古典的なOSINT


今回は、World Wide Web が存在しなかった時代にタイムスリップして、OSINT 調査の方法について過去から学んでみる。もしかすると、現在にも通じるものがあるかもしれない。

現在、インターネットに接続すれば、どこからでも驚くほど多様なリソースに瞬時にアクセスすることができますが、これらが誕生する前の時代に目を向けることは賢明かもしれません。これまで、国立・州立図書館や公文書館、大学図書館、民間団体図書館、自治体図書館などの宝の山にアクセスすることを楽しんできました。インターネットが普及する以前は、オープンソースの研究者にとってなかなか手に入らないようなデータもよくありました。

物理的な電話帳街の名簿といった古い手段は、今日では人探しサービスや検索エンジンなどのツールに取って代わられています。そして、これらの現在の手段は、将来的に他のツールに取って代わられるでしょう。これは、OSINT 研究者がツールではなく、調査・分析プロセスに焦点を当てるべき理由です。ツールやそれを管理する人は、必然的に時間の経過とともに変化し、最終的には他のものに取って代わられるのです。しかし、公共図書館のような情報の集合体は、決して廃れることはないでしょう。


World Wide Webが誕生すると、図書館は、独自のリソースをリモートで提供したり、情報の重要なポータルとして機能し続けることができるようになりました。

多くの図書館は、図書館利用者に無料で提供できる高価なデータベースや定期刊行物へのアクセス権を持っています。図書館によっては、Lexis/Nexisなどのデータベースや、Jane's Onlineなどの定期刊行物形式の資料、医学雑誌などの専門出版物へのアクセスも含まれることがあります。このような資料は、インターネット資料が爆発的に普及する以前も以後も、流通の制限やコストの問題から、それ以外の方法でアクセスすることが困難な場合が多いのです。

これらのリソースのいくつかは、図書館のオンラインユーザーでも利用できることがありますが、多くの場合、利用するには図書館に行く必要があります。しかし、OSINTの研究者にとっては、図書館に足を運ぶ価値がある場合も多いでしょう。

大きな図書館では、どのようなリソースが利用できるかをウェブサイトに掲載している場合があります。OSINT研究を行う者は、少なくとも地元や国の政府機関や近隣の大学図書館のこれらのページを見つけて記録するよう、前もって計画することができます。いくつかの例を挙げます。
専門図書館は、多くの人が知らない資料へのアクセスを提供します。例えば、米国では情報公開法(FOIA)により、膨大な量の政府文書が公開されています。同様の公開記録法を持つ他の国も、しばしば同じことをしています。政府機関では、公開された記録を閲覧できる図書館を定期的に運営しています。このプロセスに参加する民間組織も、同様に独自のライブラリを通じて一般市民と情報を共有することができます。

人気のある米国FOIA文書資料には次のようなものがあります。
他にも、Social Security Death Index(SSDIと呼ばれることもある)のように、何十年も前から利用可能であったが、現在ではオンラインで一般公開されている政府資料もある。このインデックスは、ancestry.comのような系図サイトも含めて、オンラインでアクセスし、検索する方法がたくさんあります。SSDIは、米国在住の調査員として、ある個人が亡くなった際、その人の住所に関する手がかりを確認するのに何度か役に立ったことがある。他の国、州、地方にも同様の資料がありますが、それほど新しい記録は含まれていないかもしれません。このような資料が捜査に役立つことはあまりないかもしれないが、有用であることに変わりはない。

研究者は、考えうるほぼすべての関心領域について - おそらくそれに焦点を当てた主要な図書館があることを心に留めておく必要があります。私たちの多くは、例えば法律関係の図書館があることを知り、これらが何らかの形で存在することを認識しています。これらの多くは、政府機関や教育機関に関連付けられています。

このような専門的な図書館は世界中にあり、その種類は非常に多く、頭を悩ませるところです。これらの図書館は、必然的にその分野に関連する専門的なデータセットにアクセスすることができ、そこにはまさにあなたが興味を持つような情報が含まれています。多くの場合、その情報にアクセスするためには、図書館のウェブサイトにログインするか、または訪問する必要がある。


上記は例として提供された単一のリンクですが、もちろん、特定の主題領域については、多くの場合、様々な地域に多数のライブラリが存在します。ここに挙げた例は主に米国に基づくものですが、英国の国立航空宇宙図書館東北大学農学図書館など、多くの場所でこれらのライブラリの独自版が存在します。

企業や組織の図書館は、しばしば見落とされがちな資源です。営利・非営利を問わず、ほとんどの大企業は、通常、図書館を持っています。そこには、企業の記録しか保存されていないかもしれません。しかし、企業やその職員(過去と現在)、活動に関する情報だけでなく、競合他社や科学的情報、非常に特殊な技術リソースやデータベースへのアクセスなど、特定の業界に関する情報まで含まれている場合があります。

ドイツの村の道路の経年変化について、何か情報が欲しいですか?ドイツ自動車クラブ(ADAC)の図書館がお役に立つかもしれません。米国内の慈善団体の状況や活動を調査していますか?GuidestarとThe Foundation Centerがほぼ1世紀にわたって追跡調査しています。ロンドンのリンネ協会に興味がおありですか?リンネ協会の図書館には、期待される科学的な資料のほかに、協会に関する多くの情報があります。営利企業で数年前の主要幹部の人脈や、製品開発プロセスについて知りたいですか?うまくお願いすれば、企業図書館にアクセスできるかもしれません。ただし、アクセスするためには、それなりの理由も必要でしょう。

つまり、あなたが求めるオープンソースの情報が常にオンラインで入手できるとは限らないこと、そしてウェブブラウザを開く以外にも公開情報を入手する方法があることを、覚えておくとよいでしょう。時々、ウェブ上でデータをホストしていない遠方の自治体からの公文書データが必要になることがありました。そのような場合、事務局や担当の管理者に電話で問い合わせると、必要な情報が得られることがよくある。オンラインデータには有料や登録制のものもあるが、他の方法、時には電話で問い合わせることで無料で入手することができる。

このように直接的に関わることで、潜在的なデータソースが増えます。特定の分野の専門家、地元メディアが収集した以上の詳細を提供できる事件の目撃者、必要な記録にアクセスできる関係者などが、電話や電子メール1本で、他では得られない貴重な情報を提供してくれるかもしれないのです。

ジャーナリストなどの研究者の中には、このようなことを頻繁に行う人もいますが、他の多くの人は、このような手段を取ることを思いつかないかもしれません。場合によっては、法律や安全保障上の懸念、その他の制限により、潜在的な情報源に直接コンタクトすることができないこともありますが、許されるのであれば、どんな調査員にとっても選択肢の一つとして残されているはずです。これは純粋に OSINT なのか?それはあなた自身が決めることですが、調査を前進させることができる方法であることは間違いありません。

株式会社小学館集英社プロダクション マルウェア感染による個人情報漏洩の可能性に関するお知らせとお詫びにつきまして 2022年8月4日


弊社が運営する保育施設のうち1園において、使用するパソコンが「なりすましメール」に
よるマルウェアに感染し、パソコン内に保存されていた個人情報が漏洩した可能性を完全に否定できないことが判明いたしました。なお、現在までに、個人情報の漏洩・不正利用等の二次被害に関する報告は受けておりません。

当該保育施設にお通いの在園児様へは、書状にて、6 月 10 日に発生概要とお詫びを、7 月 22 日に途中経過報告を、また8月4日より該当する個人情報に関して順次個別にお知らせをご連絡させていただいております。

弊社保育施設をご利用の保護者の皆様をはじめ、お取引先様、関係者の皆様には多大なるご迷惑とご心配をおかけしますことを心より深くお詫び申し上げます。

1. 概要および原因

弊社が運営する保育施設のうち1園のパソコンにおいて 6 月 8 日、所属自治体担当者と名乗る者より業務連絡を装うメールを受信し、実在の担当者からの業務連絡メールと思い添付ファイルを開きました。その後弊社が委託している外部システム会社より連絡が入り、当該メールがマルウェアを含むものであったことが判明いたしました。

ファイル開封から 9 分後に外部とのネットワークを遮断するなどの対応を実施し、同日、当該外部システム会社にパソコンを持ち込み不正アクセス状況等の調査を開始しました。その結果、当該パソコン上にマルウェアが展開されていることを確認し、大容量のファイルを圧縮、送信した形跡はみられないものの、悪意のある外部サーバとの通信履歴があり、何らかの情報漏洩の疑いを完全に否定できないことが判明いたしました。

なお、当該事案につきまして 6 月 10 日に個人情報保護委員会に届け出いたしました。

2. 漏洩の可能性がある個人情報 (個人情報漏洩の可能性がある対象者)

個人情報の漏洩の可能性が疑われる対象者は 1,178 名であり、内訳としては当該保育施設の在園児様・卒園児様・退園児様及び保護者様、現勤務職員・離職職員、並びに外部第三者の方です。

また、漏洩した可能性のある情報は以下のとおりです。

・氏名
・生年月日
・性別
・住所
・電話番号
・メールアドレス
・病歴
・心身の機能の障害等

3.公表の時期について

6 月8日の漏洩懸念から今回のご案内に至るまで、時間を要しましたことを深くお詫び申し上げます。

マルウェアの感染により漏えいした可能性のある情報の範囲等が不明であったため、調査を続けておりました。当該保育施設にお通いの在園児様、並びに宛先が判明している卒園児様、退園児様、離職した職員及び外部第三者の方には順次ご連絡申し上げておりますが、今般、感染状況の調査結果が明らかになりましたため、公表を行うことといたしました。今回の発表までお時間をいただきましたこと、重ねてお詫び申し上げます。

4.再発防止策 

再発防止策は以下のとおりです。
  • パソコン内の個人情報データの削除(ごみ箱等も含め)及び会社サーバ内又はクラウド上でデータ管理することの徹底
  • 会社内で受信した攻撃メールの共有及び注意喚起
  • 攻撃メールを受信した際に開封及びクリックしないためのメール取扱い訓練の実施
※会社で作成した攻撃メールを装った訓練用メールを配信

5.対象となる方への対応

当該保育施設にお通いの園児様へは、8月 4 日より書状にてお詫びとお知らせを個別にご連絡させていただいております。また、在籍する職員へも8月4日より直接お知らせとお詫びをいたしております。

また、卒園児様・退園児様および保護者様、離職職員、並びに外部第三者の方にも、宛先が判明している方には全て書状を個別に送付しております。

不審な連絡等があった場合には、当該保育施設および弊社受付窓口までお知らせいただきますようお願いいたします。(なお、本日現在、受付窓口にはお問い合わせはいただいておりません。)

週刊OSINT 2022-27号

 

今号では地図、Google、Torサービスに関するヒントやコツを取り上げます。

また、何年も前から知っていながら一度も話題にしたことのないサイトを始め、共有したいクールなことがたくさんありました。とにかく、いつものようにトピックの概要を説明しながら、飛び込んでみましょう。

  • GPS Visualizer
  • Google Workshop
  • More on Google Searching
  • Tor Bookmarks
  • More Dark Web Links
  • Carnet


サイト: GPS Visualizer

このウェブサイトは、アクティビティトラッカー、KMLファイル、CSVやExcelシート、さらにはGoogle Drive上のシートまで、あらゆる種類のファイル形式から地図を生成することができます! ファイルをアップロードし、出力形式を選択するだけです。その後、地図自体やそのレイアウトを微調整することができます。Google APIキーが必要なオプションもありますが、これはGoogleのサービスを利用しているかどうかによります。補足:Google MapsのルートをGPXに変換して、このウェブサイトでさらに処理したい場合は、MapsToGPXのような無料のツールがあります。


メディア: Google Workshop

Henk van Ess氏がGIJNのために、最近のGoogleが返す奇妙な結果についてプレゼンテーションを行った。Googleは検索結果の中で最も重要で強力な結果を強引に出そうとするため、あなたが見たいリンクが返ってこないかもしれません。Henkは、Googleを使用する際に最良の結果を得るために、様々な注意点を探り、それを回避する方法を説明しました。


小技: More on Google Searching

Googleで検索する際のヒントとして、忘れてはならない個人的なコツをいくつか紹介します。

Web & Activityをオフにする

Google は、お客様や他のユーザーが検索している内容に基づいて、より関連性の高い提案や結果を生成するために、検索アクティビティを使用します。設定によっては、Google は、最近の検索履歴からの提案を表示するなど、検索をより個人的なものにするためにお客様のアクティビティを使用することもあります。

この機能をオフにするには、検索結果のページから設定を開いてください。


次に、「検索履歴」オプションをクリックします。


ここで、保存されたアクティビティを削除したり、さらにはオフにすることができます。アクティビティの削除により、どのような効果が出るのか試してみてください。

Incognito Browsing

ヘンクがビデオで説明したように、シークレットオプションは、Googleのアルゴリズムに捕らえられることを防ぐものではありません。しかし、何らかの形でパーソナライズされた結果を提供されることは防げます。私が行った簡単なテスト検索では、何百万件もあった検索結果が数千件になりました。これは、Googleが「私にとって重要だと思われるもの」ではなく、「関連する結果」だけを表示したからに他なりません。

別のサービスを利用する

検索エンジンStartpageは、その結果にGoogleを使用しており、さらにGoogleの高度な検索演算子(またはドーク)を使用しています。このサイトを使用する利点は、通常のブラウザでシークレットブラウジングセッションと比較して、多少似たような結果を得ることができることです。いずれにせよ、別の検索エンジンを使用するのは良い考えです。プライバシーに配慮したサービスとしては、LokySearXなどがあります。

ローカライズ検索

iSearchFromというサイトを利用すると、Googleで検索する際に、特定の国や言語、デバイスをターゲットにすることができます。注意点としては、検索結果のリンクをすぐにクリックすることができませんが、検索後にURLを変更することで可能になります。単にURLの上に移動し、URL内のオプション&adtest=onを見つけ、削除します。

Googleがインデックスするものを知る

Googleは、ページ上に見えるものだけでなく、ソースコード内にあるものもインデックスしていることを忘れないでください。Henkの動画を見ると、彼は「Saint Kitts」を含む結果をたくさん取得しています。そして、結果の大部分はソースコードのどこかにそれを含んでいました。プルダウンメニューを開くと表示される場合もあれば、それ以外の場合もあります。ほとんどの場合、検索された単語は実際に存在するのですが、単に検索そのものに関連性がない、あるいは単に隠されているだけの場合があります。


リンク: Tor Bookmarks

OSINT Combineは、Torブラウザに取り込んで使えるブックマークセットを作成しました。リークサイト、検索エンジンのセット、OnionShareへのリンク、そしてさまざまなサービスの小さなコレクションを備えています。これはTorの世界に入り始めた人たちのための素敵なスターターパッケージです。


リンク: More Dark Web Links

Torブックマークで紹介されているリンクの1つは、OSINT Techniquesでも共有されていたもので、tor.taxiと呼ばれているものです。これもブックマークのセットで、TorサイトとI2Pサイトの両方が対象です。このリストには、マーケットプレイスやフォーラム、サーチエンジン、エクスチェンジなど、さまざまなカテゴリのサイトがあります。そして、どのサイトがオンラインであり、どのサイトが中断される可能性があるのかを色で表示しています。


サイト: Carnet

1週間ちょっと前、Nico Dekens氏からCarnetというサイトの素晴らしい情報を入手しました。このサイトは、アップロードされた画像に写っている車を認識するオンラインツールを提供しています。複数の車が写っている場合は、画像からランダムに1台を選んでくれるようです。複数のクルマが写っている場合は、識別したいクルマをトリミングすれば、その役割を果たします。


出典:Week in OSINT #2022-27

株式会社ベクトル 弊社が運営する「ベクトルパーク」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ 2022年8月18日


このたび、弊社が運営する「ベクトルパーク」におきまして、第三者による不正アクセスを受け、お客様のクレジットカード情報(18,136 件)が漏洩した可能性があることが判明いたしました。

お客様をはじめ、関係者の皆様に多大なるご迷惑およびご心配をおかけする事態となりましたこと、深くお詫び申し上げます。

なお、個人情報が漏洩した可能性のあるお客様には、本日より、電子メールにてお詫びとお知らせを個別にご連絡申し上げております。

弊社では、今回の事態を厳粛に受け止め、再発防止のための対策を講じてまいります。

お客様をはじめ関係者の皆様には重ねてお詫びを申し上げますとともに、本件に関する概要につきまして、下記の通りご報告いたします。

1.経緯
2021 年 12 月 7 日、所轄警察署の岡山県警サイバー対策課より、弊社運営の「ベクトルパーク」より、不正に情報が送信されている可能性があると連絡を受けて、社内で調査を実施し、不正のプログラムを発見して、除去を行いましたが、さらなるリスクを鑑みて、2021 年 12 月 29 日弊社が運営する「ベクトルパーク」でのカード決済を完全に停止いたしました。

その後、第三者調査機関による調査も開始いたしました。2022 年 6 月 28 日、調査機関による調査が完了し、2020 年 4 月 27 日~2021 年 12 月 22 日の期間に 「ベクトルパーク」で、購入されたお客様クレジットカード情報が漏洩し、一部のお客様のクレジットカード情報が不正利用された可能性があることを確認いたしました。

以上の事実が確認できたため、本日の発表に至りました。

2.個人情報漏洩状況

 (1)原因

弊社が運営する「ベクトルパーク」のシステムの一部の脆弱性をついたことによる第三者の不正アクセスにより、ペイメントアプリケーションの改ざんが行われたため。

 (2)個人情報漏洩の可能性があるお客様

2020 年 4 月 27 日~2021 年 12 月 22 日の期間中に「ベクトルパーク」において、クレジットカード決済をされたお客様 18,136 名で、漏洩した可能性のある情報は以下のとおりです。

・カード名義人名
・クレジットカード番号
・有効期限
・セキュリティコード
・ログオン ID
・パスワード

上記に該当する 18,136 名のお客様については、別途、電子メールにて個別にご連絡申し上げます。

3.お客様へのお願い

既に弊社では、クレジットカード会社と連携し、漏洩した可能性のあるクレジットカードによる取引のモニタリングを継続して実施し、不正利用の防止に努めております。

お客様におかれましても、誠に恐縮ではございますがクレジットカードのご利用明細書に身に覚えのない請求項目がないか、今一度ご確認をお願いいたします。万が一、身に覚えのない請求項目の記載があった場合は、たいへんお手数ですが同クレジットカードの裏面に記載のカード会社にお問い合わせいただきますよう、併せてお願い申し上げます。

なお、お客様がクレジットカードの差し替えをご希望される場合、カード再発行の手数料につきましてはお客様にご負担をお掛けしないよう、弊社よりクレジットカード会社に依頼しております。

4.公表が遅れた経緯について

2021 年 12 月 7 日の漏洩懸念発覚から今回の案内に至るまで、時間を要しましたことを深くお詫び申し上げます。

本来であれば疑いがある時点でお客様にご連絡し、注意を喚起するとともにお詫び申し上げるところではございましたが、決済代行会社と協議し、不確定な情報の公開はいたずらに混乱を招き、お客様へのご迷惑を最小限に食い止める対応準備を整えてからの告知が不可欠であるとの説明を受け、発表は調査会社の調査結果、およびカード会社との連携を待ってから行うことに致しました。

今回の発表までお時間をいただきましたこと、重ねてお詫び申し上げます。

5.再発防止策ならびに弊社が運営するサイトのクレジットカード決済再開について 

弊社はこのたびの事態を厳粛に受け止め、調査結果を踏まえてシステムのセキュリティ対策および監視体制の強化を行い、再発防止を図ってまいります。

改修後の「ベクトルパーク」のクレジットカード決済再開日につきましては、決定次第、改めて Web サイト上にてお知らせいたします。

また、弊社は今回の不正アクセスにつきまして、監督官庁である個人情報保護委員会には 2022 年 7 月 11 日に報告済みであり、また、所轄警察署にも 2021 年 12 月 8 日に被害申告しており、今後捜査にも全面的に協力してまいります。

徳島大学 キャリア支援室予約システムによる個人情報漏えいについて 2022年8月17日


本学のキャリア支援室予約システムを利用された学生及び卒業・修了生の個人情報がインターネット上で漏えいしていた事実が判明いたしましたので、ご報告いたします。

令和4年8月1日(月)、個人情報が閲覧可能になっているとの指摘を本学職員から受け、事実関係を調査しました。機能拡張を目的としたシステム改修を担当した委託業者にて不備があり、そのことによりキャリア支援室予約システムを利用された学生等の情報が閲覧可能状態となり、漏えいした学生等の個人情報は、令和4年7月5日(火)から令和4年8月3日(水)までの間、インターネット上で閲覧可能になっていたことが判明しました。8月1日、直ちに関係各所に連絡を取り、閲覧不可能状態にする対応を行い、また、Web検索エンジンのキャッシュデータの削除を依頼し、8月3日朝までにキャッシュデータを含む本件個人情報がWeb上から削除されたことを確認しております。

漏えいした個人情報は、キャリア支援室予約システムを利用された当時の学生及び卒業・修了生延べ7,208名の「氏名」、「性別」、「所属」となっており、これ以外の個人情報は漏えいしておりません。

個人情報が漏えいした学生には、個別に状況説明と謝罪文を送付させていただきました。

また、卒業・修了生については、ホームページにより状況説明と謝罪をさせていただきました。

なお、現時点では本件の個人情報が不正に使用された事実は確認されていません。

今回の件により、関係者の皆様には多大なご迷惑とご心配をおかけすることとなり、深くお詫び申し上げます。

本学ではこれまで個人情報取扱い業務にあたり、厳格な取扱・管理の徹底に努めてまいりましたが、このような情報漏えいが発生したことを踏まえ、今後は更なる厳格化を図り再発防止に全力で取り組んでまいります。

新しいデータ漏洩確認サイト:hackcheck.io



最近データ漏洩の確認サイトであるhackcheck.ioをリリースしました。

競合他社よりも何倍も速く、毎日新しいデータを追加しています。

例えば、SnusBaseのデータベースは4,900万件しかないのに対し、5,300万件以上のデータベースを持っています。

最高品質のエントリのみを確保するために、データベースのデハッシュを独自に行っています。

ブラウザをクラッシュさせることなく、何千もの結果を処理するためにサイトを開発しました。このウェブサイトは、OSINTの研究をしている場合、OSINTを収集する際に、何らかの形でデータ侵害の検索エンジンを持つことは常に役に立ちます。

ストーク スケート リテイル 不正アクセスによる個人情報漏洩に関するお詫びとお知らせ 2022年8月17日


このたび、「ストークスケートリテイル」におきまして、第三者による不正アクセスを受け、お客様のクレジットカード情報(731名)が漏洩した可能性があることが判明いたしました。

お客様をはじめ、関係者の皆様に多大なるご迷惑およびご心配をおかけする事態となりましたこと、深くお詫び申し上げます。

なお、個人情報が漏洩した可能性のあるお客様には、本日より、電子メールにてお詫びとお知らせを個別にご連絡申し上げております。

※受取拒否設定やメールアドレスのご変更などで送信エラーが生じた場合、別途、ご登録住所宛てに書状を送付させていただきます。

当店では、今回の事態を厳粛に受け止め、再発防止のための対策を講じてまいります。
お客様をはじめ関係者の皆様には重ねてお詫びを申し上げますとともに、本件に関する概要につきまして、下記の通りご報告いたします。

1. 経緯

2022年3月16日に保守を担当するシステム開発会社からシステムファイルの改ざんが行われている可能性がある旨の連絡を受けたことから、2022年3月18日に当店が運営する「ストークスケートリテイル」でのカード決済を停止いたしました。

同時に、第三者調査機関による調査を行った結果、2022年5月31日に調査機関による調査が完了し、 2021年5月10日~2022年3月18日の期間に「ストークスケートリテイル」で購入されたお客様クレジットカード情報が漏洩した可能性があることを確認いたしました。その後、関係各所との調整を経て、本日の発表に至りました。

2. 個人情報漏洩状況

(1) 原因

当店が運営する「ストークスケートリテイル」のシステムへの第三者の不正アクセスにより、ペイメントアプリケーションの改ざんが行われたため。

(2) 個人情報漏洩の可能性があるお客様

2021年5月10日~2022年3月18日の期間中に「ストークスケートリテイル」においてクレジットカード決済をされたお客様731名(登録済みカードでの注文や代引きでのカード支払いは含まれません)で、漏洩した可能性のある情報は以下のとおりです。
  • カード名義人名
  • クレジットカード番号
  • 有効期限
  • セキュリティコード
上記に該当する731名のお客様については、別途、電子メールまたは郵送にて個別にご連絡申し上げます。

なお、クレジットカード情報以外の個人情報についてですが、第三者機関によるログファイル等の調査の結果、お客様の個人情報が格納されたデータベースへのアクセスが可能な状態にありましたが、データの流出は確認されておりません。

3. お客様へのお願い

当店ではクレジットカード会社と連携し、漏洩した可能性のあるクレジットカードによる取引のモニタリングを継続して実施し、不正利用の防止に努めております。

お客様におかれましても、誠に恐縮ではございますが、ご自身のクレジットカードのご利用明細書に身に覚えのない請求項目がないか、今一度ご確認をお願いいたします。万が一、身に覚えのない請求項目の記載があった場合は、大変お手数ではございますが同クレジットカードの裏面に記載のカード会社にお問い合わせいただきますよう、併せてお願い申し上げます。

なお、お客様がクレジットカードの再発行をご希望される場合、再発行手数料につきましてはお客様にご負担をお掛けしないよう、当店よりクレジットカード会社に依頼しております。

4. 公表が遅れた経緯について

漏洩懸念から今回の案内に至るまで、時間を要しましたことを深くお詫び申し上げます。

本来であれば疑いがある時点でお客様にご連絡し、注意を喚起するとともにお詫び申し上げるところではございましたが、不確定な情報の公開はいたずらに混乱を招き、お客様へのご迷惑を最小限に食い止める対応準備を整えてからの告知が不可欠であると判断し、発表は調査会社の調査結果、およびカード会社との連携を待ってから行うことに致しました。

今回の発表までお時間をいただきましたこと、重ねてお詫び申し上げます。

5. 再発防止策ならびに当店が運営するサイトの再開について

当店はこのたびの事態を厳粛に受け止め、調査結果を踏まえてシステムのセキュリティ対策および監視体制の強化を行い、再発防止を図ってまいります。情報流出の原因となったシステム、サーバーについては破棄し、2022年3月19日から環境が異なるシステム、サーバーに切り替え運用しております。

弊社はこのたびの事態を厳粛に受け止め、調査結果を踏まえてシステムのセキュリティ対策および監視体制の強化を行い、再発防止を図ってまいります。その一環として、国際ブランドクレジットカード情報保護基準であるPCI DSSに準拠したプラットフォームへ移行を進めています。

また、当店は今回の不正アクセスにつきまして、監督官庁である個人情報保護委員会には2022年4月21日に報告済みであり、また、所轄警察署にも2022年6月6日に被害相談を行っております。

大阪府 府立高校が作成したウェブフォームでの個人情報の流出について 2022年8月15日


府立高津高等学校において、生徒・保護者に対しウェブフォームを用いたアンケートを行った際、回答後の画面で「前の回答を表示」というボタンを押した場合に、当該アンケートにすでに回答をしていた生徒及び保護者の個人情報を含む回答結果の一覧を、生徒・保護者が閲覧できる状態にあったという事案が発生いたしました。

このような事態を招きましたことをお詫びいたしますとともに、今後、再発防止に取り組んでまいります。

1 流出した個人情報の内容(1年生363名中240名分)
生徒の組、出席番号、名前、住所、自宅電話番号、携帯電話番号
保護者の名前、続柄、緊急連絡先、住所

2 事案の経過
令和4年6月23日(木曜日)
・「校務処理システム(※)」に必要なデータを収集するため、本校1年生の生徒・保護者に対し、各クラスの担任から6月23日(木曜日)から7月20日(水曜日)までの間に、ウェブフォームを用いたアンケートに回答するよう依頼した。

(※)生徒情報の管理、生徒の出欠管理及び成績処理等の校務処理を行う全府立高校共通のシステム

令和4年7月20日(水曜日)
・保護者から教員Aに、アンケート回答終了時に表示される「前の回答を表示」を押すと、既に入力された他の生徒・保護者の情報が表示されるとの指摘があった。
・教員Aが教頭に報告し、教頭がアンケートの作成者である教員Bに確認したところ、保護者の指摘どおり、回答結果の一覧が閲覧できる状態になっていた。
・教員Bが回答結果の一覧を閲覧できないように設定を変更したが、すでに363名中240名が回答済みであった。
・教頭が校長に本事案について報告した。

令和4年7月21日(木曜日)
・校長が府教育庁に経緯を報告した。

令和4年7月22日(金曜日)から29日(金曜日)
・緊急の職員集会を開き、校長から全教職員に事案を共有したうえで、今後の対応を指示した。
・1年生の担任が、対面または電話で、240名の生徒と保護者に対して経緯の説明と謝罪を行い、了承を得た。
・全学年の生徒・保護者に対して、報告とお詫びの文書を送付した。

3 流出の原因
・フォームの作成に関わった教員の間で、ウェブフォームのアンケートの設定において、「結果の概要を表示する」をオフにしなければならないということが認識されていなかった。
・複数名の教員でアンケート入力時の動作確認をしたが、回答完了後の動作確認を行っていなかった。

4 再発防止策
・当該校において、ウェブフォームを利用する際は、複数名で入力時から回答完了後までの動作確認を行う。また、本事案を共有し、個人情報の取扱いについて、改めて職員研修を行い、管理の徹底を図る。
・教育庁においてウェブフォームで個人情報を収集する際のチェックリストを作成し、全府立学校に共有するとともに、個人情報の取扱いについて、改めて注意喚起を行う。