【セキュリティ事件簿#2024-221】あいざわアセットマネジメント株式会社 個人情報の流出について 2024/12/6

先般、あいざわアセットマネジメント株式会社（以下、「弊社」）の利用するクラウド e メールサービスへ外部からの不正アクセスによる情報漏えいが発生していることが判明したことを 2024 年 5 月 31 日に弊社公式ホームページにて公表いたしました。

この度、2024 年 7 月 8 日付で第三者調査機関（外部セキュリティ専門家）による不正アクセスの原因等を特定するためのフォレンジック調査とダウンロードされたメールの特定を行うための追加調査が完了いたしました。

それらの調査結果を踏まえ弊社により漏えいした個人情報の項目等の特定を行うための内部調査が2024 年 11 月 15 日に完了いたしましたので、以下の通りお知らせいたします。

お客様に多大なご心配とご迷惑をおかけする事態となりましたことを深くお詫び申し上げます。弊社では今回の事態を厳粛に受け止め、再発防止策の実施に全力を尽くしてまいります。

また調査対象が多岐にわたり、最終報告まで時間がかかりましたことを、重ねてお詫び申し上げます。

１．概要

2024 年 5 月 13 日、811 通の投資を促すスパムメールが弊社の特定の社員（以下、「当該社員」）から顧客等へ送信され、弊社でもスパムメールを受信し当該事態の発生を確認いたしました。当該事態を確認したことで被害拡大防止措置として当該社員のパスワードの変更を同日実施いたしました。

当該事態は、当該社員のクラウド e メールサービスのメールサーバーに保存されていたメール約 2年分が 2024 年 4 月 28 日から 5 月 13 日にかけ複数回の不正アクセスによりダウンロードされ漏えいしたことが 2024 年 5 月 15 日に発覚、同日、スパムメールを受信された顧客等へお詫びのメールを送らせていただきました。

２．漏えい等が発生し、又は発生したおそれがある個人情報の人数と漏えい等が発生した個人情報の項目

調査により 2,540 人の個人情報が漏えいしたことが判明いたしました。なお、漏えいした個人情報の項目と人数の詳細は以下の通りとなります。

（１）金融商品取引業者としての弊社の顧客等

金融商品取引業として契約等を締結している弊社の顧客となります。

◆漏えいした個人情報項目

契約先個人名、メールアドレス、法人名、所属部署・役職、住所（個人）、生年月日、電話番号（法人、個

人）、国籍、性別、顔写真等、パスポート番号、略歴、銀行口座、免許証番号

◆漏えいした個人情報の人数

顧客としての個人情報が漏えいした数は 94 人。 

（２）金融商品取引業者としての顧客以外の顧客に準じる取引先等

①：上記、弊社顧客には該当しませんが、ファンドの投資家等として今回調査を行った顧客に準じる取引先となります。

◆漏えいした個人情報項目

担当者名、メールアドレス、法人名、所属部署・役職、電話番号等

◆漏えいした個人情報の人数

個人情報が漏えいした数は 135 人。

②：①に該当しない取引先として今回調査を行った先は以下の通りとなります。

②-1：弊社が金融商品取引契約の顧客となっている取引先

◆漏えいした個人情報項目

担当者名、メールアドレス、法人名、所属部署・役職、電話番号等

◆漏えいした個人情報の人数

個人情報が漏えいした数は 36 人。

②-2：②-1 以外の弊社が金融商品取引契約の顧客であり業務委託を受けている取引先とその関係先

◆漏えいした個人情報項目

個人名、メールアドレス、法人名、所属部署・役職、住所、電話番号、家族の個人名、生年月日（本人以

外）、電話番号（本人以外）、続柄、住所（本人以外）

◆漏えいした個人情報の人数

個人情報が漏えいした数は 48 人。 

（３）顧客、顧客に準じる取引先以外の関係先及び取引先等

金融商品取引法における契約を締結している（1）弊社顧客、（2）顧客以外の顧客に準じる取引先等以外で個人情報が漏えいした関係先及び取引先は下記の通りとなります。

③-1：ファンドを運営する関係者で弊社もしくはファンドの顧客等（証券会社、アドミニストレータ、弁護士事務所等ファンドの運営にかかわる者）

◆漏えいした個人情報項目

担当者名、メールアドレス、法人名、所属部署・役職、電話番号、会計士番号等

◆漏えいした個人情報の人数

個人情報が漏えいした数は 689 人。

③-2：投資家候補、同業者、投資先、投資先関係者等

◆漏えいした個人情報項目

担当者名、メールアドレス、法人名、所属部署・役職、電話番号、パスポート番号、住所、年齢等

◆漏えいした個人情報の人数

個人情報が漏えいした数は 1,103 人。

③-3：物販業者、情報ベンダー、人材紹介会社等弊社が利用している業者等

◆漏えいした個人情報項目

 担当者名、メールアドレス、法人名、所属部署・役職、電話番号、住所、銀行口座等

◆漏えいした個人情報の人数

個人情報が漏えいした数は 178 人。

③-4：プロバイダーのドメインや知人、採用申込者等

◆漏えいした個人情報項目

名前、メールアドレス、法人名、所属部署・役職、電話番号等

さらに、採用申込者については、性別、住所、電話番号、生年月日、年齢、略歴、顔写真、趣味

◆漏えいした個人情報の人数

個人情報が漏えいした数は 148 人。 

③-5：その他（上記に分類出来ないもの）

上記のいずれの分類にも属さないが、弊社または弊社宛て業務委託先と業務上の関連がある先。

◆漏えいした個人情報項目

担当者名、メールアドレス、法人名、所属部署・役職、電話番号、略歴、写真等

◆漏えいした個人情報の人数

個人情報が漏えいした数は 47 人。

③-6：監督省庁、行政機関、協会等

◆漏えいした個人情報項目

担当者名、メールアドレス、法人名、所属部署・役職、住所等

◆漏えいした個人情報の人数

個人情報が漏えいした数は 62 人。 

３．発生原因

定期的なパスワードの変更がなされていなかったこと、二段階認証の導入を検討するものの対応せずにいたことで弊社のセキュリティ対策が脆弱な状態となっていたことが原因となります。

また、フォレンジック調査によると、漏えいした原因の可能性として、当該社員が外部サイトに登録しているパスワードが漏えいした可能性を指摘されています。パスワードが洩れた原因については特定出来ませんでした。

４. 二次被害又はそのおそれの有無及びその内容

弊社、内部調査では、スパムメールに添付されていたファイルは開封が可能でしたので、開封しても何かしらのウィルスを有するものではなくランサムウエア、マルウエアでは無かったことを確認しています。（弊社で開封したユーザーの PC においてウィルス検査を行った限りとなります。）

今後、漏えいしたメールアドレスや個人情報を利用し第三者から投資を促すようなメール等が送られてくる可能性がございますので不審なメールを受信した際にはご注意いただきますようお願い申し上げます。

５. 個人情報が漏えいした方への対応の実施状況

当該事態発生後、速やかに顧客の方に対して説明をさせていただきました。今回、最終報告にあたり改めて弊社顧客の方へ漏えいした個人情報の項目等につきご説明をさせていただきました。

６. 公表の実施状況

2024 年 5 月 31 日付で第 1 報、6 月 14 日付で第 2 報となるプレスリリースを行い、今回が最終報告となります。 

７. 再発防止のための措置

再発防止策として以下の通り対応を行いました。

① 定期的なパスワード変更の実施：三ヶ月に一度、パスワード変更を行うことで、今回の発生原因となったセキュリティ対策の脆弱性を改善するため実施いたしました。

② 二段階認証の導入：通常の ID とパスワードによる認証に加え、本人確認のステップを追加させることで、なりすましを防止するように全役職員が対応いたしました。（兼務をしている者については所属会社の規定に従います。）

③ パスワード使いまわしの禁止：フォレンジック調査では、外部サイトへ登録している認証情報が漏えいした可能性が示されています。今後は、全役職員に対してパスワードの使いまわしを禁止するよう注意喚起を行いました。

④ 個人情報、サイバーセキュリティに対するリテラシー向上：グループ会社のアイザワ証券と協力し、研修等を通じて個人情報、サイバーセキュリティに対するリテラシー向上に努めます。

８. その他参考となる事項

弊社顧客の個人情報以外に弊社役職員（退職者を含む）及びその扶養家族の方の特定個人情報 9 人が漏えいし、こちらは個人情報保護委員会へ 2024 年 7 月 10 日付で届出を完了しております。 

リリース文（アーカイブ）

【2024年5月31日リリース分】

リリース文（アーカイブ）

【セキュリティ事件簿#2024-539】学校法人福原学園 学園ネットワークへの不正アクセスについて 2024/12/6

このたび、学園のネットワークが、第三者からの不正なアクセスを受けていることが確認されたことから、安全が確認できるまで、外部との接続を緊急的に遮断しております。

現在、関係機関と連携し、協議を重ね調査を進めております。

関係者のみなさまには、多大なるご不便とご心配をお掛けしておりますことを深くお詫び申し上げます。　

何卒、ご理解とご協力の程、宜しくお願いいたします。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-538】大阪公立大学医学部附属病院 個人情報の漏洩のお詫びとお知らせ 2024/12/3

 

当院において、患者さまの個人情報が漏洩する事案が発生しました。

現時点で本事案による被害等は確認されていませんが、当該患者さまに対し、ご心配、ご迷惑をおかけしたことを改めてお詫びするとともに、改めて個人情報の取り扱いに係る適切な管理を徹底し、再発防止に努めてまいります。

１ 概要

当院と当院の医療連携登録医（以下、登録医）との間で当院カルテを共有閲覧する地域医療情報連携ネットワーク（以下、同ネットワーク）にて、通常、表示されるべきでない患者一覧が表示され、登録医が閲覧可能な状態であった。

２ 経緯および対応等

⚫ 2024 年 11 月 28 日（木）17：30 ごろ

当院職員が本事案を発見し、直ちにシステム委託業者へ状況の確認・調査を依頼する。

⚫ 2024 年 11 月 29 日（金）9：00

患者一覧の非表示設定を行い、本事象を改善する。原因の調査を引き続きシステム委託業者へ依頼する。

３ 原因

 地域医療患者一覧表示マスターの誤設定

４ 該当患者数、個人情報および閲覧可能者の範囲

⚫ 該当患者

618 名分（同ネットワークにて、当院と登録医間でのカルテ共有に同意いただいた患者さま）

⚫ 閲覧可能な状態にあった情報

「カナ氏名」「患者氏名」「性別」「年齢」「生年月日」「郵便番号」「住所」

⚫ 閲覧可能者の範囲

閲覧可能な医師： 125 施設 154 名

５ 再発防止策

⚫ システム設定変更の際には必ずマスター登録シートに基づき、チーム内でリスクや影響を確認して作業に着手することの徹底

⚫ 設定変更後は権限設定状況に応じた動作確認および作業完了承認の徹底

⚫ 個人情報保護研修、情報セキュリティ研修において適切な個人情報の取扱に関する認識の徹底

リリース文（アーカイブ）

【セキュリティ事件簿#2024-537】京都大学経営管理大学院メールサーバーへの不正アクセスによる被害および個人情報漏洩の可能性について 2024/12/5

 

京都大学経営管理大学院において運用・管理するメールサーバーが第三者による不正アクセスを受け、サーバーに保管されていたアカウントおよびメールアドレスが窃取された可能性があることが判明いたしました。

窃取された可能性のあるアカウント152件は、経営管理大学院で運用していた@gsm.kyoto-u.ac.jp のメールサーバーのアカウントとなります。パスワードファイルに記載のアカウント名（メールアドレス）、暗号化されていたパスワード、氏名（ローマ字）の情報が窃取された可能性があります。

また、@gsm.kyoto-u.ac.jp以外のメールアドレスの114件は、本メールサーバーで運用していたメーリングリストに記載されていたメールアドレスとなります。これらに関しては、全ての方々について、氏名・住所・電話番号・パスワードなどの個人情報は保管されておらず、窃取されていないことを確認しております。

なお、現時点において、不正に得た情報が悪用されたという被害報告はございません。

関係する皆様に多大なご迷惑をおかけしましたことを心よりお詫び申し上げます。

アカウント情報およびメールアドレス情報を有しておられた方々には個別に連絡をさしあげておりますが、すでに退職・異動された方や学外者を含め、ご連絡が取れない方がおられます。

つきましては、以下の条件に心当たりのある方は、以下の問い合わせ先にご連絡頂きますようお願いいたします。

・京都大学経営管理大学院のメールアドレスを有していた方（＠gsm.kyoto-u.ac.jpのメールアドレスを利用されていた方）

・京都大学経営管理大学院と関係するメーリングリストに登録されていた方

京都大学経営管理大学院としましては、今回の事態を重く受け止め、再発防止のためのセキュリティ強化に努めてまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-536】井関農機株式会社 当社グループ会社におけるランサムウェア被害の発生について 2024/12/5

 

この度、井関農機株式会社 (以下「当社」) のグループ会社である株式会社ヰセキ北海道(以下「ヰセキ北海道」) において、一部のサーバーが第三者による不正アクセス (ランサムウェア攻撃) を受けたことを確認いたしました。

現在、 外部専門家の助言を受けながら、 影響の範囲などの調査と復旧への対応を進めており ます。 被害の全容を把掘するには、今しばらく時間を要する見込みですが、 現時点で判明している内容について、下記の通りご報告いたします。

お客さまやお取引先をはじめとする関係者の皆さまにご迷惑とご心配をおかけすることとなり、深くお詫び申し上げます。

1. 経緯

・11 月 27 日(水)朝、ヰセキ北海道の一部のサーバー内の電子データが暗号化されるランサムウェアによる被害が発生していることを確認しました。

2. 現在の状況と今後の対応

・ヰセキ北海道の社内ネットワークを、 当社グループの基幹システムから一時的に切り離しております。

・不正アクセスを受けたサーバーから情報が漏洩した可能性があるため、外部専門家の協力のもと、調査を続けております。なお、個人情報保護委員会への報告、警察などの関係機関への報告及び相談はすでに行っております。

・当社の基幹システムやヰセキ北海道以外のグループ会社のネットワークに対する不正アクセスは確認されておりませんが、本件の早期復旧への対応を進めると同時に、当社グループ全体における情報セキュリティ体制の強化を図り、今後の再発防止に向けた予防措置を講じてまいります。

・今後お知らせすべき新たな事実が判明した場合は、速やかにお知らせいたします。

・本件における今期業績に及ぼす影響については現在精査中です。 開示が必要な場合は速やかにお知らせいたします。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-535】RIZAP株式会社 情報漏えいの可能性に関するお詫びとお知らせ 2024/11/29

 

10月31日に公表させていただきました「情報漏えいの可能性に関するお知らせ」の件、その後の調査により本日時点までに判明している事項につき、お知らせいたします。

本件はデータ取扱いのルール説明および運用の徹底が不十分だったことなどが主な原因であったと考えており、前回の公表以降、当該クラウドサービスの利用ルールを明確化し、外部からの不要なアクセスが発生しない環境を整備しました。現在、当社で利用しているその他のクラウド環境についても、設定調査および継続的に設定状況を監視する仕組みの導入を計画しており、近日中の稼働を予定しております。また、データ取扱いのルール説明・徹底について、再度社内への周知を実施し、従業員への教育を徹底することで再発防止に取り組んでおります。

この度は、お客様ならびに関係者の皆様には大変なご迷惑とご心配をおかけしましたことを、心よりお詫び申し上げます。

本件判明後現時点まで、不正使用や被害が発生した事実は確認されず、二次被害も確認されておりません。また、詳細な調査を行った結果、本事案の対象データには要配慮個人情報やクレジットカード情報等は含まれていない事が確認できております。

今回の事項は以下の通りです。

１． 概要

当社が利用するクラウドサービス上で作成したお客様情報を含む一部のファイルが、アクセス権限の設定誤りにより、アクセス権限を持たない第三者が閲覧可能な状態にあったことが、2024 年 10 月 16 日に従業員により判明しました。

２．情報漏えいしたおそれのある項目と件数

＜項目＞

メールアドレス、氏名、生年月日、性別、住所、電話番号、会員番号など

※漏えいしたおそれのあるデータには、上記すべての項目ではなく、その一部が含まれている状態です。

＜件数及び項目＞

計365,461名

・内、メールアドレス、管理番号　　　　　　　　　： 162,768名

・内、管理番号のみ　　　　　　　　　　　　　　　： 82,867名

・内、メールアドレス、管理番号、性別、契約プラン： 60,654名

・その他　　　　　　　　　　　　　　　　　　　　： 59,172名

※要配慮個人情報やクレジットカード情報等は含まれていないことが確認できております。

※本件判明後現時点まで、これらの情報の不正使用や被害が発生した事実は確認されず、二次被害も確認されておりません。

＜アクセス権限を持たない第三者がアクセスできる状態にあった期間＞　　　　　

2022年1月24日～2024年10月25日　

※対象のデータによって閲覧可能期間は異なります。

※上記のお客様情報は、会員データベースから一時的に抽出したファイルデータであり、上記期間に継続して保管・蓄積していたものではありません。

３．今後の対応について

上記のお客様情報が漏えいしたおそれのある方で、ご連絡先が把握できた皆様には 、本日より順次、お詫びとお知らせを個別にお送りさせていただきます。加えて、お客様からのご質問やご不安などにお答えするための専用のお問合せ窓口を設置いたします。

このたびは、お客様ならびに関係者の皆様に大変なご迷惑とご心配をおかけしましたことを、改めて心よりお詫び申し上げます。皆様に安心してご利用いただけるサービス運営を目指し、全社を挙げて取り組んでまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-534】東京経済大学 不正アクセスによる迷惑メール送信のお詫び 2024/12/4

 

この度、本学事務職員のメールアカウントが学外より不正にアクセスを受け、学外者向けに大量の迷惑メールが送信されるという事案が発生しました。

今回、このような事案が発生し、関係者の皆様に多大なご迷惑をおかけすることになり、深くお詫び申し上げます。以下にその内容を報告させていただきます。

なお、今回の大量の迷惑メールの送信による個人情報、機密情報の漏洩は確認されておりません。また、本事案については文部科学省へも既に報告しております。

◆経緯

2024年11月30日AM04:39頃より、本学職員のメールアドレス（2アドレス）から計15.6万通※もの大量の迷惑メールが発信されました。※送信メール件数ではなく宛先の総通数。

◆原因

当該メールアカウントに設定されていたパスワード情報が、学外の第三者により不正に窃取され、送信の踏み台とされたため。なお、当該メールアカウントは管理者にて強制的にパスワードを変更。その後大量メールが止まったことを確認済みです。

◆調査、対応

当該メールアドレス及びメールシステムについて調査しました結果、個人情報、機密情報の漏洩は認められませんでした。また、本学の主要システムにおきましても、侵入された形跡は見られませんでした。

また、本学全事務職員に対し、脆弱なパスワード（文字数が少ない、類推しやすい文字列等）の場合、至急変更を行うよう指示をしております。

現在、WEBメールシステムは学外からの直接アクセスを遮断しております。（今後、必要なセキュリティ対策を講じた上で、制限を解除する予定）

この度は、ご関係の皆様に多大なご迷惑をおかけし、深くお詫び申し上げます。今後、このような事態が二度と起こらないよう、より一層セキュリティの管理、対策の徹底を図り、再発防止を講じて参ります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-533】ユアサ商事株式会社 海外グループ会社サーバへの不正アクセスの発生について 2024/12/5

 

ユアサ商事株式会社（東京都千代田区 代表取締役社長：田村 博之）は、当社のメキシコ合衆国のグループ会社である YUASA SHOJI MEXICO,S.A.DE C.V（. 以下 YUASA MEXICO）において同社のサーバが第三者による不正アクセスを受けたことを 11 月 27 日（AM6:00）（現地時間）に確認いたしましたので、お知らせいたします。

YUASA MEXICO では、不正アクセスの確認後、速やかに外部からのアクセスを制限するなど必要な対策を講じるとともに、関係当局への報告を行っています。

また、現在、外部専門家の協力を得て、原因および影響範囲の調査を進めるとともに、事業活動に対する障害への対処などを行っております。

なお、今回の不正アクセスは YUASA MEXICO のサーバにとどまり、当社を含む他の当社グループのサーバやネットワークへの影響がないことを確認しています。

関係する皆さまに多大なるご迷惑とご心配をおかけしていることを、深くお詫び申し上げます。今後、再発防止等を含め、セキュリティの強化に全力で取り組んでまいります。

リリース文（アーカイブ）