【セキュリティ事件簿#2024-086】大阪市　大阪市立中学校における個人情報の漏えいについて　2024/3/8

大阪市立中学校において、令和6年3月7日（木曜日）、学校内で使用するコミュニケーションツールアプリ（以下「アプリ」という。）上で、1年生119名分のテスト結果等が1年生の生徒の間で閲覧できる状況になっていたことが判明しました。

このたびの事案が発生しましたことにつきまして、関係者の皆様に多大なご迷惑をおかけし、市民の皆様の信頼を損ねることになったことを深くお詫び申しあげますとともに、再発防止に努めてまいります。

1 　概要と事実経過

令和6年3月5日（火曜日）13時頃、ある大阪市立中学校において実施した1年生数学科学年末テストの採点結果を、3月6日（水曜日）10時ごろ、当該テストを採点した教員がテスト結果等をアプリに保管する際、本来、教職員のみが閲覧できるフォルダに保管すべきところ、教職員と生徒が閲覧できるフォルダに誤って保管しました。

3月7日（木曜日）、1年生の4時間目の授業を行っていた別の教員が、ある生徒が学習者用端末で他の1年生生徒のテスト結果を閲覧していることに気付き、速やかに1年生学年担当教員に連絡しました。連絡を受けた1年生学年担当教員がアプリ上に作成された教職員と生徒が閲覧できるフォルダを確認したところ、1年生119名分のテスト結果等が閲覧できる状況であり、計12名の生徒がテスト結果等を閲覧していたことが判明しました。

2　文書に含まれる個人情報

1年生数学科学年末テスト結果等（学年、クラス、出席番号、氏名、解答内容、採点結果、点数）119名分

3　判明後の対応

令和6年3月7日（木曜日）12時頃、速やかにテスト結果等をフォルダから削除しました。また、同日6時間目に学年集会を行い、1年生の生徒に説明し、謝罪しました。

なお、今後、保護者説明会を開催する予定です。

4　原因

当該校の教員において、テスト結果等の保管時にフォルダ名の確認が不十分であったこと、教職員専用のフォルダに保管することを想定していたためパスワードを設定していなかったこと、アプリの使用にかかる理解及び個人情報を含む文書の取扱いにかかる認識が不十分であったことが原因です。

また、生徒と教職員が共有するフォルダの使用状況等について、管理職による指導や管理が不十分であったことも原因です。

5　再発防止について

教育委員会といたしましては、これまでも各校に対して個人情報の管理の徹底を指導していたにもかかわらず、このような事案を起こしたことについて深く受け止めております。

当該校に対しましては、再発防止策として、個人情報管理に関する校内規定を点検し、個人情報を含むデータについては、複数人で内容を確認するよう管理の徹底を指導してまいります。

各校に対して、今回の事案を共有するとともに注意喚起を図り、個人情報の管理の徹底と、さらなる意識の向上について指導し、再発防止に努めてまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-085】株式会社あわわ　子育て情報誌『ワイヤー』の企画における個人情報漏えいの可能性に関するお知らせとお詫び　2024/3/9

弊社が発行する子育て情報誌『ワイヤー』のレギュラー企画『ベイビーデビュー』のウェブ申込フォーム内にて、申込入力した後に、他の申込者の個人情報が閲覧可能な状態となっておりました。

現時点において判明している事実経緯は以下のとおりであり、個人情報が漏えいした可能性がある申込者の方には順次個別にメールまたは郵送にて、ご連絡させていただきます。

関係者の方々に多大なるご迷惑とご心配をおかけしましたことを深くお詫び申しあげます。

[内容]

月刊子育て情報誌『ワイヤー』のレギュラー企画『ベイビーデビュー』で掲載する赤ちゃんの写真をGoogleフォームを活用し募集しておりましたが、弊社の設定ミスにより、申込入力完了者が以前の入力された回答をすべて閲覧できる状態となっておりました。

[漏えい状況]

・件数　

2023年2月に申込フォームをスタートして以来、入力されておりました95名分の回答結果

・期間　

2023年2月11日～2024年3月7日

・漏えいした可能性がある情報

申込フォームへご入力いただいた

①赤ちゃんの氏名　②続柄　③生年月日　④出生時の体重　⑤出産された産婦人科　⑥赤ちゃんへのメッセージ　⑦出産時のエピソード　⑧保護者の氏名　⑨住所　⑩電話番号 ⑪メールアドレス

※①～⑦はワイヤー本誌掲載情報　※⑧～⑪は紙面掲載されていない個人情報

現時点において、漏えいによる被害の発生は確認できておりません。

[漏えいの原因]

弊社のフォーム設定ミスにより、"前の回答を表示"というリンクが表示されるようになっておりました。

このことにより、そのリンクをクリックすると、過去の申込者の回答結果が閲覧できる状態となっておりました。

[事実経緯・対応状況]

2024年3月7日　

申込者の一人から(96番目の申込者)、他人の申込情報を閲覧できるようになっているとお電話いただく

　　　　　　　　　↓

直ちに設定内容を確認し、閲覧できない設定に変更

　　　　　　　　　↓

原因といつから閲覧できる状態になっていたかを社内で究明

2024年3月8日　

設定ミスがいつ発生したかが現時点で判明できなかったため、最長でフォームの活用をスタートした2023年2月から漏えいの可能性があると判断し、本日弊社ＳＮＳにて公表。

[今後の対応]

◎個人情報が漏えいした可能性のある申込者95名の方にメールもしくは郵送にて順次個別にご連絡させていただきます。

◎今後同様の事案が生じないよう、社内で申込フォーム公開のルールとチェック体制を見直します。さらに、社内の全スタッフで個人情報の重要性を再認識するための勉強会を実施いたします。

あらためて、本件において、多大なるご迷惑とご心配をおかけしましたことを深くお詫び申しあげます。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-084】神奈川東部ヤクルト販売株式会社　弊社インスタグラムアカウント不正アクセス（乗っ取り）に関する経過報告　2024/3/8

現在発生しております弊社の公式インスタグラムアカウント不正アクセス（乗っ取り）におきましては、大変ご迷惑をお掛けしております。

当該事案は未だ解決には至っておりませんが、対応に関する経過を報告させて頂きます。

当該事案に関して神奈川東部ヤクルト販売は、3月8日付にて、弊社川崎本社の所轄署である川崎臨港警察署・住民相談係に事案を相談させて頂きました。

今後の方向性におきましては、継続的にインスタグラムに対して削除のアプローチを行います。

皆さまには多大なご迷惑をお掛けしておりますこと、深くお詫び申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-083】横須賀市ホームページの閲覧障害について　2024/2/20

1.経過

昨日（2月20日）午後8時30分頃から、横須賀市のホームページが閲覧できなくなる障害が発生しました。

本日（2月21日）午前2時00分頃、復旧しています。

2.原因・影響

外部から「DDoS（ディードス）攻撃」というサイバー攻撃があったことによるものです。

「DDoS攻撃」とは企業や団体のウェブサイトやサーバーなどに大量のデータを一斉に送り続けることで大きな負荷をかけ、機能停止に追い込むサイバー攻撃の1つです。

なお、本件による個人情報等の情報漏えいや、ページの改ざんはありません。

3.今後の対応

対応策をホームページ保守事業者と早急に協議します。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-082】ナブテスコ株式会社　当社グループ会社Nabtesco Motion Control Inc.ドメインの乗っ取りについて　2024/2/19

ナブテスコ株式会社の子会社であるアメリカミシガン州にある、Nabtesco Motion Control Inc.におきまして、メールのドメインを第三者に乗っ取られましたことが2月16日（日本時間）に判明しましたことをお知らせします。

■　“@nabtescomotioncontrol.com”からのメールを受信した場合、決して開かずに破棄ください。

■　“nabtescomotioncontrol.com”のウエブサイトへはアクセスしないでください。

本件に関し、関係各位に多大なご迷惑をお掛けしますことお詫びします。また不審な点あれば下記までご連絡ください。

今後も引き続き情報を更新して参ります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-081】株式会社東和エンジニアリング　社内ネットワークへの不正アクセス攻撃に関するご報告とお詫び　2024/2/13

日頃、ご愛顧賜りまして誠にありがとうございます。

2023年12月15日以降順次ご報告いたしましたとおり、このたび、当社において業務上使用するサーバーに対して、第三者による不正アクセス攻撃を受けました。（以下「本件」といいます。）

お客様をはじめ関係者の皆様には深くお詫びを申し上げますとともに、今般、セキュリティ専門機関による調査が完了いたしましたので、本件の概要等につきまして、下記のとおりご報告いたします。

なお、サーバーを含む当社社内ネットワークはすでに復旧しており、現時点では当社業務への影響はございません。また、本日より、当社ドメインである towaeng.co.jp のメール利用を再開させていただきます。

１．本件の概要

2023年12月15日、当社社内ネットワークにおいてウイルス感染の疑いが確認されたため、セキュリティ対策本部を立ち上げ、当該サーバーをネットワークから隔離するなどの被害拡大防止策を講じた上で、速やかにセキュリティ専門機関に調査を依頼しました。その後、第三者からのランサムウェアによる不正アクセス攻撃を受けたことにより、社内サーバー内の情報が一部不正に閲覧された可能性があることが確認されました。

なお、当社は本件につきまして、個人情報保護委員会及び一般財団法人日本情報経済社会推進協会（JIPDEC）に報告済みでございます。また、警察にも被害申告しており、今後捜査にも全面的に協力してまいります。

２．情報の漏えい及び二次被害の有無について

セキュリティ専門機関の調査の結果、ランサムウェア攻撃被害を受けたサーバー上に存在していた情報の流出の痕跡は確認されませんでした。また、現時点で本件に係る二次被害は確認されておりません。

３．原因

第三者がVPN機器の脆弱性を利用し、総当り（ブルートフォース）攻撃によりID／パスワードを不正に取得して、当社ネットワークに侵入したものと考えられます。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-080】宇陀市職員の懲戒処分について　2024/2/28

被処分職員の属する所属部局名

市民環境部

被処分職員の役職（職名）

主事

被処分職員の年齢・性別

61 歳、男性

処分内容

停職 1 月 3 日（停職 6 月であるが任用期間が令和 6年 3 月 31 日であるため）

処分年月日

令和 6 年 2 月 28 日付

事実の概要

当該職員は、令和 2 年度から令和 5 年度にかけて、業務目的外で、勤務時間中に庁内システムに不正ログインし、他部署及び他職員の業務上のメールの閲覧を禁止されていることを認識しながら、他部署 7部署、他職員 271 名のメールを不正に閲覧しました。

この行為は、地方公務員法第 33 条及び同法第 35条に違反する行為であるとともに、地方公務員法第29 条第 1 項各号に該当する違反行為です。よって、道義的かつ社会的責任は重大であるため懲戒処分としました。

このほか、管理監督責任として、現在の上司である部長及び所長、また当時当該職員が在職していた上司である令和 2 年度の課長、令和 3 年度の課長に対して厳重注意としました。

なお、市民の個人情報には、ログインの方法が異なるため、本件による不正な閲覧等は行われていません。また、当該職員の違反行為による外部への情報の流出は、確認されていません。

ご報告とお詫び

この度の職員の不祥事につきましては、全体の奉仕者として、法令遵守し、市民の模範となるべき立場にある職員が、公務中に犯した行為であり、業務目的外で閲覧を禁止されていることを認識しながら、他部署及び他職員の業務上のメールを閲覧したものです。市民の皆様の信用を失墜させてしまいましたことに対し、心よりお詫び申し上げます。

現在、この事案につきましては、桜井警察署に相談しています。

再発防止対策として、職員一人ひとりがより一層の法令遵守の徹底と、セキュリティ意識の強化のため職員研修を実施するとともに、全職員に対しログインのパスワードを早急に変更するよう、また、定期的にパスワードを変更するよう指示しました。

今後、再びこのようなことがないよう、職員には法令遵守はもとより、全体の奉仕者として高い倫理観を持って職務に専念するよう指導するなど、再発防止を徹底するとともに、市民の皆様の信頼の回復に努めてまいります。

リリース文（アーカイブ）

[Kali Linux] Nmap (Network Mapper)　～解放ポートの調査～

Nmap（Network Mapper）は、ネットワークディスカバリーとセキュリティ監査のためのフリーでオープンソース（ライセンス）のユーティリティです。また、多くのシステム管理者やネットワーク管理者は、ネットワークのインベントリ、サービスのアップグレードスケジュールの管理、ホストやサービスの稼働時間の監視などの作業にもNmapを活用しています。Nmapは、生のIPパケットを斬新な方法で使用して、ネットワーク上で利用可能なホスト、ホストが提供しているサービス（アプリケーション名とバージョン）、ホストが実行しているオペレーティングシステム（およびOSバージョン）、使用されているパケットフィルタ／ファイアウォールの種類、その他数多くの特徴を把握する。Nmapは、大規模なネットワークを迅速にスキャンするために設計されていますが、単一のホストに対しても問題なく動作します。Nmapスイートには、従来のコマンドラインのNmap実行ファイルに加えて、高度なGUIと結果ビューア(Zenmap)、柔軟なデータ転送、リダイレクト、デバッグツール(Ncat)、スキャン結果を比較するユーティリティ(Ndiff)、パケット生成・応答解析ツール(Nping)が含まれている。

Nmapは、Linux Journal、Info World、LinuxQuestions.Org、Codetalker Digestの各誌で「Security Product of the Year」に選ばれた。また、「The Matrix Reloaded」、「Die Hard 4」、「Girl With the Dragon Tattoo」、「The Bourne Ultimatum」など、12本の映画にも登場している。

Nmapの特徴

フレキシブル：IPフィルタ、ファイアウォール、ルータなどの障害物で満たされたネットワークをマッピングするための何十もの高度な技術をサポートします。これには、多くのポートスキャンメカニズム（TCPとUDPの両方）、OS検出、バージョン検出、Pingスイープなどが含まれます。ドキュメントのページをご覧ください。
パワフル：Nmapは、文字通り何十万台ものマシンからなる巨大なネットワークのスキャンに使われてきた。
ポータブル：Linux、Microsoft Windows、FreeBSD、OpenBSD、Solaris、IRIX、Mac OS X、HP-UX、NetBSD、Sun OS、Amigaなど、ほとんどのOSに対応している。
簡単：Nmapはパワーユーザ向けの高度な機能を豊富に備えているが、最初は「nmap -v -A targethost」程度の簡単な操作で始められる。従来のコマンドライン版とグラフィカル(GUI)版の両方が用意されているので、好みに応じて使い分けることができる。Nmapをソースからコンパイルしたくない人のために、バイナリも用意されている。
フリー：Nmapプロジェクトの主な目標は、インターネットの安全性を少しでも高めること、および管理者／監査人／ハッカーにネットワークを調査するための高度なツールを提供することである。Nmapは無料でダウンロードでき、完全なソースコードも付属しているので、ライセンスの条件に従って変更したり再配布したりすることができる。
ドキュメントが充実：包括的で最新のマニュアルページ、ホワイトペーパー、チュートリアル、さらには書籍に至るまで、多大な努力が払われている。複数の言語で提供されていますので、ぜひご覧ください。
サポート：Nmapには保証がついていないが、開発者とユーザの活気あるコミュニティによって十分にサポートされている。サポートのほとんどは、Nmapのメーリングリストで行われている。ほとんどのバグレポートや質問は、nmap-devメーリングリストに送るべきですが、ガイドラインを読んだ後にしてください。すべてのユーザーには、トラフィックの少ないnmap-hackersアナウンスメントリストを購読することをお勧めします。また、NmapはFacebookやTwitterでもご覧いただけます。リアルタイムのチャットは、FreenodeまたはEFNetの#nmapチャンネルに参加してください。
賞を受賞：Nmapは、Linux Journal、Info World、Codetalker Digestの「Information Security Product of the Year」など、数多くの賞を受賞している。また、何百もの雑誌記事、いくつかの映画、何十冊もの書籍、1つのコミックシリーズでも紹介されている。詳細はプレスページをご覧ください。
人気がある：毎日、何千人もの人々がNmapをダウンロードしており、多くのオペレーティングシステム（Redhat Linux、Debian Linux、Gentoo、FreeBSD、OpenBSDなど）に搭載されている。また、Freshmeat.Netのリポジトリでは、（30,000個のうちの）上位10個のプログラムに入っている。このことは、Nmapの開発およびユーザサポートコミュニティが活発であることを意味している。

ターゲットIP(59.152.32.35)の解放ポート検索例

# nmap 59.152.32.35
Starting Nmap 7.91 ( https://nmap.org ) at 2021-04-07 20:02 JST
Nmap scan report for 59.152.32.35
Host is up (0.052s latency).
Not shown: 993 closed ports
PORT    STATE    SERVICE
22/tcp  open     ssh
80/tcp  open     http
135/tcp filtered msrpc
139/tcp filtered netbios-ssn
179/tcp open     bgp
443/tcp open     https
445/tcp filtered microsoft-ds

Nmap done: 1 IP address (1 host up) scanned in 2.71 seconds

ターゲットIP(59.152.32.35)の検索例　※バージョン情報も取得するパターン

# nmap -sV 59.152.32.35
Starting Nmap 7.91 ( https://nmap.org ) at 2021-04-07 20:03 JST
Nmap scan report for 59.152.32.35
Host is up (0.050s latency).
Not shown: 993 closed ports
PORT    STATE    SERVICE      VERSION
22/tcp  open     ssh          OpenSSH 7.9p1 Debian 10+deb10u2 (protocol 2.0)
80/tcp  open     http         nginx
135/tcp filtered msrpc
139/tcp filtered netbios-ssn
179/tcp open     tcpwrapped
443/tcp open     ssl/http     nginx
445/tcp filtered microsoft-ds
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 15.81 seconds

ー2021/12/29追記ー

A little bit about Nmap

Nmapコマンドを簡単にまとめます。

Scan type	Command
Discovery - ARP Scan	`sudo nmap -PR -sn Target_IP/24`
Discovery - ICMP Echo Scan	`sudo nmap -PE -sn Target_IP/24`
Discovery - ICMP Timestamp Scan	`sudo nmap -PP -sn Target_IP/24`
Discovery - ICMP Address Mask Scan	`sudo nmap -PM -sn Target_IP/24`
Discovery -TCP SYN Ping Scan	`sudo nmap -PS22,80,443 -sn Target_IP/30`
Discovery - TCP ACK Ping Scan	`sudo nmap -PA22,80,443 -sn Target_IP/30`
Discovery - UDP Ping Scan	`sudo nmap -PU53,161,162 -sn Target_IP/30`
Port Scan - TCP Connect Scan	`nmap -sT Target_IP`
Port Scan - TCP SYN Scan	`sudo nmap -sS Target_IP`
Port Scan - UDP Scan	`sudo nmap -sU Target_IP`
Port Scan - TCP Null Scan	`sudo nmap -sN Target_IP`
Port Scan - TCP FIN Scan	`sudo nmap -sF Target_IP`
Port Scan - TCP Xmas Scan	`sudo nmap -sX Target_IP`
Port Scan - TCP Maimon Scan	`sudo nmap -sM Target_IP`
Port Scan - TCP ACK Scan	`sudo nmap -sA Target_IP`
Port Scan - TCP Window Scan	`sudo nmap -sW Target_IP`
Port Scan - Custom TCP Scan	`sudo nmap --scanflags URGACKPSHRSTSYNFIN Target_IP`
Port Scan - Spoofed Source IP	`sudo nmap -S SPOOFED_IP Target_IP`
Port Scan - Spoofed MAC Address	`sudo nmap -sT --spoof-mac SPOOFED_MAC Target_IP`
Port Scan - Decoy Scan	`sudo nmap -D DECOY_IP,Target_IP`
Port Scan - Idle (Zombie) Scan	`sudo nmap -sI ZOMBIE_IP Target_IP`
Port Scan - Fragment IP data into 8 bytes	`-f`
Port Scan - Fragment IP data into 16 bytes	`-ff`
Port Scan - Service Detection	`sudo nmap -sV --version-light Target_IP`
Port Scan - OS Detection	`sudo nmap -sS -O Target_IP`
Port Scan - Traceroute	`sudo nmap -sS --traceroute Target_IP`
Port Scan - Default scripts	`sudo nmap -sS -sC Target_IP`
Port Scan - FTP Brute force scripts	`sudo nmap -sS -n --script "ftp-brute" Target_IP`

すべての有用なパラメータの概要、パラメータを含む表。

Option	Meaning
`-sn`	host discovery only
`-n`	no DNS lookup
`-R`	DNS lookup for all hosts
`-p-`	scan all ports
`-p1-1023`	port range, from 1 to 1023
`-F`	top 100 most common ports
`-r`	scan ports in consecutive order
`-T<0-5>`	scan timing, T0 - slowest, T5 fastest
`--max-rate 20`	rate <= 20 packets/sec
`--min-rate 10`	rate >= 15 packets/sec
`-v`	verbose mode
`-vv`	very verbose mode
`-d`	debugging
`-dd`	detailed debugging
`--reason`	add more info from Nmap about decision it takes
`-sV`	version of service detected on open port
`-sV --version-light`	amount of version probes (2)
`-sV --version-all`	all available probes (9)
`-O`	detect OS
`--traceroute`	run traceroute to target
`--script=SCRIPTS`	Nmap scripts to run
`-sC` or `--script=default`	run default scripts
`-A`	equivalent to `-sV -O -sC --traceroute`
`-oN`	save output in normal format
`-oG`	save output in grepable format
`-oX`	save output in XML format
`-oA`	save output in normal, XML and Grepable formats

使用例

# sudo nmap -O -sV --version-intensity 5 --traceroute -oA /tmp/scan_output 192.168.1.1

ー2024/3/18追記ー

登録: 投稿 (Atom)

1 概要と事実経過

2 文書に含まれる個人情報

3 判明後の対応

4 原因

5 再発防止について

[内容]

[漏えい状況]

[漏えいの原因]

[事実経緯・対応状況]

2024年3月7日

2024年3月8日

[今後の対応]

1.経過

2.原因・影響

3.今後の対応

１．本件の概要

２．情報の漏えい及び二次被害の有無について

３．原因

被処分職員の属する所属部局名

被処分職員の役職（職名）

被処分職員の年齢・性別

処分内容

処分年月日

事実の概要

ご報告とお詫び

1 　概要と事実経過

2　文書に含まれる個人情報

3　判明後の対応

4　原因

5　再発防止について

2024年3月7日　

2024年3月8日　