先週のサイバー事件簿 - デジタル庁「G ビズ ID」に不正アクセス
9月26日週にかけて発生したセキュリティに関する出来事や、サイバー事件をダイジェストでお届け。
○「G ビズ ID」管理のメール中継サーバーに不正アクセス
デジタル庁が運用する事業者向け共通認証サービス「G ビズ ID」のメール中継サーバーが不正アクセスを受けた。不正アクセスは海外からのもので、2022年9月24日に発生。同サービスのドメイン「gbiz-id.go.jp」から、不特定多数に向けた大量の迷惑メール送信を確認した。メールの送信先はG ビズ ID のアカウント関連ではないとのこと。
送信が行われた時間は、9月24日16時30分から17時まで。この時間に約13,000件の迷惑メールを送信。同サービスからのメールを受信した場合は、メールを開かずに削除すること。今のところは、この件での個人情報の漏えいはない。
デジタル庁は再発防止策として、システムの運用体制の見直し、被害を未然に防止するための取組を強化していくとしている。
○ジブリパークのスタッフエントリーサイトに不正アクセス
テツコーポレーションのシステムが不正アクセスを受け、ジブリパークのスタッフエントリーサイトに登録した人の個人情報が流出した。ジブリパークは、スタッフの派遣をテツコーポレーションに委託している。
不正アクセスが発生したのは9月22日。ジブリパークのスタッフエントリーサイトでシステム障害が発生し、確認と調査をしたところ、管理システムへの不正アクセスが判明した。翌日にはテツコーポレーションに対して金銭の要求が届いたという。
流出したのは、ジブリパークのスタッフエントリーサイトに登録した人の個人情報（1,525人分）。詳細は、氏名、住所、電話番号など。テツコーポレーションはジブリパークと協議し、今後の対応を進めていくとしている。
山陽SC開発、サーバーへの不正アクセスで個人情報流出
「さんすて福山」などを運営する山陽SC開発のサーバーが外部からの不正アクセスを受け、顧客の個人情報が流出した可能性がある。
サーバー障害は2022年9月19日に確認。公表時点で判明しているのは、社内業務で使用するクラウドサーバーの一部とPCが不正アクセスを受けたといった内容。このクラウドサーバーには個人情報を含んだ資料が保存されており、現段階では具体的な流出の事実を確認していないとする一方で、流出を完全には否定できない状況とも発表している。不正アクセスの経路などについても調査中。
流出の可能性のある個人情報は、同社が主催するイベント参加者の名簿など約600件。取引先などの関係者情報が約7,200件。詳細はテナントスタッフ研修参加者名簿、テナント本部・取引先様連絡先、採用に関わる情報など。社員・退職者情報が約150件。ほかにも、氏名、一部住所、電話番号、メールアドレスなども含んでいる。
なお、「岡山一番街 さんすて岡山・倉敷 J-WEST カード会員」情報、「さんすて福山メンバーズカード会員」情報はこれらに含まれていない。
○「ユニフォームタウン」で不正アクセス被害
ランドマークが運営する「ユニフォームタウン」が第三者による不正アクセスを受けた。システムの一部の脆弱性をついたペイメントアプリケーションの改ざんによるもので、一部のクレジットカード会社から連絡を受け、2022年7月7日に発覚。2022年7月8日には「ユニフォームタウン」でのカード決済を停止している。
第三者機関の調査によると、2020年10月9日〜2022年3月7日の期間に「ユニフォームタウン」で商品を購入した顧客のクレジットカード情報（63,565名分）が流出。一部は不正利用の可能性もあるという。流出した可能性のある情報は、カード名義人名、クレジットカード番号、有効期限、セキュリティコード、サイト利用者が登録した個人情報、コールセンターで対応した内容。
同社は、クレジットカード会社と連携してクレジットカード取引のモニタリングを実施。顧客に対しては、クレジットカードの利用明細書に身に覚えのない請求項目がないかを確認するよう呼びかけている。再発防止策として、システムのセキュリティ対策、および監視体制の強化を実施。改修後の「ユニフォームタウン」の再開日は、決定しだい告知するとしている。
○トヨタ自動車の子会社で不正アクセス被害
プライムアースEVエナジーのホームページが不正アクセスを受けた。同社はトヨタ自動車の子会社で、電動車向けバッテリーの製造を担っている。
不正アクセスはホームページの改ざん。2022年9月7日18時ごろからホームページを閉鎖して調査した開始、パスワードのハッキングによりサーバーへの侵入を許したものと発表した。
現在は、被害を受けたサーバーの復旧を完了して運用を再開している。なお、発見が早かったこともあり被害も軽微。個人情報などの流出もないとのこと。
○Google、脆弱性20件を修正したChrome最新バージョン「106」
Googleは9月27日、Chromeの最新バージョン「106」を公開した。Windows向けが「106.0.5249.61/62」、macOSおよびLinux向けが「106.0.5249.61 」となる。
今回のアップデートでは、「高」5件、「中」8件、「低」3件を含む20件の脆弱性を修正している。「高」の脆弱性は、開発者ツールでの入力検証不備、メディア解放後のメモリ使用に関するもの。「中」の脆弱性では、開発者ツールやカスタムタブでのポリシー適用の不備などを修正している。Chromeを使っている場合は、早めにアップデートしておくこと。
○LINE、異なるページのプレビュー情報を表示する不具合
LINEアプリのトークなどに実装している「URLプレビュー」機能に不具合が見つかった。「URLプレビュー」は、ユーザーやLINE公式アカウントがURLを送信・投稿したときに、当該ページのプレビュー情報を表示する機能。サーバーの一部にエラーが発生したことで、別のユーザーが送信・投稿したURLのプレビュー情報を出力してしまっていた。
エラーが発生していた期間は、2022年9月6日0時32分から2022年9月7日12時24分。異なるプレビュー情報を出力した回数は推定約360万回、プレビュー情報全体における発生確率は約0.5％〜0.6％と推定。この数値は2022年9月20日時点の調査結果で、正確な影響規模は特定不可能とも発表している。
誤って表示したプレビュー情報は、ページのタイトル、概要、サムネイル画像。URLは、LINEアプリのトークでYouTube、またはLINE LIVEのプレビューがあった場合に表示する可能性がある。なお、ユーザーの端末上に誤表示したプレビュー情報は発生期間後も残る場合があり、削除に向けて対応を継続中。現在は暫定的な対応を実施し、誤表示が発生することはない。
○「G ビズ ID」管理のメール中継サーバーに不正アクセス
デジタル庁が運用する事業者向け共通認証サービス「G ビズ ID」のメール中継サーバーが不正アクセスを受けた。不正アクセスは海外からのもので、2022年9月24日に発生。同サービスのドメイン「gbiz-id.go.jp」から、不特定多数に向けた大量の迷惑メール送信を確認した。メールの送信先はG ビズ ID のアカウント関連ではないとのこと。
デジタル庁は再発防止策として、システムの運用体制の見直し、被害を未然に防止するための取組を強化していくとしている。
○ジブリパークのスタッフエントリーサイトに不正アクセス
テツコーポレーションのシステムが不正アクセスを受け、ジブリパークのスタッフエントリーサイトに登録した人の個人情報が流出した。ジブリパークは、スタッフの派遣をテツコーポレーションに委託している。
不正アクセスが発生したのは9月22日。ジブリパークのスタッフエントリーサイトでシステム障害が発生し、確認と調査をしたところ、管理システムへの不正アクセスが判明した。翌日にはテツコーポレーションに対して金銭の要求が届いたという。
流出したのは、ジブリパークのスタッフエントリーサイトに登録した人の個人情報（1,525人分）。詳細は、氏名、住所、電話番号など。テツコーポレーションはジブリパークと協議し、今後の対応を進めていくとしている。
山陽SC開発、サーバーへの不正アクセスで個人情報流出
「さんすて福山」などを運営する山陽SC開発のサーバーが外部からの不正アクセスを受け、顧客の個人情報が流出した可能性がある。
サーバー障害は2022年9月19日に確認。公表時点で判明しているのは、社内業務で使用するクラウドサーバーの一部とPCが不正アクセスを受けたといった内容。このクラウドサーバーには個人情報を含んだ資料が保存されており、現段階では具体的な流出の事実を確認していないとする一方で、流出を完全には否定できない状況とも発表している。不正アクセスの経路などについても調査中。
流出の可能性のある個人情報は、同社が主催するイベント参加者の名簿など約600件。取引先などの関係者情報が約7,200件。詳細はテナントスタッフ研修参加者名簿、テナント本部・取引先様連絡先、採用に関わる情報など。社員・退職者情報が約150件。ほかにも、氏名、一部住所、電話番号、メールアドレスなども含んでいる。
なお、「岡山一番街 さんすて岡山・倉敷 J-WEST カード会員」情報、「さんすて福山メンバーズカード会員」情報はこれらに含まれていない。
○「ユニフォームタウン」で不正アクセス被害
ランドマークが運営する「ユニフォームタウン」が第三者による不正アクセスを受けた。システムの一部の脆弱性をついたペイメントアプリケーションの改ざんによるもので、一部のクレジットカード会社から連絡を受け、2022年7月7日に発覚。2022年7月8日には「ユニフォームタウン」でのカード決済を停止している。
第三者機関の調査によると、2020年10月9日〜2022年3月7日の期間に「ユニフォームタウン」で商品を購入した顧客のクレジットカード情報（63,565名分）が流出。一部は不正利用の可能性もあるという。流出した可能性のある情報は、カード名義人名、クレジットカード番号、有効期限、セキュリティコード、サイト利用者が登録した個人情報、コールセンターで対応した内容。
同社は、クレジットカード会社と連携してクレジットカード取引のモニタリングを実施。顧客に対しては、クレジットカードの利用明細書に身に覚えのない請求項目がないかを確認するよう呼びかけている。再発防止策として、システムのセキュリティ対策、および監視体制の強化を実施。改修後の「ユニフォームタウン」の再開日は、決定しだい告知するとしている。
○トヨタ自動車の子会社で不正アクセス被害
プライムアースEVエナジーのホームページが不正アクセスを受けた。同社はトヨタ自動車の子会社で、電動車向けバッテリーの製造を担っている。
不正アクセスはホームページの改ざん。2022年9月7日18時ごろからホームページを閉鎖して調査した開始、パスワードのハッキングによりサーバーへの侵入を許したものと発表した。
現在は、被害を受けたサーバーの復旧を完了して運用を再開している。なお、発見が早かったこともあり被害も軽微。個人情報などの流出もないとのこと。
○Google、脆弱性20件を修正したChrome最新バージョン「106」
Googleは9月27日、Chromeの最新バージョン「106」を公開した。Windows向けが「106.0.5249.61/62」、macOSおよびLinux向けが「106.0.5249.61 」となる。
今回のアップデートでは、「高」5件、「中」8件、「低」3件を含む20件の脆弱性を修正している。「高」の脆弱性は、開発者ツールでの入力検証不備、メディア解放後のメモリ使用に関するもの。「中」の脆弱性では、開発者ツールやカスタムタブでのポリシー適用の不備などを修正している。Chromeを使っている場合は、早めにアップデートしておくこと。
○LINE、異なるページのプレビュー情報を表示する不具合
LINEアプリのトークなどに実装している「URLプレビュー」機能に不具合が見つかった。「URLプレビュー」は、ユーザーやLINE公式アカウントがURLを送信・投稿したときに、当該ページのプレビュー情報を表示する機能。サーバーの一部にエラーが発生したことで、別のユーザーが送信・投稿したURLのプレビュー情報を出力してしまっていた。
エラーが発生していた期間は、2022年9月6日0時32分から2022年9月7日12時24分。異なるプレビュー情報を出力した回数は推定約360万回、プレビュー情報全体における発生確率は約0.5％〜0.6％と推定。この数値は2022年9月20日時点の調査結果で、正確な影響規模は特定不可能とも発表している。
誤って表示したプレビュー情報は、ページのタイトル、概要、サムネイル画像。URLは、LINEアプリのトークでYouTube、またはLINE LIVEのプレビューがあった場合に表示する可能性がある。なお、ユーザーの端末上に誤表示したプレビュー情報は発生期間後も残る場合があり、削除に向けて対応を継続中。現在は暫定的な対応を実施し、誤表示が発生することはない。
