拝啓 時下ますますご清栄のこととお慶び申し上げます
平素は格別のお引き立てを賜り厚く御礼申し上げます
この度、弊社の運営する求人サイト「Workin.jp」のメールサーバーより、不特定多数の方に迷惑メールが送信された事実を確認いたしました。メールを受信された皆様には多大なるご迷惑とご心配をおかけいたしましたこと、心よりお詫び申し上げます。
今回の不正アクセスによる個人情報および機密情報の漏洩はなかったことを確認しております。
また、メールサーバーにおいては外部からのアクセスを遮断し、以降は迷惑メールの送付は行われておりません。
また、送信されたメールはフィッシングメールであることを確認しており、皆様に於かれましては、当該メールおよび添付ファイルの開封、URLのクリック等を行うことなく、削除していただきますよう、お願い申し上げます。
２０２４年２月２９日に、病院外において当院職員が個人で使用しておりますパソコンで、インターネット利用時に「サポート詐欺」に遭い、遠隔でパソコンを閲覧できるアプリケーションをダウンロードされ、結果として遠隔操作可能時間が20分程度発生するという事案が発生いたしました。
その為、パソコン内のデータ内容等を確認したところ、特定診療科の患者さまの一部個人情報（診療内容等）が保存されていることが判明いたしました。尚、個人の連絡先情報等は含まれておりませんでした。
これを受けまして、専門家によるパソコン及び該当データ検証および調査をいたしましたが、患者さまの情報へアクセスし抜き取られた等の被害に繋がる情報流出は確認されませんでした。該当患者さまには個別にご報告致しております。
当院と致しましては、現状情報の漏洩に至っていないと認識しておりますが、当該事案について厳粛に受け止め、国や大阪府警察本部サイバーセキュリティ指導対策課及び関係機関への報告を行うとともに対応について指導を受けております。
患者さま、関係する皆様におかれましてはご心配をお掛けすることとなり深くお詫び申し上げます。
今後、このようなことが無いよう再発防止に向け職員教育を徹底してまいります。
市が支援・協力している市内大戸地区の地域運営組織「大戸まちづくり協議会」が主催するイベント「まるごと健康ウィーク！！inおおとvol.2」において、市職員がオンラインの申込フォームの設定を誤り、イベント申込者8名の個人情報が、一定期間公開されていた可能性があるという事案が発生しました。
関係者の方々に深くお詫びしますとともに、このようなことが起きないよう、個人情報の管理につきまして、改めて周知徹底を図ってまいります。
令和6年2月28日から3月7日までの期間に、イベントのオンライン申込フォームのアクセス制限の設定を誤って共有設定に変更してしまったため、それ以前に申し込みをいただいていた8名の方の個人情報（1月申込4名の住所、氏名、電話番号及びメールアドレスと、3月7日申込の１組4名の氏名、電話番号）が新たに申込しようと申込フォームにアクセスした方に閲覧可能な状態になっていたものです。
今回の不適切な個人情報の取扱が発生した原因は、イベント周知用のチラシに記載したQRコードを誤って管理者用URLから作成してしまったこと、さらに、その後、誤ってアクセス制限を誰でも編集・閲覧可能な共有設定に変更してしまったことという2つのミスが重なったことによるものです。これにより、アクセス制限設定前は、管理者用URLから作成した二次元コードでアクセスしても個人情報を閲覧することはできませんでしたが、その後の誤ったアクセス制限設定後は、申込フォームにアクセスした方がすでに申し込まれていた個人情報を閲覧可能となってしまったものです。
令和6年3月8日、外部関係者からの情報提供により申込フォームが編集可能となっていることを把握。情報漏えいの可能性もあることから、直ちに申込フォームを閉鎖し情報拡散を防ぐ処置を行い、事実確認と原因究明を行いました。事実確認の結果、少なくとも3月7日に申し込みを行おうとした1名の方が、先に申込されていた4名の方の個人情報を閲覧できたことを確認したところです。
また、申込内容が閲覧可能となってしまった方々への対応については、3月14日から15日までに事前に概要の連絡を行った上で、イベント当日の3月16日に直接お会いして事案の内容や原因など詳細説明と謝罪を行ったところです。
今後、このようなことを繰り返さないよう、オンライン申込フォームについて、より安全性の高いものに変更するとともに、情報セキュリティに関する職員の研修を行ってまいります。さらに、複数の職員で事前に確認を行うなど、チェック体制の充実を図ってまいります。
なお、職員に対して、個人情報の管理について、改めて周知徹底を図ってまいります。
注意点として、ffuf は総当たりによる列挙のため、十分に注意して利用してください。
注意点として、nuclei は総当たりによるスキャンツールのため、十分に注意して利用してください。
xnLinkFinder は、クローリングによって対象のエンドポイントやパラメーターを列挙するツールです。
これにより、対象のドメインにあるエンドポイントを列挙して、各機能のパスや API のエンドポイントを確認することができます。
例) xnLinkFinder でエンドポイントを列挙する場合
注意点として、xnLinkFinder はクロールによるスキャンツールのため、十分に注意して利用してください。
注意点として、dirseaech は総当たりによる列挙のため、十分に注意して利用してください。
注意点として、Arjun は総当たりによる列挙のため、十分に注意して利用してください。
注意点として、byp4xx は総当たりによる検証のため、十分に注意して利用してください。
当社は、第三者によるランサムウェアを用いた標的型攻撃を受け、当社サーバ保存情報の暗号化やアクセスログ抹消等の被害が発生したこと（以下「本インシデント」といいます。）を 2024 年２月７日及び８日に公表いたしました。
この度、外部の専門企業の協力のもと進めてまいりました本インシデントの調査が完了いたしましたので、調査結果及び再発防止に向けた取り組み等についてご報告を申し上げます。お客様はじめ多くのご関係先にご迷惑とご心配をおかけいたしましたことを、深くお詫び申し上げますとともに、当社の本インシデントへの対応について多くのご支援を賜りましたことについて深く感謝申し上げます。
【2024年2月8日リリース分】
