インターネットにおける投稿への対応

送信先であるプレス関係者19人、同園関係者7人、公園利用者2人、計28人のメールアドレスが、受信者間で閲覧できる状態となった。

メールを事業者へ送信したところ、誤ってメールアドレスを宛先に設定するミスがあり、受信者間にメールアドレス52件が流出した。

406人分の見積書で、顧客の氏名や電話番号、メールアドレス、引越元および引越先の住所、家財などに関する情報が記載されている。

具体的には、3月下旬ごろから4月8日にかけて、同社のメールサーバ上に登録されたメールアカウント1件が不正アクセスを受け、推定約5万件の迷惑メールが送信された。

業務委託先の事業者がSNSアカウントでログインできるようシステムを改修した際、特定の利用者に関する情報を、他特定の利用者より閲覧できるよう設定したことが原因としている。

2018年7月22日から2020年1月10日までの間に扱った最大2400件の伝票で、顧客の氏名と電話番号が記載されている。そのうち、最大240件にクレジットカード番号が含まれる。

個人情報を含む書類については7年間の施錠管理を経て溶解処理を行うルールだったが、2020年5月の改装時に期限を迎える前に誤って廃棄した可能性が高いとしている。

219件について、関係ない住所を記載して発送したもので、210件は配達されずに郵便局から返送されたが、9件は別人へ配達され、そのうち1件は開封されたという。翌26日に郵便を受け取った人から電話で通報があり問題が判明した。

誤送付した証明書には、氏名、性別、生年月日、診断日、療養期間などが記載されている。

報道によると、身代金要求型ウイルス『ランサムウェア』を使うハッカー集団のサイバー攻撃を受けたとみられるとされている。

ログインを許した場合、会員情報が一時的に第三者によって閲覧できる状態にあり、氏名、生年、メールアドレス、電話番号、法人として登録した場合は法人情報のほか、任意で入力した住所や携帯電話番号、性別、プロフィール画像などを閲覧された可能性がある。

1月17日から31日にかけて受理した約2000人分の請求書が入っており、請求者の氏名、住所、電話番号、戸籍筆頭者や世帯主の氏名、住所が記載されている。

同ファイルには、加盟団体56団体の代表者名、役職名、生年月日、年齢、電話番号、ファックス番号、携帯電話番号、メールアドレスが保存されていた。

同フォームには70人分の氏名、電話番号、所属、役職名、メールアドレスなどが入力されていた。

送信先である事業者の担当者21人のメールアドレスが流出した。

同社によれば、4月22日に8社の担当者12人へ送信したメールマガジンに、他受信者の氏名や企業名が表示された

第三者によってアクセスされたファイルには、取引先の役職員の会社名、役職情報などのほか、取引先から提供された業務関連情報、同社の社内情報などが含まれる。

問題のUSBメモリには、同教員の担当科目を受講している学生89人の履修者名簿が保存されている可能性があり、氏名や学年、所属、学修番号、メールアドレスなどが含まれる。

同社によれば、クレジットカードの利用明細などを確認できるWebサービスが、「SQLインジェクション」の脆弱性を突く不正アクセスを受けた。

加盟店に関する情報615件含む4万4559件の個人情報が外部に流出した可能性がある。

また、3万9310件については、「ログインID」「パスワード」「メールアドレス」が流出。さらに190件については、これら情報にくわえて、「氏名」「住所」「電話番号」「生年月日」「性別」「口座情報」「暗証番号」が含まれる。

これ以外にメールアドレス5059件が流出した可能性があるが、クレジットカードの番号、有効期限、セキュリティコードの流出はないとしている。

サーバ内部には顧客に関する個人情報が保存されていた可能性がある。

対象となるデータの内容や規模は調査中としているが、氏名、住所、電話番号、ファックス番号、性別、生年月日、年齢、メールアドレス、申し込み内容などの個人情報が被害に遭った可能性がある。

送信先を誤って「CC」に設定したため、受信者間にメールアドレスが流出した。

同社では、対局サービスの関連ログを調査したが、顧客情報の流出は確認されなかったとしている。

サーバ内部の個人情報が外部に流出した可能性もあり、詳細を調べている

2021年2月4日より前にあらかじめ登録していたクレジットカード情報を決済に用いた場合は対象に含まれない。

窃取された情報は、クレジットカードの名義、番号、有効期限、セキュリティコードである。

同システムは、同県より業務や工事を受注した事業者が業務の実施や納品にあたって関連データの提出に使用しているが、利用者情報を含むファイルを意図せずダウンロードできる状態となっていた。

ファイルには、事業者3003件のユーザーID、氏名、会社名、メールアドレス、案件を発注した事務所名、送信状態などの情報が含まれる。

同社では5月19日に対策を講じ、ダウンロードの操作を行った26人に対してファイルを削除するよう依頼した。

第三者が利用者本人になりすまし、ログインを試みるパスワードリスト攻撃が行われ、一部アカウントがログインを許すとともに、ポイントが不正に交換されていた。

5月16日9時過ぎにポイントに関する問い合わせが複数寄せられ、調査を行ったところ判明した。ログインの試行は、4月10日から5月16日にかけて、のべ1億3833万8195件にのぼり、6万518件でログインを許していたという。

ポイントの不正交換は、5月13日18時ごろから同月16日10時半ごろにかけて1877件のアカウントで行われ、65万1904ポイントの被害が発生した。またログインを許した場合、氏名と住所などの個人情報を攻撃者に閲覧された可能性がある。

「SQLインジェクション」による大量のアクセスが行われたもので、今回の攻撃により同社が提供するツールを利用する組織の担当者に関するメールアドレス最大3万5000件が外部に流出した可能性がある

調査の結果、インターネットに接続するネットワーク機器の脆弱性を侵入経路として攻撃された可能性が高いことが判明。情報が持ち出された痕跡は確認されていないものの、サーバ内部にあったデータが外部に流出した可能性も否定できないという。

具体的には、通信販売サイトの商品発送リスト、進物品斡旋販売受注、発送リスト、キャンペーンなどのプレゼント発送リストなどあわせて4754件をはじめ、顧客相談窓口が扱った報告書や受注リストなど2227件が対象。氏名、住所、電話番号のほか、一部でメールアドレスも記載されていた。

さらに取引先名簿2167件、採用応募者名簿1万7000件、従業員や退職者情報2560件のほか、2022年3月時点での株主名簿が含まれる。

自宅の私用パソコンに住民の個人情報を保存していた。確認されているだけで、それぞれ8回、13回のあわせて21回にわたりメールでデータを送信していたという。また建設部職員は、USBメモリでもデータを持ち出していた。

氏名、住所、性別、生年月日など、いわゆる基本4情報を表計算ファイルとして保有。くわえて続柄、世帯番号、収入額など税務関連のデータや、被災住所など含む応急仮設住宅居住者情報なども所持していた。「特定個人情報（マイナンバー）」も600件含まれている。

書類を受け取った5人から電話で指摘があり、誤送付が判明。誓約書には、参加者の氏名、住所、出場種目、ナンバーカード番号などが記載されていた。

同社によれば、サーバ構築時の人的なミスにより257団体において、フォームより4月21日22時ごろから5月20日17時半過ぎに提出されたファイルが消失した。

フォームの記入内容はデータベースサーバに格納され、影響はなかったが、画像ファイルやPDFファイルなど、フォーム投稿時に添付され、ファイル保管サーバに保存されていたファイル1万7385件が消失した。

問題の書類には、2020年9月に入院した一部の患者に関する氏名、ID、病名、入院日、入院期間など104件が記載されていた。

勤怠人事給与システムには、従業員1872人、退職者2167人に関する氏名、住所、電話番号、生年月日、性別、勤怠システムのログインパスワード、出退勤データ、勤怠関係の申請履歴、銀行口座情報含む給与の支払いデータなどが保存されていた。扶養者424人、世帯主2423人に関する情報も含まれる。顧客や取引先のデータは保存されていなかった。

同市では、2日間にわたりのべ41人の職員を投入。約9キロメートルの走行ルートについて道路両側50～100メートルを対象として4往復以上徒歩で捜索を実施。

2001年度の「町府民税・固定資産税・国民健康保険税集合徴収課税台帳」21枚を探索初日に回収。翌日も範囲を広げて探索したが、あらたな回収はなかった。いずれも同じ段ボール箱の上部に入っていたもので密閉が不十分だったという。

クレジットカード情報を保有していないが、脆弱性を突かれて決済アプリケーションを改ざんされたため、入力されたクレジットカードの名義、番号、有効期限、セキュリティコードを窃取された。

具体的には、2019年4月2日から2022年3月8日にかけて同サイトでクレジットカードを入力した顧客991人に関する1114件が流出した可能性がある。

クレジットカードに関する名義、番号、有効期限、セキュリティコードにくわえて、氏名や住所、電話番号、性別、メールアドレス、IPアドレスなどを窃取され、クレジットカードについては不正に利用されたおそれもある。

生徒の氏名、学校名、学年、性別、生年月日、電話番号のほか、保護者の氏名、住所、電話番号などが記載されていた。閲覧された件数については、対象範囲の特定が難しいとし、最大120件としている。

同講座にフォームを通じて申し込んだ2人の個人情報が閲覧可能になっていた。氏名、電話番号、メールアドレス、子どもの年齢、講座に参加して特に知りたい内容などが含まれる。

誤って送付したダイレクトメールには、別の顧客がこれまでにギフトを贈った相手の届け先情報が記載されていた。79人分の氏名、住所、電話番号が含まれる。

同大によれば、教職員が利用する端末1台がマルウェア「Emotet」に感染したもの。

端末内部に保存されていたメールアカウント情報を悪用され、同大で利用する外部サーバから、3月15日から同月17日にかけて少なくとも数千件の意図しないメールが送信されたという。

住民票写しなどの交付請求書約6200人分の紛失が5月17日に判明。2021年7月および8月分、同年11月および12月分のあわあせて2箱で、請求書には氏名、住所、電話番号、世帯主の氏名と住所が記載されていた。誤って廃棄した可能性が高いと説明している。

また別の区では、2020年1月から3月分の印鑑登録証明書交付申請書が入った保存箱1箱を誤廃棄していたことが5月24日に判明した。対象となる申請者は約5000人で、氏名、住所、生年月日、印鑑登録番号が記載されている。

氏名、住所、電話番号、生年月日、メールアドレス、購入情報、ハッシュ化されたパスワードなどが含まれる。10件に関しては口座情報が含まれていた。

約6割の顧客については、流出した項目が生年月日、メールアドレス、ハッシュ化されたパスワードのみに限られる可能性もあるという。

同サービスを運営する大日本印刷によれば、第三者が正規のメールアドレスとパスワードを用いて本人になりすまし、不正に同サービスへログインした可能性があることが判明したという。

悪用されたIDとパスワードは、同社以外で入手されたものとし、同社経由の情報流出については否定している。

同社では、不正ログインされたと見られる顧客に対し、個別に連絡を取っている。また被害を防止するため、他サービスで利用しているパスワードと同じものを利用しないよう注意を呼びかけている。

守秘義務に対する基本的な認識が欠如しており、社内ルールを逸脱した行為があり、秘密保持条項に違反していたと理由を述べている。

暗号化された情報には、顧客に関する個人情報も含まれるが、外部事業者をまじえて実施した調査では、個人情報の外部流出などは確認されていないとしている。

入院している患者への診療体制に問題はなく、通所リハビリテーションや訪問リハビリテーション、訪問診療、訪問看護もおおむね通常通り提供しているが、外来診療については、再来患者に限定するなど影響が出ている。

システム上の記録から2019年8月9日に81件の申請書を受理したことがわかっている。申請書には、申請者の氏名、住所、本籍地、筆頭者などの個人情報が記載されていた。

感染した端末には、同社従業員の情報が記載されたアドレス帳のほか、過去に送受信したメールが保存されており、氏名、電話番号、メールアドレスなどの情報が窃取された可能性がある。

同社では、EDRによるエンドポイントの監視、システムやアプリケーション、ネットワーク、仮想ホストのログ調査、収集データに対するフォレンジック調査、攻撃者が使用したツールおよびマルウェアの解析などを実施したと説明。情報を窃取されたり、外部へ流出した痕跡は確認されなかったとした。

一方、サイバー攻撃の具体的な内容や影響、原因については明らかにしていない。

本社では、子会社のネットワークを遮断して復旧作業を進めるとともに、グループ会社において同様の被害が生じていないか確認を進めている。

またランサムウェアによる攻撃との関連はわかっていないが、ウェブサイトを一時閲覧できなくなる障害が発生した。国内からはアクセスできるよう暫定的な対策を講じており、海外からも閲覧できるよう追加の対策を取るという。

復旧作業を優先しており、情報漏洩といった影響や原因に関する調査には時間を要する見込み。生産や出荷作業に関しては手作業で行い、納品への影響が出ないよう努めるとしている。

USBメモリの内部には、同市全住民46万517人分の住民基本台帳に関する情報が保存されていた。氏名、住所、生年月日、性別、住民となった年月日、統一コードなど含まれる。さらに住民税の均等割額など税情報36万573件も記録されている。

さらに2021年および2022年の非課税世帯臨時特別給付金の対象世帯に関する情報も保存。あわせて8万2716世帯分にのぼり、世帯主の統一コード、申請書番号、申請受付日、申請書不達理由、振込済処理日時などが含まれる。

また児童手当に関する6万9261件、生活保護に関する1万6765件の口座情報を保存しており、金融機関や支店のコード、口座番号、口座名義など含む。