【セキュリティ事件簿#2025-245】株式会社ポケモン 「会員アカウント」に対する不正ログインの発生のご報告とポケモンセンターオンラインを安全にご利用いただくためのお願い 2025/7/3

 

平素よりポケモンセンターオンラインをご利用いただき、ありがとうございます。 

この度、弊社サービス以外から何らかの手段で不正に入手したログインID(メールアドレス)とパスワードの情報を用いて、ポケモンセンターオンラインに不正ログインを行ったと思われる事象が発生していることを確認いたしましたため、被害の拡大防止のため緊急メンテナンスを実施させていただいておりました。

そこで会員の皆様のアカウントの安全を考慮いたしまして、すべての会員アカウントに対し、パスワードをリセットさせていただきました。

また、不正ログイン後、第三者から会員情報書き換えがあったことが疑われるアカウントについては停止させていただきました。予めご了承ください。

この件で多大なるご迷惑とご心配をおかけしておりますことを、深くお詫び申し上げます。

【お客様ヘのお願い】

2025年7月3日(木)以降の初回ログイン時に、パスワードの再設定をお願いいたします。再設定にあたっては、以下の注意事項をご確認いただきますようお願いいたします。

再設定の手順につきましては、ログインパスワードの再設定についてご対応のお願いをご確認ください。

<パスワード再設定時の注意事項>

パスワード再設定時は下記3点を必ず守ってご対応をお願いいたします。

・過去にポケモンセンターオンラインで利用していたパスワードを使用しない

・他社サービスとは異なるパスワードを設定する

・第三者が容易に推測できるパスワードを使用しない

(例)ご自身やご家族のお名前、電話番号、生年月日、郵便番号、同じ文字の繰り返しやわかりやすい並びの文字列など

他のインターネットサイト(各種会員サイトの他、いわゆるECサイトなどを含む)のパスワードを使いまわして利用された場合、何らかの原因で他のインターネットサイトからパスワードが漏洩すると、第三者にアクセスされ、ポケモンセンターオンラインのアカウントを悪用される可能性があります。

<パスワード再設定したあとで>

パスワードを再設定していただき、アカウントにログイン可能な場合は、引き続きアカウントをご利用いただくことが可能です。

万が一、会員情報が心当たりがない内容に書き換えられている、また、マイページに身に覚えのない注文履歴があることにお気づきの場合は、お問い合わせフォームよりご連絡ください。

お客様個別に状況をご確認させていただき、ご案内いたします。

【不正ログインの詳細】

<漏洩した可能性のある個人情報の種類> 

メールアドレス / 氏名 / 住所 / 電話番号 / 生年月日 / お届け先登録情報

※クレジットカード情報は弊社で保持しておりませんので、漏洩はございません。

【今後の再発防止策】

2025年8月頃を目安にログイン時の二段階認証を導入予定です。

リリース文アーカイブ

【セキュリティ事件簿#2025-244】Oracle Cloud、インシデントの隠ぺいに失敗する(笑)

 

クラウドの安全神話を揺るがす事件が、またひとつ明るみに出た。

Oracle(オラクル)は、2025年3月に発覚した大規模なデータ侵害について、当初は「被害なし」と主張。しかし、数週間にわたり事実を否定し続けた末、訴訟をきっかけに一部顧客へ“こっそり”通知していたことが判明した。

もはや「隠ぺい」と呼ばずして、何と呼ぶのか。

■ データ侵害の実態──被害は600万件以上、140,000テナントに波及か

問題の発端は、Oracle CloudのSSO(シングルサインオン)およびLDAPシステムから約600万件の認証関連データが流出したとされる事件。

ハッカーはこのデータをダークウェブ上で販売し、その正当性を証明するサンプルには実在する企業のログイン情報が含まれていた。

情報によれば、被害は最大14万テナントに及ぶ可能性がある。

■ Oracleの初期対応──「被害なし」「旧環境の話」と繰り返す

Oracleは事件発覚当初から、「Oracle Cloudに対する侵害は存在しない」「漏えいした資格情報は古く、非現行システムに関わるもの」と繰り返し主張。

しかし、流出したデータには2024年の情報も含まれていたとする証言もあり、Oracleの説明との矛盾が次々と明らかに。

一部の顧客に対しては、FBIやCrowdStrikeが調査中であることを含め、裏で通知していたことも判明。

表では否定しながら、裏では認めていたという構図に、業界内外から厳しい視線が向けられている。

■ 集団訴訟が火に油──「60日以内の通知義務違反」との指摘も

米テキサス州では、フロリダ州のMichael Toikach氏が集団訴訟を提起。

訴状では、Oracleが60日以内に被害者へ通知すべきだった義務を怠ったとして、テキサス州法違反を主張。

さらに訴訟は、Oracleが故意に情報を隠したことで、被害者に追加のリスクを与えたと強く非難。

「オラクルは、サイバー脅威を封じ込めたのかさえ明かしていない」「この沈黙は、被害者にとって最大の恐怖だ」と糾弾している。

■ 専門家の見解:「テナント隔離神話は崩壊した」

セキュリティ専門家からも、今回のOracleの対応には厳しい批判が相次いでいる。

Beagle SecurityのアドバイザーSunil Varkey氏は、「クラウド事業者の信頼性を根本から揺るがす事件。テナント間の隔離が守られているという“神話”が崩れた」と指摘。

また、「SSOの侵害は、グローバル企業から中小企業まで全テナントを標的に変える“罠”」とし、もはや他人事では済まされない現実を突きつけている。

■ Oracleの“言い訳”を信じてはいけない理由

Oracleは今も公式には「侵害は存在しない」と言い続けているが、それを信じているセキュリティ関係者は皆無といっても過言ではない。

「漏えいは旧システム」と言いながら、データは2024年のもの

「顧客には影響なし」としながら、裏で限定的に通知

「SSOの侵害はない」と言いながら、SSOのトークンが販売されている

この一貫性のなさと情報開示の不誠実さは、Oracleという企業の本質=“隠ぺい体質”を浮き彫りにしている。

■ クラウド時代の“信頼”とは何か

クラウドインフラを提供する企業にとって、最大の資産は「ユーザーからの信頼」であるはずだ。

だが今回のOracleは、その信頼を自ら投げ捨てるような対応を続けている。

今後、企業がクラウドサービスを選定する際、「サービスの機能」ではなく「その企業の誠実さ」を見る時代が来るのかもしれない。


あなたの使っているクラウド、本当に大丈夫ですか?

「Oracle Cloud」は、今やその問いを投げかける象徴的存在となりつつあります。

出典:Oracle quietly admits data breach, days after lawsuit accused it of cover-up

【セキュリティ事件簿#2025-243】便利さの裏側に潜む、もうひとつの現実──Intune不具合が突きつけた課題

 

Microsoft Intuneを利用しているシステム管理者にとって、ここ数日ちょっとした緊張感が走ったかもしれません。

米Microsoftが、セキュリティベースラインのカスタマイズ設定が更新時に保存されないという不具合の存在を認めたのです。

問題の内容とは?

Intuneでは、セキュリティベースラインという形で推奨設定のテンプレートが提供されています。管理者はこれをもとに、自社に合わせた独自設定(カスタマイズ)を行うことが一般的です。

ところが今回、一部のバージョン(例:23H2→24H2など)に更新した際、これまでに行っていたカスタマイズが失われ、Microsoftの初期値に戻ってしまうという事象が確認されました。

Microsoftもこの問題を認識しており、現時点での対応策としては「設定を手動で再適用する」ことが推奨されています。

自動化や一元管理を目的にクラウドを導入している企業にとっては、手間もリスクも増える対応といえるでしょう。

Intuneとは?

あらためて整理すると、Microsoft Intuneはクラウドベースのエンドポイント管理ツールで、PCやスマートフォンなど多数のデバイスの設定・更新・セキュリティ管理を一括で行えるサービスです。

従来のWindows Server Update Services(WSUS)などのオンプレミス製品に代わる存在として多くの企業が採用しています。

一方で、Microsoft Configuration Manager(旧System Center Configuration Manager)と組み合わせて使われることもあり、こちらは引き続きオンプレ製品として提供されています。

「自社に最適化」が失われるリスク

今回の不具合は、特に独自のポリシー設定を重視している企業にとっては重大な問題です。

Microsoftが用意した「推奨値」をそのまま受け入れるのであれば影響は小さいものの、少しでも自社向けにカスタマイズしていると、更新によってその設定が上書き・消失するのは致命的です。

この事例は、「クラウド=万能ではない」ことを示す一例でもあります。

まとめ

クラウド管理は便利な反面、自動アップデートや仕様変更がユーザーの意図しない形で適用されるリスクも存在します。

Intuneを導入している企業は、設定のバックアップや、更新後の検証プロセスを見直す機会と捉えるべきかもしれません。

出典:Microsoft admits to Intune forgetfulness

【セキュリティ事件簿#2025-208】山形大学 附属中学校が保有する個人情報に外部者がアクセス可能な状況が生じた事案の発生について 2025/7/2

 

本学は、5月26日(月)夕方、本学附属中学校教員が業務でパソコンを使用する中で、画面にサポート詐欺に関する虚偽の警告掲示が出た際に、遠隔操作ソフトをインストールさせられ、当該パソコンが外部者に不正アクセスされる事案が生じたことを令和7年6月3日に公表いたしました。

https://www.yamagata-u.ac.jp/jp/information/info/20250603/ 

事案発生後、外部者によりアクセス可能な状況となった個人情報について、改ざんや流出の可能性について調査を進めてまいりましたが、このたび、調査結果がまとまりましたので、次のとおりご報告いたします。

調査の結果、個人情報の改ざんは全く確認されませんでした。また、個人情報の流出についても、その可能性を完全に否定することはできませんが、明確な痕跡が確認されなかったことから、流出の可能性は極めて低いと判断しております。また、現時点では、流出の事実も二次被害も確認されておりません。

このような事態が発生し、生徒、保護者の皆様をはじめ関係の皆様に多大なご迷惑及びご心配をおかけすることになりましたことを、あらためてお詫び申し上げます。本学は、この度の事態を厳粛に受け止め、令和7年8月を情報セキュリティ強化月間として設定し、ポスターによる啓発活動、外部公開システムに対する脆弱性診断、標的型メール攻撃訓練、全学を対象にした緊急一斉点検等の施策を集中的に実施することにより、再発の防止に努めてまいります。

なお、身に覚えのない電話、郵便物、メール等や個人情報漏洩と考えられる事象をみかけた場合やご不明な点があります際は、以下の窓口までご連絡いただきますようお願いいたします。

リリース文アーカイブ

【2025/6/3リリース分】

リリース文アーカイブ

【セキュリティ事件簿#2025-242】滋賀県 県立図書館ホームページ一時閉鎖について 2025/7/1

 

令和7年5月27日(火)、県立図書館のホームページに不正なアクセスによるとみられる書き込みが確認され、当該ホームページ(「こどもとしょかん」ポータルサイトを含む)を閉鎖して安全対策を講じていましたが、その作業が完了したことから7月2日(水)10時00分にホームページを再開します。

長期間にわたり、ご不便、ご心配をおかけしたことをお詫び申し上げます。

ホームページ閉鎖の経緯

〇令和7年5月27日(火)

  • 11時頃、利用者からの指摘により、ホームページの一部改ざんを確認し、当該部分を削除
  • 13時頃、ホームページを閉鎖

〇ホームページ閉鎖以降

  • ホームページからの蔵書検索や予約・貸出延長ができないことから電話により受付・対応
  • 図書館内での業務については通常通り実施
  • 改ざんに至った原因を把握しその対応策を検討するため、保守管理業者に調査を依頼

調査結果の概要

  • 不正な書き込みは、令和7年2月28日、令和7年4月3日、令和7年5月26日の3日に別表のとおり合計3件行われており、いずれも海外のサーバを経由して行われていることを確認した。

  • ホームページを管理するサーバのログの分析により、ホームページ管理ソフトにID・パスワードの総当たり攻撃を受けた痕跡があることを確認した。

  • ホームページ管理ソフトを含め、システムを構成するソフトの一部において、最新の更新プログラムが適用されていない状態であったことを確認した。

  • ホームページ管理ソフトの管理用アカウントのIDとパスワードが、第三者に知られたことでホームページに不正に書き込まれたと推測されるが、IDとパスワードが第三者に知られた手段については、特定に至っていない。

  • 不正アクセスを受けたサーバ内には個人情報を保有しておらず、個人情報の漏えいは確認されていない。

安全に再開するための対応

  • ホームページに係るサーバのデータを完全に消去したうえで、機器およびシステムを再構築した。
  • 従来のセキュリティ対策を総点検し、ホームページ管理ソフトへのアクセス制限を強化するなど図書館システムを安全に運用するために必要な対策を改めて講じた。
  • 今後は不正なアクセスの監視を強化するとともに、セキュリティ対策に不備がないか定期的な確認を徹底するなど安心してご利用いただけるホームページの維持に努める。

別表改ざん一覧

改ざん一覧
No.改ざん日対象のホームページコンテンツ内容
12025年2月28日過去の行事案内メールマガジンのページ (7か所) 誘導リンクの記載
22025年4月3日過去のお知らせ 子どもの本新刊紹介紙「ひともっ子」 第528号を刊行しました (1か所) 誘導リンクの記載
32025年5月26日お知らせ (10か所)誘導リンクの記載


リリース文アーカイブ

【セキュリティ事件簿#2025-241】新興プラスチックス株式会社 サイバー攻撃によるシステム障害について  2025/7/1

 

このたび、2025 年 6 月 18 日未明、弊社の一部情報システムが外部からの不正アクセスを受け、ランサムウェアによりデータが暗号化される被害が発生いたしました。

現在、弊社では社内に対策本部を設置し、外部の専門家の助言を受けながら、影響範囲の調査および復旧対応を進めております。併せて、警察をはじめとする関係機関にも相談のうえ、必要な助言と協力を得ております。

お客さま、お取引先さまをはじめ、関係各位には多大なるご心配とご迷惑をおかけしておりますことを、心より深くお詫び申し上げます。

なお、現時点において、情報の漏えいは確認されておりませんが、その可能性については引き続き慎重に調査を行っております。本件につきましては、個人情報保護委員会へ報告済みであり、今後は同委員会の指導に基づき、適切に対応してまいります。

今後も、外部専門家および警察との連携のもと、原因究明と影響の最小化、ならびにシステムの復旧と再発防止策の徹底に全力で取り組んでまいります。

※ 尚、弊社のお得意先様、仕入先様等との日常の受発注などのやり取りには影響のない様、取り組んでまいります。

今後ともどうぞ宜しくお願い申し上げます。 

リリース文アーカイブ

【セキュリティ事件簿#2025-240】学悠出版株式会社 不正アクセスによる情報流出の可能性に関するお詫びとお知らせ 2025/6/30


このたび、学悠出版株式会社(以下、当社)が運用するウェブサイトのサーバーに対し外部から不正アクセスが行われ、同サーバーに保管されている情報の一部が流出した可能性があることが判明いたしました。関係する皆様に多大なるご心配とご迷惑をおかけしておりますことを深くお詫び申し上げます。

当社では、不正アクセスを確認した4月下旬以降、社外のセキュリティ専門企業の支援を受けながら、流出した可能性のある情報の範囲を把握するための調査を進めてまいりました。現時点での調査結果につきまして、下記のとおりご報告いたします。


1.不正アクセスの内容

手段:   SQLインジェクションによるサーバーへの不正アクセス
認知時期: 2025年4月下旬

 

2.流出の可能性が認められた個人情報

区分個人情報の項目(重複を含む)件数(重複を含む)
塾様に関する個人情報塾名、塾コード、塾ID、郵便番号、住所、電話番号、メールアドレス及びご担当者氏名(メールアドレスとしての記載も含む)約8千件
模試受験者様に関する個人情報ご本人氏名、性別、塾コード、生徒コード及び生徒ID
※ご本人氏名については、暗号化の措置を講じています。
約28万2千件
ご本人氏名、性別、住所、電話番号、保護者様氏名及びメールアドレス
※すべての項目につき、暗号化の措置を講じています。
約1万6千件
塾コード、生徒コード、生徒ID及び進学情報
※当社が別途保有するデータベースと照合しない限り、上記の情報から、特定の個人を識別することはできません。
約1万6千件


現時点では、これらの情報が不正に利用されたという報告は確認されておりませんが、今後、当社を装った不審なメール等には十分ご注意くださいますようお願い申し上げます。

 

3.再発防止のための措置と今後の対応

4月下旬に不正アクセスを確認した直後より、社外のセキュリティ専門企業と連携し、当社が運用するウェブサイトに対して不正アクセスを遮断するための必要な対策を講じております。

個人情報が流出した可能性があるお客様には、個別にお詫びとご報告のメールをお送りいたします。また、個人情報保護法に基づき、個人情報保護委員会にも本件内容を報告しております。


リリース文アーカイブ

【セキュリティ事件簿#2024-525】熊本県 くまもとグリーン農業ホームページへの不正アクセスによる個人情報流出の可能性について 2025/6/30

 

昨年11月に県が運営しているくまもとグリーン農業ホームページの一部が外部からの攻撃を受け、県が管理している生産宣言者及び応援宣言者の個人情報の一部(氏名、住所、電話番号)が漏えいした可能性があり、その漏えい件数は4,624件と報告しました。しかし、その後の詳細な調査の結果、漏えいした可能性のある件数が拡大することが判明しました。

くまもとグリーン農業に取り組まれている宣言者や応援いただいている皆様に多大なるご迷惑とご心配をおかけしますことを、改めて深くお詫び申し上げます。

漏えい件数拡大に関する内容は、以下のとおりとなります。

(1)漏えいした可能性のある件数及び情報
 漏えい件数漏えい情報内容
【前回報告】
 令和6年12月

4,624件

(うち、生産宣言者        17件
      応援宣言者     4,607件)

氏名、住所、電話番号
【今回報告】
 令和7年6月

29,451件

(うち、生産宣言者 21,523件
      応援宣言者     7,928件)

氏名、住所、電話番号、宣言番号、団体・法人名、地域名、業種、品目、取組・応援内容

※漏えい件数について、前回は非公開情報のみを漏えい対象としましたが、今回は公開情報も含めて漏えい対象としました。

 

(2)サイバー攻撃の内容
 サイバー攻撃の内容
【前回報告】
 令和6年12月
攻撃の目的はサーバーダウンさせることであり、攻撃側の画面に個人情報が表示された可能性はあるが、情報はダウンロードされていない。
【今回報告】
 令和7年6月
サイバー攻撃を受けたページを通じて、データベースにアクセスされ、大量のデータを窃取された。そのため、データベースに登録のあったほぼすべての情報がダウンロードされた可能性が高い。


また、再発防止対策として、昨年中に以下の対策を実施済みですので、新たな漏えいは発生おりません。

 ・昨年11月29日に攻撃を受けた当該ページを閉鎖。

 ・同12月3日にデータベースから非公表情報を削除するとともに、新たに宣言される方の非公表情報もデータベースに登録されないよう、プログラムを修正。

なお、漏えいの可能性のある宣言者の方には、当ページと同様の文書を郵送させていただきます。

リリース文アーカイブ

【2024/12/25リリース分】

リリース文アーカイブ

【2024年11月30日リリース分】

リリース文アーカイブ