【セキュリティ事件簿#2022】日本盛株式会社　当社サーバーへの不正アクセスについてのご報告とお詫び　2022年10月25日

平素よりご愛顧賜りまして誠にありがとうございます。

9月18日、当社が管理運用するサーバーに対して、第三者の不正アクセスによるサイバー攻撃を受け、社内システムに障害が発生したことを確認しました（以下「本件」といいます。）。　

お客様をはじめ関係者の皆様には深くお詫びを申し上げますとともに、今般、第三者調査機関による調査により、不正アクセスの原因等が確認できましたので、下記のとおりご報告いたします。

１．本件の概要

2022年9月18日午前9時頃、当社が業務上利用するデータセンタの管理会社から、当社が利用するサーバーに不具合が生じているとの報告を受けました。その後、当社内部にて調査をしたところ、サーバーがランサムウェアに感染していることが発覚したため、当該サーバーをネットワークから隔離するなどの被害拡大防止策を講じた上で、外部専門家の協力の下、対策チームを設置いたしました。その後、同月19日に所轄警察署に被害申告を行い、同月20日に個人情報保護委員会に報告を行い、同時に第三者調査機関に調査を依頼しました。そして、同年10月6日、第三者調査機関から調査結果の報告を受け、本件について、同年9月16日午後9時ごろに当社ネットワークへの最初の不正アクセスが行われたのち、サーバーに記録されていたデータがランサムウェアにより暗号化され、使用できない状況となったことを確認いたしました。なお、ランサムウェアによる暗号化のため個人データの漏えいについて詳細は判明しませんでしたが、個人情報保護法に則った対応を進める予定です。

２．本件の原因

第三者調査機関からは、当社が導入していたSSL-VPN機器に存在していた脆弱性を悪用され、当社VPNに不正にログインされたと判断されるとの報告を受けています。

３．今後の対応

弊社では、これまでもサーバー・コンピュータへの不正アクセスを防ぐための措置を講じるとともに情報の適切な管理に努めてきましたが、今回の事態を重く受け止め、外部の専門家と検討の上、当該VPNの利用を停止し、EDR・MDRの導入など、既に種々の再発防止策を整備しました。今後は脆弱性管理の徹底を図るとともに専門家から提案を受けたその他の再発防止策につきまして随時導入する予定です。また、本件の影響により通信販売にてご注文いただいていたお客様への商品発送を見合わせておりましたが、既述のセキュリティ対策の下、商品発送を順次再開させて頂きます。通信販売の新規購入受付のためのシステム再構築については今現在も継続中ですが、一日も早い受付再開に向けて全社一丸となって取り組んでおりますので、何卒お時間いただければ幸いです。

リリース文（アーカイブ）

全文表示 / Read more »

株式会社JTB　情報漏洩に関するお詫びとお知らせ　2022年10月25日

弊社は、観光庁の補助事業者として実施する「地域独自の観光資源を活用した地域の稼げる看板商品の創出事業」業務のため、観光庁や本事業への応募、申請等を行う事業者様（間接補助事業者様）との情報共有を目的として、当該関係者様にログイン権限を限定したクラウドサービスを利用しておりました。同クラウドサービスの運用に際して、格納したデータへの個別アクセス権限を誤設定したことにより、ログイン権限を持つ間接補助事業者様間において情報漏洩を発生させていたことが発覚いたしました。

関係の皆様に多大なるご迷惑、ご心配をおかけいたしましたこと、深くお詫び申し上げます。

1. 概要

本来申請される間接補助事業者様が自社の申請書以外にはアクセスできない仕様とすべきところ、当該クラウドサービス内に格納したデータへの個別アクセス権限を誤設定したことにより、事業者様の個人情報を含む本事業への申請書類および補助金交付申請書等の情報が、ログイン権限を持つ間接補助事業者様相互に閲覧可能な状態となっておりました。

閲覧可能であった情報のうち、他の間接補助事業者様にダウンロードされたデータには、事業者様数 1,698件の申請書、申請事業者様及び申請事業者様の連携先等を含む個人情報最大 11,483人分、が含まれていたことが判明しております（組織名、部署名、役職名、氏名、業務連絡先用電話番号、メールアドレス等）。なお、ログイン権限を持つ間接補助事業者様以外に、個人情報が漏洩した可能性はございません。

2. 対応状況

申請書類等の情報が漏洩した事業者の皆さまに対して、お詫びのご連絡をさせていただいております。また、ファイルをダウンロードした間接補助事業者の皆さま（18件）に対しては、当該情報の削除を依頼しておりましたが、本日（10月25日）現在、全ての事業者様から削除完了の通知をいただいております。当該クラウドサービスについては、厳重に総点検を実施し、適切なアクセス権限設定への修正が完了しております。

3. 再発防止策

アクセス権限設定のチェック体制ならびに事業管理体制の徹底強化により、再発防止を図ってまいります。

リリース文（アーカイブ）

株式会社ショーケース　不正アクセスに関するお知らせとお詫び　2022年10月25日

このたび、当社が提供する「フォームアシスト」、「サイト・パーソナライザ」、及び「スマートフォン・コンバータ」（以下、「対象サービス」といいます。）におきまして、第三者による不正アクセスにより、ソースコードの書き換えがなされ（以下、「本件事象」といいます。）、一部のお取引先様のウェブサイト等において入力された情報が外部へ流出した可能性があることが判明いたしました。

当社のサービスをご利用されているお取引先様をはじめ、ご関係者の皆様には多大なるご迷惑とご心配をおかけする事態となりましたことを深くお詫び申し上げます。

なお、本件事象により情報が流出した可能性のあるお取引先様には、すでに、個別に連絡を差し上げております。

今般、第三者専門調査機関によるフォレンジック最終報告書を受領し、社内調査も完了いたしましたので、本件事象の概要及び当社の対応につきまして、下記のとおりご報告いたします。

1. 発覚の経緯について

当社のお取引先様から、2022年7月26日、「フォームアシスト」のソースコードに不審な記述がある旨の指摘を受け、直ちに、当社において運営するサービスのソースコードを調査いたしました。調査の結果、冒頭に記載しましたとおり、対象サービスにおいてシステムの一部の脆弱性をついたことによる第三者の不正アクセスにより、ソースコードの書き換えがなされ、一部のお取引先様のウェブサイト等において入力された情報が外部へ流出した可能性があることが判明いたしました。

本日公表させていただくにあたり、不確定な情報の公開はかえっていたずらに混乱を招くため、ご関係者様へのご迷惑を最小限に食い止める対応準備を整えてからの告知が不可欠であると判断し、公表は第三者専門調査機関の調査完了、及び関係各所との連携を待ってから行うことにいたしました。

本公表までお時間をいただきましたこと、お詫び申し上げます。

2. 当社の対応について

当社は、本件事象の認知後、直ちに、対象サービスのソースコードの修正、第三者の侵入を遮断する措置、新設サーバーへの移行等の再発防止策を講じ、現在もこのような再発防止策を継続しております。再発防止策の実施後、本件事象で問題となりました不正なファイルの埋め込みは確認されておりません。

その他、当社といたしましては、今後ともお取引先様にご迷惑をおかけしないよう、順次対策を講じてまいる所存でございます。

また、当社は、本件事象の認知後速やかに第三者機関（外部のセキュリティ企業）のフォレンジック調査を実施いたしました。もっとも、ECサイトにおいて当社のサービスをご利用中のお取引先様が多数いらっしゃることから、万全を期して、クレジットカード情報漏えい事故調査機関（PFI：PCI Forensic Investigator）によるフォレンジック調査も追加で実施いたしました。同フォレンジック調査におきましても、当社の社内調査結果と同様、対象サービスにおいて第三者による不正アクセスにより、ソースコードの書き換えがなされ、一部のお取引先様のウェブサイト等において入力された情報が外部へ流出した可能性があることが確認されましたが、本件事象により情報が流出した可能性のあるお取引先様は限定的であることも確認されました。本件事象により情報が流出した可能性のあるお取引先様に対しましては、流出した可能性のある情報及び情報が流出した可能性のある期間について個別に通知しております。

また、当社は、本件事象につきまして、経済産業省へ報告を行うとともに、所轄警察署にも被害申告をしており、今後捜査にも全面的に協力してまいります。

リリース文（アーカイブ）

関西大学高等部　個人情報を記録したUSBメモリの紛失について（お詫び）　2022年10月21日

このたび、本校において、個人情報を記録したUSBメモリの紛失がありました。本校生徒をはじめ関係者各位に多大なるご迷惑をおかけしたことを深くお詫び申し上げます。

記録されていた情報は、国語科担当教員が2021～2022年度に担当した当該科目に関する情報（名前、成績、教科及び進路指導情報）約400人分、卒業アルバムデータ（写真、教員名簿、クラス名簿）約400人分、及び国語試験問題です。今後早急に保護者説明会を開催し事案内容の説明と謝罪を行ってまいります。

本校としては、学校法人関西大学が定めた「関西大学個人情報保護規程」及び本校が定めた「関西大学中等部高等部危機管理事項」の周知徹底を図るとともに、再び同様の事態が生じないよう日常的に点検を行うなど、再発防止に取り組んでまいります。

リリース文（アーカイブ）

富山市の中学校で、全校生徒の成績をうっかり公開

富山市の八尾中学校で、全校生徒の成績などの個人情報データが、一部の生徒のパソコン端末で閲覧できる状態になっていたことがわかりました。

市は、いまのところ外部への情報流出はないとしています。

富山市教育委員会の発表によりますと、八尾中学校で今月7日から15日にかけて、全校生徒447人分の成績などが含まれたデータファイルが、誤って委員会の生徒25人のパソコン端末から閲覧できる状況になっていました。

ファイルには、生徒の氏名や定期考査などの試験の合計点、学年の順位などの情報が記載されていて、委員会活動の資料作成のための生徒との共有データに誤って含まれていたということです。

教育委員会の調査では、データファイルは7人が閲覧し、うち2人が保護者や友人に相談したことがわかりましたが、八尾中学校では外部への情報の流出は今のところ確認されていないとしています。

出典：一部生徒のPCから閲覧可能で7人が見る…中学校の全校生徒の成績等の個人情報学外への流出は確認されず

セキュリティリサーチャー向けの検索エンジン30選 (その２)

11. DNSDumpster

ターゲットネットワークのDNS偵察を行うためのアプリケーションです。地理的なデータ、ホストの詳細、電子メールアドレス、フォーマットなど、ターゲットのネットワークについてより詳しく知るために使用できる情報をユーザーに提供します。

12. FullHunt

これは、インターネット上のすべての攻撃面を含むデータベースであり、ネットワーク上のすべての攻撃面を特定し、感染の有無を監視し、脆弱性がないかどうかを継続的にスキャンすることができることを意味します。

13. AlienVault

オープンソースのセキュリティ情報およびイベント管理（SIEM）であるAlienVault OSSIMで、機能豊富なオープンソースのSIEMを手に入れることができます。オープンソースのセキュリティソリューションの不足に対応するため、AlienVault OSSIMは、多くのセキュリティ専門家が直面する問題を解決するために、セキュリティエンジニアによって開発されました。基本的なセキュリティ管理ができていなければ、オープンソースか商用かに関わらず、SIEMはセキュリティの可視化には事実上役に立ちません。

14. ONYPHE

Onypheは、インターネット上のさまざまなソースをクロールしたり、バックグラウンドノイズを聞き取ることによって、オープンソースやサイバー脅威のインテリジェンスデータを収集します。

15. Grep App

Grep.appは、検索に該当するリポジトリのリストを表示します。これで、GitHub上のつかみどころのないコーダーをかなり効率的に見つけることができるようになります。

16. URL Scan

URL Scanは、マルウェア、詐欺、フィッシングリンクを含むウェブサイトをスキャンして分析し、悪意のあるURLを検出するための無料ツールです。

17. Vulners

継続的に更新される非常に大規模なセキュリティコンテンツデータベースを見つけることができます。脆弱性、エクスプロイト、パッチ、バグバウンティがGoogle形式で検索可能です。

18. WayBackMachine

カリフォルニア州サンフランシスコに本拠を置く非営利団体Internet Archiveは、World Wide WebのデジタルアーカイブであるWayback Machineを設立しました。このサービスを利用することで、ユーザーは「過去に戻る」ことができ、ウェブサイトが過去にどのように見えていたかを見ることができます。1996年に作成され、2001年に一般に公開された。

19. Shodan

Shodanは、サーバーがクライアントに送信するメタデータであるサービスバナーの検索エンジンであると評する人もいます。Shodanは、さまざまなフィルターを用いて、インターネットに接続されたサーバーを見つけることができます。

20. Netlas

インターネット用のスキャナと検索エンジンであるNetlas.ioは、HTTP、FTP、SMTP、POP3、IMAP、SMB/CIFS、SSH、Telnet、SQLなどのプロトコルを使用してIPv4アドレスとドメイン名をスキャンします。Netlas.ioデータベースのいくつかの部分は、ダウンロードすることができます。収集されたデータは追加情報でリッチ化され、Netlas.ioサーチエンジンで利用可能です。

出典：30 Search Engines for Cybersecurity Researchers (Part 2 of 3)

セキュリティリサーチャー向けの検索エンジン30選 (その１)

1. DeHashed

オンラインで利用可能なセキュリティおよび不正防止ツールの中でも、DeHashedは最も人気があり、先進的なツールの1つです。DeHashedプラットフォームを通じて、ユーザーは、ハッキングされたデータベースから情報を検索し、取得することができます。様々なハッカーデータベースを利用することで、DeHashedプラットフォームは、ユーザーがハッカーによって公開または漏洩された情報を検索することを可能にします。

このプラットフォームにより、ユーザーは漏えいした情報を迅速に取り出すことができ、情報がハッカーやウェブ上の他の有害な要素に悪用されるのを防ぐことができます。これは、最も速く、最も重要なデータ漏洩検索エンジンの1つです。その分かりやすいインターフェースと使いやすさから、流出した情報を素早く簡単に見つけたいユーザーに人気があります。

2. Security Trails

SecurityTrailsを使えば、企業は、ドメイン名、登録データ、DNS情報など、現在および過去の膨大なインターネット記録を収集・管理することで、脅威の攻撃対象領域（広いインターネットからアクセス可能なネットワークやサーバー）がどのようになっているかを確認することができます。

3. DorkSearch

DorkSearchを使えば、様々なタイプのGoogle Dorksに対応した既成のテンプレートを見つけることができます。

4. ExploitDB

エクスプロイトデータベースは、脆弱性研究者と侵入テスト担当者のために開発された、一般に公開されているソフトウェアのエクスプロイトと脆弱性のアーカイブです。直接の投稿、メーリングリスト、その他の公的なソースを通じて、エクスプロイト、シェルコード、論文の最も包括的なコレクションを集め、簡単にナビゲートできる、自由にアクセスできるフォーマットで提供しています。

5. ZoomEye

中国のKnownsec社が開発した検索エンジン「Zoomeye」は、地図を利用してオープンデバイスやウェブサービスからデータを収集し、指紋を分析する。最初のバージョンは2013年にリリースされた。現在のバージョンはVersion 3です。

6. Pulsedive

pulsedive.comでは、ユーザーからの投稿や脅威情報のフィードを利用して生成された、3500万件以上の検索可能なIOCを無料で見つけることができます。Pulsediveは、アナリストを中心とした脅威インテリジェンス・プラットフォームです。Pulsediveの無料の脅威インテリジェンスデータセットを使って、あらゆるWebサイトのIP、ドメイン、URLをハイライトし、リッチ化することができます。

7. GrayHatWarefare

ソフトウェアエンジニアのGrayhatWarfareが作成した検索可能なデータベースである無料ツールには、現在48,623個のオープンS3バケットが登録されています。コンテンツをキャッシュする一般的な方法として、アマゾンのS3クラウドストレージ（Simple Storage Service）は、公共・民間ともに利用されています。ファイルにはバケットが割り当てられ、デフォルトでは安全かつ非公開になっているが、ユーザーが簡単に公開に設定することができる。

8. PolySwarm

PolySwarmは、新しい技術や革新的な脅威検知手法の発信基地として、お客様の安全をリアルタイムに守るために日々奮闘しています。PolySwarmは、脅威検知エンジンのネットワークによって支えられています。商用エンジンと専門的なソリューションを組み合わせることで、広い範囲をカバーします。

9. Fofa

FOFAを使えば、ユーザーはIP資産を簡単に見つけることができ、ネットワーク資産を迅速に照合し、フォローアップのプロセスをスピードアップすることができます。BAIMAOHUIが開発したサイバースペースサーチエンジンです。脆弱性範囲分析、アプリケーション配布統計、人気ランキング統計など、多くの事例があります。

10. LeakIX

LeakIXとShodanの間には、視覚的にも、使用するクエリに基づいても、いくつかの機能がありますが、Webベースのプラットフォームは、Shodanと非常に似た視覚的な体験を提供します。このプラットフォームの価値は、インターネット上で侵害されたデバイス、サーバー、データベーススキーマに対する洞察を提供する能力にあると思います。

出典：30 Search Engines for Cybersecurity Researchers (Part 1 of 3)