令和7年6月19日12時30分頃、当院のサーバーに対し、第三者による不正アクセスの可能性がある通信が検知されました。現在、詳細を調査中であり、個人情報の安全を最優先に「医療情報システムの安全管理に関するガイドライン」に沿って対応を進めております。
現時点で確認されている情報漏えい等はございませんが、進展があり次第、改めてご報告させていただきます。
患者様をはじめ関係者の皆様にはご心配とご迷惑をおかけしますこと、心よりお詫び申し上げます。
【セキュリティ事件簿#2025-227】株式会社システムエグゼ 当社にて発生したインシデントのご報告と対応措置について 2025/6/20
この度、当社においてサイバー攻撃によるものと思われるインシデント（以下、本件）が発生したことをご報告いたします。
本件により、お客様をはじめ、お取引先様・関係者の皆様に多大なるご迷惑とご心配をおかけすることになり、深くお詫び申し上げます。
現在、システムの完全復旧に向けて鋭意対応を進めておりますが、復旧には一定期間時間を要する見込みです。
被害の全容の把握には今しばらく時間を要する見込みですが、現時点で判明しております内容について、以下の通りご報告いたします。
1.経緯
2025年6月20日（金）未明、当社システムに対し、外部の第三者からの不正アクセスを受けたことを確認いたしました。
確認後速やかに対策チームを立ち上げ外部専門家の協力のもと、侵入経路の特定、被害範囲の調査を開始いたしました。
また、同時に被害拡大の防止、システム復旧に向けて必要な措置を実施しております。
２.現在の状況と今後の対応
現在、さらなる被害拡大防止のため、不正アクセスの疑いがあるすべてのサーバーをネットワークから一時的に隔離し、影響範囲を確認する作業を進めております。
この影響により、受発注業務やお客様からのお問い合わせ対応など、一部の通常業務に遅延が生じております。
本件については、関係機関への報告・相談も行い、適切な対応を講じています。
今後、お知らせすべき事項が明らかになりました場合には、速やかに開示を行います。
【セキュリティ事件簿#2025-226】株式会社パル 6/15に発生した不正ログインについてのご報告 2025/6/20
当社が運営するオンライン通販サイトPAL CLOSETにおきまして、2025年6月15日から6月16日にかけて、第三者が外部から取得した情報を利用した「リスト型アカウントハッキング（リスト型攻撃）※」によるものと推測される、不正なログイン操作が行われたことを確認いたしました。
当社は、お客様のログインパスワードを復号できないような「ハッシュ化」をして保存しており、調査の結果、ログインの際に使用するお客様のID、パスワードが当社内から流出した証跡もございませんでした。
※何らかの手段で多数のIDおよびパスワードを入手した第三者が、これらのID・パスワードを用いて様々なサイトにログインを試みることで、個人情報の閲覧等を行うサイバー攻撃をいいます。
＜不正ログインの状況＞
不正ログイン試行回数は1,722,379件、そのうち不正ログインされたものが194,307件あり、ログイン後に一部の会員情報ページが閲覧されたおそれがございます。
ただし、どのお客様の会員情報ページが閲覧されたかについては、当社のシステムの仕様上、特定することができておりません。
不正ログインが確認されたお客様には2025年6月20日付けで本文書と同内容のメールを送付させていただいております。
会員情報ページには、お名前、カナ、性別、生年月日、郵便番号、住所、電話番号、バーコードNoが掲載されておりますが、
クレジットカード情報は掲載されておらず、当社において保持もしておりませんので、流出はございません。
また現在までに不正注文等の二次被害は発生しておりません。
なお、本件につきましては個人情報保護委員会への報告を行っております。
＜お客様へのお願い＞
すでに会員登録されている全会員様において、パスワードを無効化させていただいております。（2025年6月16日に対応済み）
お手数をおかけしますが、以下のURLよりパスワードの再設定をお願いいたします。
今後の第三者の悪用を防止するためにも、他のWEBサービスを含め、同じパスワードを使用しないようにお願い申し上げます。
【セキュリティ事件簿#2025-225】クミアイ化学工業株式会社 不正アクセスによる個人情報流出可能性についてのお知らせとお詫び 2025/6/23
クミアイ化学工業株式会社（東京都台東区 代表取締役社長 横山優）は、当社が管理運用するサーバの一部が第三者からの不正アクセスを受け、一部の元当社従業員の氏名等の個人情報が流出した可能性があることを確認いたしましたので、お知らせいたします。
本件に関して、関係者の皆様には、多大なご迷惑とご心配をおかけすることとなり、深くお詫び申し上げます。今回の事態を踏まえ、さらなるセキュリティ強化と再発防止に取り組んでまいります。
１．経緯
2025 年 4 月 28 日にセキュリティツールにより不正アクセスを検知したため、調査を行ったところ、4 月上旬に当社が管理する社内サーバへの不正アクセスがあったことが判明いたしました。その後も引き続き調査を進め、個人情報にかかる不正アクセスはないものと見られておりましたが、入念な調査の結果、一部の元当社従業員の情報への不正アクセスが確認されましたので、本公表に至った次第です。本件は、個人情報保護委員会に対して報告を行っております。また、情報流出の可能性が確認された元従業員の皆さまへは、個人情報保護法に則り、順次、個別にご連絡させていただいております。なお、連絡先不明等により直接のご連絡が困難な元従業員におかれましては、本公表をもって当社からのご連絡に代えさせていただきます。
流出した可能性のある情報は、一部の元当社従業員の「氏名、所属部署、役職、メールアドレス（在職当時、当社より従業員に与えられているメールアドレス）、社員番号」となります。
当社のお取引様に関する情報は含まれておりません。
２．元従業員の皆さまへのお願い（流出した情報による二次被害のおそれ）
現時点においては、本件に関わる個人情報の不正利用等は確認されておりませんが、流出した情報が第三者に悪用され、新たに被害が発生する可能性がございますので、ご注意下さいますよう、お願いいたします。
例）行政機関を名乗り、個人番号が漏えいしているなどとして金銭の振り込みに誘導するような詐欺を行うこと
３．対策および今後の対応
社内サーバへの不正アクセスを確認後、直ちに対象サーバのネットワーク分離や社内アカウントのパスワード変更、デジタルフォレンジックの実施など被害拡大を防止するための措置を講じてまいりました。引き続き、調査結果や外部の専門家からの助言を元に、ネットワーク、サーバ、コンピューターなどの監視を一層強化し、情報セキュリティレベルの向上および再発防止に取り組んでまいります。
【セキュリティ事件簿#2025-224】階上町 個人情報の漏えいのおそれがある事案の発生について 2025/6/12
この度、町ホームページ上において、農業経営基盤強化促進法に基づく「地域計画」の公表に当たり、当該計画内の個人情報(氏名)の不開示処理を行いましたが、閲覧者が当該ファイルを加工することで、当該個人情報が閲覧できる状態となっておりました。
関係者の皆様へ多大なご迷惑をお掛けし、深くお詫び申し上げます。
このような事態を招いたことを深く反省し、今後は、個人情報の適正な管理を徹底し、再発防止に努めてまいります。
事案の経緯と覚知
- 対象ファイルのホームページへの掲載 令和7年3月25日(火曜日)
- 情報漏えいのおそれがある事案の覚知 令和7年6月9日(月曜日)
漏えいのおそれがある情報と人数
農業を担う者の「氏名」…284名
事案が発生した原因
- 個人情報の不開示処理を誤った方法で行ったものです。
- 担当課において、対象ファイルを印刷した紙媒体のみを確認し、データを確認していなかったため、当該事案に気がつかなかったものです。
- ホームページ公開後のページを確認したものの、氏名欄が空白状態(不開示)であったため、当該事案に気がつかなかったものです。
二次被害
現時点で二次被害は確認されておりませんが、本事案の対象となった方々への連絡を行う中で、被害状況を確認します。
再発防止策
個人情報を不開示とするための処理方法を再度確認するとともに、認識の共有を行います。
公開する情報について、紙ベースだけでなく、ファイルのデータを複数体制で確認することを徹底します。
再発防止策および個人情報の適正な管理について、全職員に対し周知徹底します。
【セキュリティ事件簿#2025-223】株式会社チャレジョブ 公式Instagramアカウントの不正アクセスについて 2025/6/22
このたび、当社が運用しております公式Instagramアカウント（@challejob）が第三者により不正アクセスを受け、乗っ取られてしまったことが判明いたしました。
現在、Instagramの運営会社であるMeta社に対し、事実関係の確認に向けた対応を進めております。また、当該アカウントにつきまして（@challejob）は6月22日に既に削除を行っております。
■経緯と対応状況
2025年6月22日午前：不審な投稿が行われていることを確認
2025年6月22日午後：社内調査を行い、第三者による不正アクセスの可能性を確認
現在：Meta社に正式な報告・対応依頼を行い、調査を要請中
■皆さまへのお願い
不正アクセス後に当該アカウントより発信された投稿・DM等は当社とは一切関係がございません。万が一、不審なリンクやメッセージを受け取った場合は、開かずに削除していただきますようお願いいたします。
■今後の対応について
新たな公式Instagramアカウントの開設を含め、今後の情報発信体制の見直しを進めております。
進展があり次第、当ホームページおよび各種公式媒体にてお知らせいたします。
このたびは、皆さまにご不安とご迷惑をおかけしましたことを心よりお詫び申し上げます。
今後はより一層の情報セキュリティ対策を講じ、再発防止に努めてまいります。引き続き、株式会社チャレジョブをどうぞよろしくお願いいたします。
ハッキングを始めた頃に知っておきたい5つのツール
セキュリティの学習初期に知っておくと大きな助けになる、基本かつ実践的な5つのハッキングツールを紹介します。シンプルで扱いやすく、実用性が高いため、業界全体で広く活用されているこれらのツールは、初心者にとっては学びの入り口として、経験者にとっては日々の頼れるパートナーとして活躍してくれるはずです。
Burp Suite
カテゴリ：Webアプリケーションテスト
おすすめ理由： Webトラフィックの傍受と改変が可能な多機能ツール
Webアプリケーションの脆弱性診断を始めたばかりの段階では、HTMLソースの確認やブラウザの開発者ツール、簡易的なスクリプトを用いたテストなど、手作業による検証が中心となることが多い。
その一方で、「Burp Suite」のような高機能なツールは、機能の多さゆえに初心者にとって敷居が高く、導入が後回しになりがちである。
しかし、Burp SuiteはWebアプリケーションテストにおいて非常に多機能で汎用性が高く、専門家の間でも「これ一つで幅広い作業をこなせる定番ツール」として高く評価されている。主な機能としては以下のようなものがある：
-
ブラウザとターゲットサイト間のHTTP/HTTPS通信を傍受
-
リクエストやレスポンスをリアルタイムで改変
-
「Intruder」を使って入力値の繰り返しテスト
-
サイト全体をクロールしてページ構造を把握（Spider機能）
-
よくあるWeb脆弱性のスキャン（※Pro版のみ）
Webアプリケーションのセキュリティテストにおいて、Burp Suiteは幅広く利用されている主要ツールのひとつである。
無償で提供されている「Community Edition」でも基本的な機能は充実しており、学習用途や初学者の実践にも十分対応可能なレベルとなっている。
💡 ちょっとしたコツ：
Firefoxに「FoxyProxy」アドオンを入れてBurp Suiteと連携すれば、トラフィックのリダイレクトが簡単にできて便利です。
Nmap
カテゴリ： ネットワークスキャン
用途： 開いているポート、稼働中のサービス、脆弱性の把握に有効Nmapは「ポートスキャナ」として広く知られていますが、実際にはネットワーク調査全般に活用できる多機能ツールとして、セキュリティ分野で重宝されています。単なるスキャンツールにとどまらず、幅広い診断・分析機能を備えています。
主な機能は以下のとおり：
-
同一ネットワーク上に存在するホストの検出
-
開いているポートと、それに対応するサービスの確認
-
OSやハードウェア構成の推測
-
NSE（Nmap Scripting Engine）によるスクリプト実行による脆弱性診断
たとえば、以下のコマンドは非常に多くの情報を取得できます：
nmap -sC -sV -A target.com
（※ -sCはデフォルトスクリプトの実行、-sVはサービスのバージョン検出、-AはOS検出・トレースルートなどの高度なスキャン）
💡 活用のヒント：
CTF（Capture The Flag）や実際のネットワーク診断を行う際は、最初にNmapを使って全体像を把握することが推奨されます。
Amass
カテゴリ： 偵察 / サブドメイン列挙
用途： 隠れたサブドメインを発見し、攻撃対象領域を広げる情報収集（Reconnaissance）は、エシカルハッキングにおいて最も重要なプロセスの一つとされています。対象を深く理解することで、脆弱性の発見率も大きく向上します。
Amassは、サブドメイン列挙に特化した高性能なリコンツールであり、以下のような機能を備えています：
-
複数のデータソースからサブドメインを収集
-
ドメイン間の関係性の可視化
-
アクティブ／パッシブ両方の偵察手法に対応
たとえば、以下のようなシンプルなコマンドでも多くのサブドメインを洗い出すことが可能です：
amass enum -d example.com
（対象ドメインに関連するサブドメインの列挙）
💡 活用のヒント：
Amassで収集したサブドメイン情報は、httpx などのツールと組み合わせて、実際にアクセス可能かどうかを確認すると、さらに有用です。
CyberChef
カテゴリ： データのエンコード／デコード
用途： データの変換・復号・検査を迅速に実行可能CyberChefは、イギリスの情報機関 GCHQ（政府通信本部）が提供するブラウザベースのデータ変換ツールです。直感的なインターフェースを備えており、あらゆるデータ操作を簡単かつ高速に行うことができます。
対応している代表的な処理は以下のとおり：
-
Base64 エンコード／デコード
-
16進数（Hex）とASCIIの相互変換
-
XOR暗号の復号・実行
-
各種ハッシュ生成（MD5, SHA-256 など）
-
JWTの解析（JSON Web Token）
-
正規表現による抽出
操作は「処理（Operation）」をドラッグ＆ドロップでつなげる形式で、複数の処理をパイプラインのように組み合わせることが可能。視覚的で直感的な設計により、短時間で複雑な処理を実現できます。
💡 活用のヒント：
CyberChef はブックマークしておくと便利です：
https://gchq.github.io/CyberChef/
繰り返し発生する変換作業の手間を大幅に省いてくれることでしょう。
Gobuster
カテゴリ： ディレクトリ／コンテンツ列挙
用途： Webサーバ上の隠れたディレクトリやファイルを特定Gobusterは、Webサーバに存在する可能性のあるディレクトリやファイルを、指定した単語リスト（ワードリスト）をもとに総当たりで調査するCLIツールです。通常のリンク構造ではたどり着けない隠しページや機密ファイルを発見するために用いられます。
使用例として、以下のようなコマンドがあります：
gobuster dir -u http://example.com -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt
（例：対象のURLに対して、指定ワードリストに含まれるディレクトリ名を順に試行）
このようなスキャンによって、以下のような隠れたリソースが見つかる可能性があります：
-
/admin -
/login -
/backup.zip
こうしたページやファイルは、Webサイト内から直接リンクされていないことが多く、見落とされがちですが、重大な脆弱性の手がかりとなるケースもあります。
💡 活用のヒント：
SecListsのような高品質なワードリストと組み合わせて使うのがおすすめです。HTTPステータスコード（例：200、403、301 など）にも注目しながら調査すると、より精度の高い列挙が可能になります。
まとめ：知識とツール、どちらも武器になる
ハッキングに必要なのは、創造力と姿勢、そして適切なツールの選定です。
特に優れたツールは、作業の効率を飛躍的に高め、見落とされがちな脆弱性を明らかにし、時間と労力を節約してくれます。
ここで紹介した5つのツール（Burp Suite / Nmap / Amass / CyberChef / Gobuster）は、セキュリティ分野における基本かつ強力な選択肢です。初学者にとっては、まずそれぞれを試しながら仕組みや背景にも目を向けることで、より深い理解が得られるでしょう。
最後に忘れてはならないのは、「ツールは進化するが、知識は残る」ということ。
目先の操作だけでなく、原理を学ぶ姿勢こそが、長く役立つ武器になります。
【セキュリティ事件簿#2025-222】ジブラルタ生命保険株式会社 弊社の社内ネットワークへの不正アクセスによる社員等の情報流出について 2025/6/20
このたび、弊社の特定サーバー（モバイルデバイス管理サーバー）が第三者によって脆弱性を悪用され、不正アクセスを受けました。その結果、一部の社員等の個人情報（氏名、ユーザーID、会社メールアドレス）が流出したことが判明しました。なお、モバイルデバイス管理サーバーに顧客情報は含まれておらず、顧客情報の流出はございません。
弊社は、この事態を把握後、直ちに原因となったモバイルデバイス管理サーバーをインターネットから遮断し、脆弱性を解消するための必要な対策を講じました。これにより、さらなる流出等の被害が発生することはございません。また、関係機関への報告も完了しております。引き続き、セキュリティ専門機関等の協力を得ながら再発防止策を講じてまいります。
関係者の皆さまには、多大なるご迷惑とご心配をおかけしましたことを心よりお詫び申し上げます。以下に、本件の詳細を説明いたします。
1. 概要（発生原因・発覚経緯）
弊社では、電子メールおよびモバイルアプリケーションへアクセスするために、モバイルデバイス管理サーバーを利用しておりました。脆弱性解消のための対策を実施し、攻撃の有無を確認するためログ調査を行った結果、５月 16 日に外部の第三者によって不正アクセスが行われ、一部の社員等の個人情報が窃取されたことが、５月 22 日に判明いたしました。不正アクセスは 5 月 16 日にのみ発生したことを確認しております。
※ モバイルデバイス管理サーバーには 2015 年から 2023 年に弊社に在籍していた一部の社員等の情報が登録されておりました。また、退職者については、退職時に本サーバー上から登録情報を削除する運用を行っておりましたが、削除した情報が論理的にサーバー内に残留する製品仕様であったため、流出対象に含まれておりました。
2. 流出した情報
流出した情報は、５月 16 日時点で弊社のモバイルデバイス管理サーバーに登録されていた 2015 年から 2023 年に弊社に在籍をしていた一部の社員等の以下の項目です。
・氏名
・ユーザーID
・会社メールアドレス
3. 情報流出した社員等の数
・550 件
※対象者：弊社社員、退職者、一部の委託先社員 等
※対象となった方に個別の通知を実施しております。
4. 本件による影響
現時点で、本件による流出情報がインターネット上で公開された事実や不正利用などの二次被害は確認されておりません。
最後に、関係者の皆さまにご迷惑とご心配をおかけしましたことを改めて深くお詫び申し上げます。弊社は、今後とも情報セキュリティの強化に努め、同様の事案防止に全力を尽くしてまいります。今後とも変わらぬご支援を賜りますようお願い申し上げます。
登録:
投稿 (Atom)