H.I.S.ホテルホールディングス株式会社 ウイルス感染による個人情報漏えいの可能性に関するお知らせ 2022年08月09日

このたび、H.I.S.ホテルホールディングス株式会社（本社：東京都港区）の運営する変なホテル金沢　香林坊（石川県　金沢市）におけるウイルス感染について、2022年8月1日に「個人情報流出の可能性に関するお知らせ」を公表いたしましたが、その後の調査結果をお知らせいたします。

該当のお客様及び関係者の皆様には多大なるご迷惑とご心配をおかけし、心よりお詫び申し上げます。

1. 概要・経緯

2022年7月14日深夜　変なホテル金沢　香林坊の無人チェックインシステム管理パソコンにおいてデータが消去されている事態を確認し、チェックインシステム（自動精算機）提供会社へ連絡を入れました。

同月15日　システム提供会社より、管理パソコンに、ウイルス攻撃をうけた痕跡が見受けられたことと、ウイルスに感染していることの報告を受けました。ただちに、ネットワークから該当機器を切断、さらに外部からのアクセス制限を行う処置を実施し、感染の拡大を防止いたしました。

同月25日　システム提供会社の経過報告により、個人情報の毀損及び漏えいの可能性があることが判明しました。

その後直ちに、外部の専門家を含め、感染経路及び外部漏えいの可能性に関しての調査を実施しました。

8月5日　該当機器の外部による専門的な調査の結果、不正アクセスのログの痕跡、システムプロテクトの無効化、ランサムウェアをファイル内へ作成の事実について確認ができましたが、漏えいの事実は確認できませんでした。

2. 今後の対応について

情報漏えいの事実は確認できませんでしたが、不正アクセスの痕跡が確認された以上は、漏えいの可能性を完全に否定することが出来ない為、本件につきまして、万が一、個人情報が悪用される等の事象が発生した場合、当社にて適切な措置を講じる所存でございますのでご連絡くださいますようお願い申し上げます。既に、個人情報保護委員会には、本件を報告しております。

このたびの事態を厳粛に受け止め、第三者によるセキュリティ診断などのチェックを強化し、内部でのチェック体制も厳格化することにより、再発防止に取り組んでまいります。

リリース文（アーカイブ）

SOMPOホールディングス株式会社 台湾のグループ会社に対するサイバー攻撃について 2022年8月23日

台湾にあるグループ会社の SOMPO Taiwan Brokers Co., Ltd.（以下、「STB」）が、サイバー攻撃を受けたことが判明しました。

STB では、本件攻撃の判明後、直ちにネットワークの遮断措置等を講じて被害の拡大を防止し、各種システムの利用を停止するとともに、現地行政機関・捜査当局・ブローカー協会に対して必要な報告および届出を行っております。

本件を受け当社グループでは、被害内容の特定に努めております。現時点において、お客さまの情報、当社グループの機密情報等の流出は確認されておりませんが、情報流出の有無および範囲の特定には専門的な分析が必要なことから、引き続き、外部の専門機関と協力して調査を進めてまいります。

なお、本件攻撃は STB に限定されており、当社グループの他の会社に影響はありません。

お客さま・関係の皆さまには、ご心配をおかけする事態となり、深くお詫び申し上げます。

当社グループは、これまでも情報セキュリティ対策を行ってまいりましたが、お客さまの情

報、当社の機密情報等を保護するために、より一層の取組みを進めてまいります。本件に関しては、引き続き現地の行政機関・捜査当局・ブローカー協会や外部の専門機関と連携しながら、適切に対応してまいります。

リリース文（アーカイブ）

ワンワールド・アライアンス上級会員のラウンジ利用

 

世界の3大航空会社アライアンスの素晴らしいポイントのひとつは、旅行者のためにラウンジの相互利用を提供していることです。今回はワンワールド・アライアンスのラウンジアクセスについて詳しく見ていきたいと思います。

一般的には、ワンワールド・アライアンスのエメラルド会員またはサファイア会員、あるいはファーストクラスまたはビジネスクラス搭乗客は、ワンワールド・アライアンスのラウンジが利用できます。（ただし、アメリカ国内のフライトにおけるアラスカ航空やアメリカン航空の搭乗については例外があります）

まず、ワンワールド・アライアンスの基本について説明し、次にファーストクラス、ビジネスクラス、ワンワールド・エメラルド/サファイアステータスを持つ旅行者のラウンジ利用についてのアライアンスのポリシーについてみていきます。

ワンワールド・アライアンスの基礎知識

ワンワールド・アライアンスは、現在13社の航空会社が加盟しており（2024年にオマーン航空が加盟予定）、加盟航空会社数では3大アライアンスの中で最も小規模なアライアンスです。ワンワールド・アライアンスは1999年に設立され、アメリカン航空、ブリティッシュ・エアウェイズ、キャセイパシフィック航空、カンタス航空が設立メンバーとして名を連ねています。

現在、ワンワールド・アライアンスには以下の航空会社が加盟しています。

• アラスカ航空
• アメリカン航空
• ブリティッシュ・エアウェイズ
• キャセイパシフィック航空
• フィンエアー
• イベリア航空
• 日本航空
• マレーシア航空
• カンタス航空
• カタール航空
• ロイヤルエアモロッコ
• ロイヤル・ヨルダン航空
• スリランカ航空

ワンワールド・アライアンス・ファーストクラス・ラウンジ

まずは、国際線ファーストクラス利用時のワンワールド・アライアンス・ラウンジ利用規定から。ファーストクラスでのワンワールド・アライアンス・ラウンジの利用方法はとても簡単です。

• ファーストクラスおよびビジネスクラスのラウンジを含む、指定されたすべてのワンワールド・アライアンス・ラウンジを利用可能。
  
  
• ワンワールド・アライアンスのファーストクラス搭乗券を当日持っていること。
  
  
• その空港からファーストクラスで出発する必要はなく、ワンワールド・アライアンス加盟航空会社の往路便（どのキャビンでも可）を利用し、ファーストクラスの同日搭乗券を持っていること。
  
  
• 現金またはマイルで航空券の代金を支払っていること。
  
  
• 同伴者は 1 名様まで可で、同伴者もワンワールド・アライアンス加盟航空会社のフライトを利用すること（ただし、別のフライトでも可）。

ただし、以下のラウンジは例外があるため、注意が必要です。

• ダラス（DFW）、マイアミ（MIA）、ニューヨーク（JFK）のアメリカン航空フラッグシップ・ファーストダイニング
  
  
• ロンドン・ヒースロー空港（LHR）およびニューヨーク空港（JFK）のブリティッシュ・エアウェイズ・コンコルド・ルーム
  
  
• カタール航空アル・サフワ・ラウンジ（ドーハ）

ワンワールド・アライアンスのファーストクラスラウンジの利用ポリシーは、スターアライアンスよりも寛大です。これは、ラウンジの利用が、出発区間のサービスクラスだけでなく、旅行当日に発券された最も高いキャビンに基づいているためです。

ワンワールド・ビジネスクラス・ラウンジ

ビジネスクラスのワンワールド・アライアンス・ラウンジの利用規定も、わりとわかりやすいものになっています。

• 指定されたワンワールド・アライアンス・ビジネスクラス・ラウンジを利用可。
  
  
• 当日のワンワールド・アライアンス ビジネスクラス搭乗券を持っていること。
  
  
• その空港からビジネスクラスで出発する必要はなく、ワンワールド・アライアンス加盟航空会社の往路便（どのキャビンでも可）を利用し、ビジネスクラスの同日搭乗券を持っていること。
  
  
• 航空券を現金またはマイルで支払っていること。（一部格安ビジネスクラス運賃では利用不可の場合がある）
  
  
• 同伴者は利用不可。

ワンワールド上級会員のラウンジ利用

ワンワールド・アライアンスでは、加盟航空会社のフライトを利用の場合、エメラルド会員およびサファイア会員はラウンジが利用できます。2 つのステータスのラウンジアクセスの主な違いは次のとおりです。

• エメラルド会員：指定のファーストクラス・ラウンジ、ビジネスクラス・ラウンジ、およびフリークエント・フライヤー・ラウンジが利用可。
  
  
• サファイア会員：指定のビジネスクラス・ラウンジおよびフリークエント・フライヤー・ラウンジが利用可。

それ以外のラウンジ入室条件は、同じです。

• エメラルドおよびサファイア会員は、ワンワールド・アライアンスのフライトを利用する同伴者1名も利用可（フライトは別でも可）。
  
  
• ラウンジ利用時に当日のワンワールド・アライアンス搭乗券が必要（早朝便の場合、午前 6 時以前に出発する便であれば前日からご利用可）。
  
  
• ワンワールド・アライアンスのラウンジがない場合、ビジネスクラス客が利用できる契約ラウンジを利用することができる。

アメリカン航空とアラスカ航空のエメラルドまたはサファイア会員は、米国内のみの旅行ではラウンジを利用することができません。ただし、他の航空会社のエメラルドまたはサファイア会員は、米国内のみの旅行でもラウンジを利用することができます。

アライアンス上級会員でも、ラウンジアクセスについて、いくつか例外事項があります。

• エメラルド会員でも、ダラス（DFW）、マイアミ（MIA）、ニューヨーク（JFK）のアメリカン航空フラッグシップ・ファーストダイニングは利用できません。
  
  
• エメラルド会員でも、ロンドン・ヒースロー空港（LHR）およびニューヨーク（JFK）の British Airways Concorde Room は利用できません。
  
  
• エメラルド会員でも、ドーハの Qatar Airways Al Safwa Lounge は利用できません。
  
  
• エメラルドおよびサファイア会員でも、ドーハのカタール航空 Al Mourjan ラウンジ、およびその他のカタール航空プレミアム・ラウンジは利用できません。
  
  
• サファイア会員でも、オーストラリア国内のカンタス航空ビジネスラウンジは利用できません。
  
  
• ラウンジ内にダイニング施設がある場合もありますが、ファーストクラスおよびビジネスクラスの航空券を持つ搭乗者に限られるケースがあります。

出典：Oneworld Airport Lounge Access Explained

島根県立中央病院 個人情報が保存されている電子カルテ用端末の紛失について 2022年8月22日

今般、当院において、下記のとおり個人情報が保存されている電子カルテ用端末を紛失する事案が発生しました。

現在のところ当該患者情報等が外部に漏えいした事実は確認されておりません。

適切に管理しなければならない個人情報が保存されている端末を紛失することは、あってはならないことであり、多大なご迷惑とご心配をおかけしますことを心よりお詫び申し上げます。

本来であれば、早期にお詫びをしなければならないところ、紛失した端末の所在確認及び事実関係の調査を優先し、公表が遅くなりましたことを重ねてお詫び申しあげます。

今後も端末の捜索を継続するとともに、同様の事案を繰り返さないよう再発防止策を講じて参ります。

1. 対象の方
   令和2年8月27日～令和3年1月26日の間に中央病院で外来受診または入院された方
   
   
2. 概要等
   当院の患者情報 24,563 人分と端末を利用する職員情報 6,180 人分が保存されている電子カルテ用端末１台が故障し、その修理の対応を機に、令和３年３月９日以降、所在が不明となっております。
   当院としては、調査を進めた結果、①令和３年３月１日に業者へ修理見積の依頼をしていること、②令和３年３月９日に業者から修理品の回収をする旨の連絡があったこと、③同日の病院出退管理簿に業者の訪問の記録が残っていること、④同日の業者の日報に「修理品回収」と記載されていること、の４つのことから、修理のために業者に引き渡した後、紛失した蓋然性が高いと考えております。
   一方、業者は、担当者が当時、端末を受け取った記憶がなく、引き渡しに関する書類のやり取りがないため、受け取りに関して断言できる状況ではないとしております。
   なお、現在のところ当該患者情報等が外部に漏えいした事実は確認されておりません。
   
   
3. 紛失した個人情報
   ①患者基本情報　
   ②医師が患者の検査結果を参照した際に記録された情報
   ③電子カルテ利用者基本情報
   
   
4. 経　過
   令和３年 1 月 27 日 端末の故障発生。故障の状況から 1 カ月程度の経過観察を実施
   
   令和３年３月 1 日 病院の担当者から業者に修理見積の依頼メールを送信
   
   令和３年３月９日 業者の担当者からのメールで、「本日、修理品を回収する」旨の連絡
   
   業者の担当者来院（病院出退管理簿に業者の担当者の氏名等が記載）
   
   以降、端末の所在が不明
   
   令和３年９月 業者の担当者が退職（以下、前担当者）
   
   令和３年 11 月～ 端末の所在確認及び事実関係の調査
   
   令和４年８月 22 日 当該端末に保存された個人情報の対象者にお詫びの送付、公表

リリース文（アーカイブ）

セクストーション被害者の反撃

ケイティ・イエイツは、友人のナタリー・クラウスのヌード写真を突然Snapchatで受信し始めたとき、クラウスがセクストーションの被害者になったことを即座に察知しました。また、クラウスがどう対応すべきかもわかっていました。

これは、クラウスが2年生だった2019年12月に起きたことです。2人ともニューヨーク州立大学の学生でした。

イエイツに自身にも経験があります。クラウスからそのようなメッセージを受け取る数カ月前、彼女自身が性的暴行の被害者になっていました。通報した後、イエイツはソーシャルメディア上で罵倒のメッセージを受け取るようになりました。学内の誰からもサポートが得られないのを見て、彼女は嫌がらせをした相手を特定する方法を探りました。

誰の助けも得られない状況から、自身の力で問題を解決しようとする姿勢は、クラウスにとって有益なものです。だからイエイツがクラウスに、ハッカーを捕まえたいか聞いた時、クラウスは "うん "と答えたのです。

ハッカーは "Snapchat Security "を装う。

クラウスのハッカーだったDavid Mondoreの事件は、2020年、2021年頃に話題になりました。クラウスは唯一の被害者ではなく、2018年7月から2020年8月にかけてMondoreが一連のSnapchatの乗っ取り行為に関与していたことがプレスリリースで明らかになったのです。この期間、ハッカーはクラウスのアカウントを含む少なくとも300のSnapchatアカウントに不正アクセスした。

このブルームバーグの記事では、Mondoreが「セキュリティ社員」を装い、クラウスのSnapchatアカウントに侵入した疑いがあると触れています。ニューヨーク連邦検事局は、クラウスを騙して自分のアカウントをMondoreに引き渡させた策略について、より詳しい情報を提供しています。

プレスリリースが被害者1と呼ぶクラウスによると、彼女は知人からSnapchatのメッセージを受け取り（プレスリリースでは知人1と呼んでいる）、被害者1にメッセージを送っているのは、実は知人1のアカウントを利用したMondoreです。

知人1は被害者1にSnapchatの認証情報を尋ね、そのアカウントを使って他のユーザーが自分をブロックしていないかどうかを確認するためです。Snapchatでは、ユーザー名やフルネームで検索しても、ブロックしている人を確認することはできません。誰が誰をブロックしているのかを確認するには、別のアカウントを使うしかないようです。いくつかのサイトがこの手口を利用しています。

モンドールがこれを利用したのは明らかです。

被害者1が自分の認証情報を知人1に送った後、Mondoreは実際の電話番号を匿名にしたアプリを使って被害者1にテキストメッセージを送ります。彼が送ったメッセージは、Snapchat Securityからのものとされ、被害者1のアカウントが合法的にアクセスされたことを確認するために、被害者1の「My Eyes Only」フォルダのパスコードを送信するよう要求しています。

「My Eyes Only」は、Snapchat内の安全で暗号化されたプライベートフォルダで、ユーザーは機密性の高い写真やビデオを保存することができます。このフォルダには、パスコードによってのみアクセスすることができます。

被害者1のSnapchatアカウントと「My Eyes Only」フォルダにアクセスした後、Mondoreは被害者1のアカウントを使って被害者1の連絡先に連絡し、誰がブロックしたかを確認するためと称して、その認証情報を要求しました。

Mondoreはまた、レイプから立ち直ろうとしたクラウスのプライベート写真を使い、彼女のSnapchatの連絡先から危険な素材を集めた。彼女のヌード画像とともに送られたメッセージには、"Flash me back if we're besties."と書かれている。116人に送られ、そのうち4人は自分の露骨な写真で返信してきた。

"Gotcha"

クラウスはイエイツの助けを借りて、ハッカーを罠にかける計画を立てました。イエイツは自分のSnapchatアカウントを使って、クラウスのアカウントにメッセージを送りました。クラウスはその時すでにMondoreがコントロールしており、共有したいヌード画像があると言い、ポルノサイトに見せかけたURLリンクを貼ったのです。

そのURLはGrabify IP Loggerというウェブサイトで、アクセスした人のIPアドレスを収集するようになっています。それだけでなく、イエイツとクラウスは、Mondoreがおそらく予想していたポルノサイトではなく、「gotcha」という単語のWikipediaのページにリダイレクトするようにURLを設定したのです。

Wikipediaのリダイレクトを見たMondoreは、イエイツに "これは一体何なんだ？"とメッセージを送りました。彼女は、MondoreのIPを収集した後、クラウスのアカウントをブロックしました。彼はマンハッタンで、VPNなしでiPhoneを使っていました。

この情報により、Mondoreは逮捕され、6ヶ月の実刑判決を受けました。

クラウスはハッカーについて、「彼がバカだったからこそできたことだ。私がFBIに情報を渡したとき、彼らは "これがなければ彼を捕まえられなかった可能性が本当に高い "」と言った。

出典：When a sextortion victim fights back

Kali Linux 2022.3リリース

Offensive Securityは、仮想マシンの改善、Linux Kernel 5.18.5、新しい遊びのツール、ARMサポートの改善などを行った2022の第3バージョンであるKali Linux 2022.3をリリースしました。

Kali Linuxは、ホワイトハッカーがネットワークに対する侵入テスト、セキュリティ監査、サイバーセキュリティの調査を行うために設計されたディストリビューションです。

今回のリリースで、Kali Linuxチームは、以下のようなさまざまな新機能を導入しました。

• 仮想マシンのサポート強化
• 新しいツール
• Kali ARMのアップデート
• Kali NetHunterのアップデート
• Kali-Toolsレポジトリへの投稿を受付中

Offensive Securityは、Black Hat、BSides LV、DefConのセキュリティカンファレンスに合わせて、"みんなが楽しめる素敵なサプライズ！"として、Kali Linux 2022.3のリリースを決定しました。

このリリースで、Kali LinuxはLinux Kernel 5.18.5を使用しています。ただし、Raspberry Piのリリースは、バージョン5.15を使用しています。

また、Offensive Securityは、Kaliのリリースごとに、同社のDiscordサーバー「Kali Linux & Friends」で、新しい変更点について1時間のボイスチャットセッションを行うことを発表しました。

仮想マシンサポートの改善

Kali LinuxはすでにVMwareとVirtualBox用のVMイメージを持っていましたが、VM上にKaliを簡単に展開できるように、いくつかの新しい変更を加えました。

Offensive Securityは、VirtualBoxイメージをVDIディスクと.vboxメタデータファイルとして配布するようになり、Kaliを新しいVMとして迅速に追加することができるようになりました。

さらに、Kali Linux用のVMイメージは、最先端のパッケージを含む週次ビルドがリリースされます。しかし、これらは通常のリリースほど徹底的なテストは行われません。

Kali Linux 2022.3で追加された5つの新ツール

今回のリリースでは、パスワードスプレーツール、PHPポストエクスプロイトツールキット、ネットワーク分析ツールなど、5つの新しいツールが追加されています。

Kali 2022.3で追加された5つの新ツールを紹介します。

• BruteShark - ネットワーク分析ツール
  
  
• DefectDojo - オープンソースのアプリケーション脆弱性相関とセキュリティオーケストレーションツール
  
  
• phpsploit - ステルスなポストエクスプロイトフレームワーク
  
  
• shellfire - LFI/RFI とコマンドインジェクションの脆弱性を突く
  
  
• SprayingToolkit - Lync/S4B, OWA, O365 に対するパスワードスプレー攻撃

kali-linux-labs パッケージも更新され、Damn Vulnerable Web Application (DVWA ) と OWASP Juice Shop (Juice Shop) が追加されました。

Kali Linux 2022.3の入手方法

Kali Linux 2022.3 を使い始めるには、既存のインストールをアップグレードするか、プラットフォームを選択するか、新規インストールとライブディストリビューション用の ISO イメージを直接ダウンロードすることができます。

以前のバージョンからアップデートする方は、以下のコマンドで最新バージョンにアップグレードできます。

echo "deb http://http.kali.org/kali kali-rolling main non-free contrib" | sudo tee /etc/apt/sources.list

sudo apt update && sudo apt -y full-upgrade

cp -rbi /etc/skel/. ~

[ -f /var/run/reboot-required ] && sudo reboot -f

Windows Subsystem for Linux上でKaliを実行している場合、グラフィカルなアプリのサポートを享受するためにもWSL2を使用していることを確認してください。

Kali がインストールされている WSL のバージョンは、Windows のコマンドプロンプトで 'wsl -l -v' コマンドを使用することで確認することができます。

アップグレードが完了したら、以下のコマンドを使用してアップグレードが成功したかどうかを確認できます。

grep VERSION /etc/os-release

Kali 2022.3では、ハイライトされた改善点のみを紹介しましたが、完全な変更点については、KaliのWebサイトでご覧いただけます。

出典：Kali Linux 2022.3 adds 5 new tools, updates Linux kernel, and more

出典：Kali Linux 2022.3 Release (Discord & Test Lab)

青森県薬剤師会 「イベントペイ」不正アクセスによる情報流出について 2022年8月17日

本会で、研修会の参加申込・参加費のお支払いに利用しているWEB システム「イベントペイ」の不正アクセスによる情報流出について、「イベントペイ」側より下記のとおり発表がありました。

＜不正アクセスによる情報流出に関するご報告とお詫び＞

https://www.metaps-payment.com/company/20220228.html

上記には不正アクセスの原因及び情報流出の内容・規模、今後の対応・補償に関する情報が掲載されております。今後、「イベントペイ」側より対象となる方に対し2022/3/1（火）より順次通知があり、下記 補償窓口が開設されています。

本会行事の「イベントペイ」決済において2021/5/1（土）以降にクレジットカードをご利用の皆様におかれましては、改めてクレジットカードのご利用明細およびクレジットカード会社からの不正利用検出のメール連絡等のご確認をお願い申し上げます。

クレジットカード再発行手数料は「イベントペイ」側の負担となりますので、クレジットカード会社へのご連絡の際には、「メタップスペイメントの不正アクセスの件」である旨を必ずお申し出下さい。

リリース文（アーカイブ）

スイス政府、バグバウンティプログラムの開始を発表

スイスの国家サイバーセキュリティセンター（NCSC）は、連邦政府向けに新たなバグバウンティプログラムを開始すると発表しました。

2021年に実施されたパイロットプロジェクトでは、連邦外務省、FDFA、スイス議会サービスの計6つのITシステムに対して、ホワイトハッカーによるセキュリティ脆弱性のスキャンが実施されました。

その結果、「重要」1件、「中」7件、「低」2件を含む計10件の脆弱性が見つかりました。

その結果、このプログラムはNCSCの指導のもと、他の連邦政府機関にも拡大されました。

今年中に開始される予定の新しいセキュリティ報酬プログラムは、Bug Bounty Switzerland AGが運営し、同社は2022年8月3日、政府との契約に至ったことを確認しました。

CEO兼共同設立者のSandro Nafzger氏は、次のように語っています。「スイスにいる最高のサイバーセキュリティの専門家で構成される国立サイバーセキュリティセンターと協力できることを非常に誇りに思いますし、光栄に思っています。」

「NCSCとの戦略的パートナーシップと連邦政府との革新的なコラボレーションは、スイスでバグバウンティプログラムを確立するという我々の戦略の実施における重要なマイルストーンとなります。」

出典：Swiss government announces upcoming launch of federal bug bounty program