する必要はありません。1日だけ外食を控えても、旅行が台無しになることはありません！せっかくの旅行で食費をたくさん使う必要はありません！

学生割引

学生証、教員証、ユースカードを発行して、海外滞在をお得に過ごしましょう。

博物館、美術館、その他の主要な観光名所には、たいてい割引があります（特にヨーロッパ）。

社会人でも放送大学に入れば国際学生証が入手可能です。

スキルを生かす

Craigslist（70カ国で運営）や、TaskRabbit（主に米国とカナダ、イタリアとスペインでも運営）、Gumtree（主に英国）などで、家の周りのちょっとしたことを手伝ってほしい人など、有料の奇妙な仕事を探すことができます。長期的な仕事に就くことなく、旅先でお金を稼ぐ方法の一つです。

無料宿泊

無料で泊めてくれる地元の人と旅行者をつなぐサービスはたくさんあります。こうしたサイトを利用すれば、宿泊費を支払う必要はありません。

個室が用意されることもあれば、ソファやエアマットレスだけが用意されることもありますが、いつも無料です。このようなウェブサイトを利用すれば、お金をたくさん節約できるだけでなく、観光コースから外れて地元の生活に入り込むことができます。

Win-Win です！無料宿泊に使えるウェブサイトのリストはこちら：

無料ウォーキングツアーに参加する

この街について学び、自分の位置を把握し、主要な観光スポットを見たいですか？無料のウォーキングツアーに参加しましょう。現地の観光局やホステルのスタッフに尋ねるか、「無料ウォーキングツアー（都市名）」でググってみてください。

地元のガイドに質問しながら、その都市についてしっかり学ぶことができます。

ただ、最後にガイドにチップを渡すことをお忘れなく（それがガイドの報酬になります）。

https://www.freetour.com/

出典：How to Travel Cheap: 16 Ways to Travel for Cheap or Free

【セキュリティ事件簿#2025-090】ひろしプロジェクト　不正アクセスによるブログサイト改ざんと個人情報漏えいのお詫び　2025/3/1

この度、当方 (ひろしプロジェクト) が運営しております『夜行バス・高速バス・鉄道乗車記サイト「ひろしプロジェクトWEB」』のWebサイトのサーバーに、外部より不正アクセスがありました。

これにより、ブログサイトの改ざんおよび独自メールマガジン「Norifan」にご登録いただいています一部のお客様情報が流出したことが判明しました。

本件でお客様には、多大なるご迷惑とご心配をおかけしましたごと、深くお詫び申し上げます。

今回の不正アクセスでの被害の状況、漏洩の範囲など、以下の通りにご報告させていただきます。

プログサイト改ざん内容とその影響

契約しているレンタルサーバー内のフォルダにマルウェアを仕込まれ、ブログサイトのトップページが書き換えられるとともに、Googleの検索結果に不正なページを勝手に登録されてしまう (サイトマップインジェクション) 事象が発覚いたしました。

※トップページ以外の個別記事や個別ページに被害はありませんでした。

流出した個人情報と件数

会員登録されているお客様約260名分

(2013年へ2025年02月22日に独自メールマガジン「Norifan」トップページから登録された方)

く個人情報の詳細>

・氏名

・年齢※

・メールアドレス

・住所※

※印 : ご入力いただいた方のみ

現在把握している改ざんされていた可能性がある期間

2025年02月22日 02:00 ～ 2025年02月25日 01:00

経緯と改ざん発覚後の対応

02月25日 01時00分頃出先にてX (旧Twittter) のフォロワー様から「ウェブサイトが第三者に乗っ取られたのか、私宛に個人情報流出を知らせるメールが届いた」というXの書き込みを確認。
ブログサイトを確認したところ、トップページが改ぎんされているのを確認。
また、悪意のある者が私のメアドを利用して個人情報流出を知らせるメールを大量送信しようとしていた形跡も確認。
ただし、殆どが送信失敗しており、レンタルサーバー会社のメールサーバー側で送信を阻止していた模様。その旨、当方のメールアドレス宛に通知が着信。
上記事実の発覚後、緊急処置としてブログサイトへのアクセス停止を実施。
02月25日 16時10分頃もう一人のX (旧Twittter) のフォロワー様から「私宛に個人情報流出を知らせるメールが届いた」という書き込みがあったのを確認。
02月25日 16時10分頃から本格的に原因調査とサーバーの復旧作業 (ブログのリカバリ作業も含む) に取り掛かる。
※移動しながらの作業であったため、原因調査と復旧に時間を要してしまいました。
02月27日 02時00分頃復旧。

原因

詳細を調査中ですが、悪意のある者がFTPサーバーに侵入し、独自メールマガジン「Norifan」を管理していたサーバー設置型メーラー「acmailer」のフォルダにマルウェアを設置し個人情報を抜き取ったと同時に、ブログサイトのフォルダ内に悪意のあるphpファイルの設置とトップページの改ざんを行っていました。

サーバー設置型メーラー「acmailer」につきましては、以前から脆弱性が指摘されており、当方でもアップデートを行っていました。

また、FTPサーバーにつきましても、ログインパスワードを複雑なものにするなど対策してはいましたが、結果としてこの様な状況になってしまったことに、改めてお詫び申し上げます。

当面の処置と今後の対策について

ブログサイトにつきましては、復旧作業を実施済みです。
サーバー設置型メーラー「acmailer」につきましては脆弱性が指摘されているごとや、運用回数が減っていることなどから、独自メールマガジン「Norifan」の運用を終了させていただくごとになりました。
これに伴い、該当する個人情報は全てサーバーから削除いたしました。
WordPressの管理者ログインURLとログインパスワード、データベースのパスワード、FTPパスワードを変更しました。
WordPressの管理者ログインに2段階認証を導入した他、新たなWordPress用セキュリティプラグインを導入するなど、セキュリティ面を強化しました。
今後、プラグインの見直しを実施するとともに、テーマの変更・サイトのリニューアルを検討いたします。

詳細が決まりましたら改めてお知らせいたします。

ご利用のユーザーの皆さまへのお願い

上記期間中に、当方ブログサイトにアクセスされた可能性があるユーザーの皆さまにおかれましては、誠にお手数ですが、お手持ちのセキュリティソフトを最新の状態にし、不正なプログラムの感染確認・駆除の実施をお願い申し上げます。

差出入や件名に心当たりのない不和審なメールを受信した場合は、ウイルス感染や不正アクセス等の危険がありますので、メールに添付されているファイルは開封せず、メール自体を直ちに消去いただくようお願いいたします。

会員登録されていたメールアドレスを他のWEBサービスなどでご利用されている方は、誠にお手数ですが、パスワードの変更などご対応をお願いいたします。

本件につきましては、ご迷惑及びご心配をお掛けいたしましたことを重ねて深くお詫び申し上げますと共に、今後はさらに対策・監視を強化し万全を期して運営して参ります。

リリース文（アーカイブ）

【セキュリティ事件簿#2025-089】株式会社イシクラ　不正アクセスによる情報漏えいのおそれがある事案の発生に関するご報告とお詫び　2025/3/4

弊社が提供するレイアウトサービスのシステムサーバーが外部からの不正アクセスを受け、一部データが破損し、個人情報が漏えいしたおそれがある事案について、お客様並びに関係者の方々には多大なるご心配とご迷惑をおかけしますことを深くお詫び申し上げます。また委託元へのご報告が大幅に時間が経過した後となり、結果、ご本人様への通知の遅れに繋がり誠に申し訳ございません。重ねてお詫び申し上げます。

この不正アクセス被害により、当該システムサーバー上の個人情報の一部で破損（毀損）が確認されましたが、情報漏えいおよび二次被害の事実は確認されておりません。しかし一時的に第三者が個人情報を閲覧した可能性が否定できないため、被害状況としては前述のとおり「一部データの毀損」と「漏えいのおそれ」となります。本事案に関する概要および、本件のお問合せ窓口につきまして、下記の通りご報告申し上げます。

1. 不正アクセスの概要

不正アクセスの被害にあったレイアウトシステム WebLAYLA について

WebLAYLA は弊社顧客である写真館様、卒業アルバム制作御坦当者様など (以下、顧客) が画像のアップロードと紙面レイアウト指示の作成が行えをるサービスとして弊社が提供しており、弊社はアルバム紙面制作に必要なデータを受け取る日的で利用しております。弊社では WebLAYLA を含めた媒体を通して顧客からアルバムの紙面制作に必要なデータを受け取ることをアルバム制作の工程上「入稿」と定義しており、「入稿」には WebLAYLA だけでなく、クラウドストレージの boxや DVD 等複数の手段を用いております。なお、2023 年度の卒業アルバムにおいて WebLAYLA を利用し「入稿」された学校数は受注全体に対して約 9%程度になります。

また下図通り得意先より WebLAYLA 上にアップロードされたデータは、弊社がダウンロードし制作上上程で加工されて社内のサーバーに保管されます。今回唆損の被害にあったデータは弊社でダウンロードが完了しており、制作工程等を経て社内のサーバーに格納された状態にありました。その為、アルバム納品業務の遂行において影響を及ばすことはございませんでした。

図 1 : 株式会社イシクラデータの取り扱い状況とセキュリティ対策概略図

被害にあったサーバーについて

2024 年 5 月、WebLAYLA サーバーの保守管理を行なっているシステム会社が、外部機器の交換を修理業者に依頼したところ、修埋業者が行った外部機器の設定に不備があり、その脆弱性から攻撃をうけました。システム会社で不正アクセスを認知後、通信遮断等の措置を行いましたが、サーバーに保存された写真データ等の一部が明損する被害が発生いたしました。

その後、システム会社による通信ログの調査 (後述) により、外部からの情報の抜き取りはないことが確認されました。

図 2 : 本事案に関する弊社とンステム会社との関係図

2. 被害について

本件事案による被害は下記の通りです。

・WebLAYLA 上に格納された一部データの暴損

・不正アクセモスの際に webLAYLA 上に格納されているデータが閲覧された可能性

※システム会社の調査結果によりデータの抜き取りがないことが確認されています。

漏えい等のおそれのある個人情報の項目と件数

2024 年5月 is 日までに WebLAYLA 上にアップロードされた画像データ (スナップ、個人写真) 、氏名

・画像データ (スナップ、個人写真) 、氏名

・画像データ (スナップ、個人写真) のみ

・画像データ (スナップ) のみ

・画像データ (個人写真) のみ

・画像データ (個人写真) 、氏名

・画像データ (スナップ) 、氏名

・氏名のみ

※前述の通り WebLAYLA サーバーは卒業アルバムの紙面レイアウトツールでもあるため、いわゆる個人写真ページにおいても、紙面レイアウト指示の作成で当サーバーを利用していた場合は、氏名も漏えいのおそれのある情報に該当します。

件数: 漏えい等のおそれ7万 4238 件 (2025 年2月 24 日時点)

不正アクセスの経緯 (システム会社の報告より)

＜2024 年5 月10 日 (金) ＞

・システム会社から作業依頼を受けた修理業者が webLAyLA サーバー (以下、サーバー)の外部機器交換を行なった際、外部機器のセキュリティ設定が不完全なまま作業を終えてしまった。

※本件発覚後 zo にシステム会社が点検を行い設定の不備を確認

＜2024 年5月15日 (土) ＞

・不正プログラム (ランサムウェア※ュ1) による攻撃を受ける

・サーバーにアクセスできないことから、システム会社が異常を認知し、初期対応として、ネットワークからの遮断とサーバーシャットダウンを行なう

その後、サーバーを再起動させる

＜2024 年5月20 日 (月) ＞

・システム会社がサーバーのログを調査した結果、so 以降の履歴には株式会社イシクラのIPアドレス以外からデータがダウンロードされた記録は確認されなかった

これにより、システム会社は漏えいが無いと判断した

外部機関への報告について

1, システム会社がデジタルフォレンジックサービス提供会社※zへの相談

・ロックが掛けられた画像の復元について相談した結果、復元不可能との回答がある。

2, システム会社が個人情報保護委員会への報告および、相談

・事故報告書届出日 : 2o24 年5 月24 日

受付番号 : 438435lo9007

3, システム会社が警察庁サイバー警察局販察本部サイバー事案担当部署への被害届の提出および、相談

・被害届届出日 : 2o24 年6 月4 日

申請・届出管理番号 : 20240604300on8o393

・本件はサイバー犯罪記録として登録され、警察が今後ダークウェブサイトの監視を行っていくにあたり、届け出のあったデータがダークウェブサイト※3上で確認された場合は、システム会社へ連絡されることになった

2025 年3年3日現在、警察からの連絡はなし

なお犯行声明や金銭等の要求は確認されておりません

※1ランサムウェアとは、感染するとパソコン等に保存されているデータを暗号化して使用できない状態にした上で、そのデータを復元する対価 (金銭や暗号資産) を要求する不正プログラムです。

(警察庁 Hp より)

※ 2不正アクセス等のセキュリティインシデントが発生した際に、 PC やサーバー・ネットワーク機器等のログファイルなどを分析し、原因を調査するサービスです。

※3ダークウェブとは不正な情報等の取引が行われている web サイトの集まりで、一般的なサイトと異なり、検索サイトの検索結果から見つけることができず、専用のツールを使わないとアクセスできません。

3. 事故原因について

・WebLAYLA サーバーの保守管理を行なう、システム会社から委託された修理業者が外部機器を交換した際、外部機器の閉鎖設定がされず脆弱性が生じ、不正アクセスの被害を受けたこと。

・弊社の内部ルールでは、WebLAYLA のデータ保管期間を「制作期間終了から1 年 (納品から 1 年) 」とする規定があったが、保管期限を過ぎたデータの削除が徹底できず、弊社規定より古いデータも一部が webLAYLA サーバーに残された状態になっていたこと。

4. 弊社から委託元様へのご報告が遅れた経緯について

事故発生から委託元様へのご報告に至るまでの期間は、個人情報保護委員会※4 とJIPDEC※5への事故報告を行った後、両機関からの情報照会対応を行っておりました。

また、個人情報保護要員会への照会をもとに、2024 年 5 月 23 日および5月 31日に、お客様並びに関係各位向けに弊社 HP 上で本件について公表を行いました。公表後は、個人情報保護委員会と協議しつつ、委託先の監督や再発防止策の策定を進めておりました。

弊社HP上での公表をもってお客様および関係各位への報告義務を果たしたと誤認しておりましたが、2024 年12月中旬に、個人情報保護委員会より学校様への報告が必要である旨の指導を受け、初めて委託元への報告義務を果たしていないことを認識いたしました。

上記の指導を受けてから、個人情報保護委員会へ問合せを行ないながら、委託元への報告に関する具体的な手続きを行ない、2025 年 2 月に各委託元へ通知文書の郵送というかたちで事故通知を行ないました。

本件連絡が遅延したのは、最新の個人情報保護法への理解が不足していたことが原因でございます。お客様並びに関係者の方々には、不正アクセスの発生より大幅に時間が経過したのちのご連絡となったこと深くお詫び申し上げます。

※4 一般財団法人日本情報経済社会推進協会 (英文名称 : JIPDEC)

　…プライバシーマーク付与機関

※5 個人情報保護委員会

　…個人情報保護法の遵守やマイナンバーの運用などを監督・指導する行政機関

5. 今回の不正アクセスに対する対応と、今後の対策について

システム会社での再発防止策

・被害にあった機器の入れ替え

・被害該当箇所のセキュリティの再設定 (管理者ID・パスワードを強度の高いものに変更、該当外部機器のポート閉鎖)

・新たなセキュリティシステム「Acronis Cyber Protect」を導入、24時間のフル監視を行う。

商社からシステム会社へ、下記の再発防止策を実施するよう指示

・委託業務にて使用するサーバーのメンテナンス計画及び実績をシステム会社にて毎月記録し、1か月に1度、弊社へ報告すること。

・システム会社にて新たに導入したセキュリティソフトによるサーバーの常時監視を実施すること。

・セキュリティソフトによる状態報告をシステム会社で確認すること。また、状態報告は1か月に1度、弊社へ報告すること。ただし、エラーなど同題が発生した場合は、上直ちに弊社に連絡を行うこと。

弊社社内での再発防止策

・弊社社内での個人情報保護に関わるルールの周知徹底

6. 弊社からの外部機関への報告について

個人情報保護委員会への報告 (時系列)

・2024年5月23日速報提出

・2024 年7月19日確報提出

・2025 年2月17日確報・続報提出

・届出番号 : 482107548280

JIPDEC への報告

・2024 年5月23日速報提山

・2024 年7月19 日確報提出

7. 対象となるエンドユーザー様、顧客(学校様、写真館様)への対応について

個人情報保護保護委員会からの指導を受け、委託元である、学校様、写真館様へ文書郵送による事案通知を行なうとともに、エンドユーザー様向けのご報告として、弊社ホームページでの事案報告を行っております。

・2024 年5月23日本件公表〈1同目)

・2024 年5月31日本件公表 (2回目)

・2025 年2月7日本件公表 (3回目)

・2025 年3月4日本件公表 (4回目) ※本報告

８．本事案への対応経緯

９．本人通知の代替措置(事案の公表)について

委託元による本人通知が困難な場合、委託元の依頼があった場合のみ代替措置としての事案の公表を当社ホームページで行っています。

この度の件でお客様並びに関係者の方々には、多大なるご心配とご迷惑をおかけしますことを深くお詫び申し上げます。本件を厳粛に受け止め、今後同様の事象が発生しないよう、委託先のシステム会社と連携して再発防止と情報セキュリティ体制の強化に取り組んでまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2025-088】徳島県　迷惑メール送信事案の発生について　2025/2/28

この度、県教育委員会が利用するメールサーバを経由し、第三者からの迷惑メールが送信されていたことが判明しました。

当該メールを受け取られた方は、メールの添付ファイルや本文中のリンクをクリックせず、メールごと削除していただくようお願いいたします。

1 概要

令和7年2月22日（土）午後3時50分から令和7年2月27日（木）午後10時30分の間、県教育委員会が利用するメールサーバを経由し、第三者からの迷惑メールが送信されていました。

2 不正に送信されたメール

（1）送信元メールアドレス

実在しないもの（4件）

emmanuel@mt.tokushima-ec.ed.jp

art@mt.tokushima-ec.ed.jp

info@tokushima-ec.ed.jp

sadamitsu-th@mt.tokushima-ec.ed.jp

実在するもの（1件）

anan_ss@mt.tokushima-ec.ed.jp

（2）送信された数

約140万通

（実在しないメールアドレスへ送信された約137万通を含む）

（3）件名

迷惑メールの件名は日本語でなく、明らかに迷惑メールであることがわかるものです。

3 被害状況等

県教育委員会が管理するサーバへの不正アクセス及び個人情報を含む情報の漏洩は確認されていません。

4 原因

詳細は確認中ですが、当該メールサーバのメンテナンスにおいて、サービス提供業者による設定及び動作確認が不十分であったとの報告を受けています。詳細が明らかになりましたら、改めて情報提供します。

5 対応状況

正常動作をしていた令和7年2月21日以前の状態に戻し、迷惑メールが送信されない状態であることを確認しています。

6 再発防止

サービス提供業者に対し再発防止に向けた対策の徹底を求めて参ります。

リリース文（アーカイブ）

登録: 投稿 (Atom)