先週のサイバー事件簿 - 国交省の溶岩ドーム情報配信システムから情報流出
6月5日週にかけて発生したセキュリティに関する出来事や、サイバー事件をダイジェストでお届け。
○NHK放送文化研究所、世論調査対象1,200人分の個人情報資料を紛失
NHK放送文化研究所は6月2日、2022年11月に実施した「ISSP『家庭と男女の役割』に関する国際比較調査」の調査対象者（1,200人分）に関して、個人情報を記載した資料を紛失したことを明らかにした。
紛失したのはB4サイズ用紙の資料100枚。資料の内容は、住民基本台帳法に基づいて自治体の住民基本台帳から閲覧・抽出し、2023年1月に委託先の調査会社が提出していたもの。詳細は、調査対象者の氏名、住所、生まれた年、性別。用紙1枚につき、同じ自治体の情報12人分を記載していた。
この資料はNHK放送文化研究所内棚（施錠済み）で保管していたもので、保管期限の5月末日前の5月30日に書類を確認したところ紛失が発覚した。紛失後に居室内を探索したものの、発見には至っていない。情報公開の時点では、紛失した資料の流出、または悪用の事実はないとしている。
○国土交通省の溶岩ドーム情報配信システムから情報流出
国土交通省九州地方整備局の長崎河川国道事務所が管理する「溶岩ドーム情報配信システム」において、登録している情報が流出する出来事があった。
溶岩ドーム情報配信システムは、雲仙普賢岳の溶岩ドームの変異を観測し、変異があった場合に自治体などへメールを配信するシステム。2023年5月27日22時ごろ、防災情報発信先となる登録者情報96名分が流出していることがわかった。登録者情報は整備局職員、自治体職員、関係コンサルタント会社社員のもの。詳細は氏名、メールアドレス、閲覧用ログインID。
発覚後はサーバーの外部接続を遮断し、システムのサーバー管理業者が情報流出の原因調査を行っている。情報公開の時点では、個人情報の第三者への流出はないとのこと。今後は引き続き情報流出の原因究明とともに、情報セキュリティ対策と個人情報の管理徹底を行うとしている。
○知多メディアスネットワーク、Webサイト内の添付ファイルが閲覧可能状態に
ケーブルテレビ局の知多メディアスネットワークは、Webサイト内の従業員専用ページに保存していた一部顧客の個人情報が、社外から閲覧可能な状態だったことを明らかにした。
2023年5月19日に顧客からの申告によって発覚。該当するページについては閲覧制限を施していたが、添付ファイルには制限をかけておらず、担当者自身も添付ファイルがインターネット上から閲覧できることに気付いていなかった。
閲覧可能な状態だった期間と人数は、2022年9月9日〜2023年5月19日が6,549名、2022年10月20日〜2023年5月19日が43名、2023年3月14日〜2023年5月19日が43名。43名分の氏名と住所が漏えいし、6,592名の氏名と住所に漏えいの可能性がある。
対策として、保存してあるすべてのデータを確認して個人情報を含むデータを削除。当該ページも閉鎖した。また、運用するすべてのWebサイトに対して、個人情報の有無と外部からのアクセスができないことも確認した。顧客に対しては、身に覚えのない連絡や訪問があった場合は連絡するよう呼びかけている。
○LINE公式アカウントのクーポン機能に不具合
LINEが運用している企業・店舗向け「LINE公式アカウント」のクーポン機能において、本来公開するべきではないクーポンを公開していた不具合があった。
今回の不具合は、LINE公式アカウントの管理画面におけるクーポン機能「LINEサービスへの掲載」設定内に存在。「掲載しない」として保存したクーポンを、一定期間LINEのサービス上で公開していた。
これにより、本来は公開すべきではないクーポンを、クーポン対象として意図していなかったLINEユーザーが閲覧した可能性がある。また、クーポン対象として意図していなかったLINEユーザーがクーポン閲覧後に友だち追加を行い、クーポン記載の利用条件を満たしてクーポンを利用した可能性がある。なお、2023年5月22日時点では二次被害はないとしている。
公開していたLINEサービスと発生期間は以下の通り。現在は修正が完了しており、いずれも「LINEサービスへの掲載」設定で「掲載する」として保存したクーポンのみを公開するようになっている。なお、LINE Searchについては、クーポンの表示自体を廃止した。
LINE Search：2019年8月5日〜2021年11月23日
LINE公式アカウント一覧ページ：2021年8月4日〜2022年4月15日
LINE PLACE：2021年12月2日〜2022年1月26日、2022年4月4日〜2022年4月12日
○Google、脆弱性16件を修正したChrome最新バージョン「114」
Googleは5月30日、Chromeのセキュリティアップデートを行い、Windows向けに「Chrome 114.0.5735.90/91」を、MacおよびLinux向けに「114.0.5735.90」を公開した。
今回のアップデートでは、「高」8件、「中」4件を含む16件の脆弱性を修正。「高」の脆弱性では、Swiftshaderでの範囲外の書き込み、拡張機能の解放後メモリ使用、PDF処理の解放後メモリ使用などを修正している。Chromeを使用している場合は早めにアップデートしておくこと。
○Appleを騙るフィッシングメール
6月5日以降、Appleを騙るフィッシングメールが拡散している。メールの件名例は以下の通り。
【重要】Apple アカウントの異常通知
Appleに関するお知らせ
Apple Storeお客様のアカウント認証に関するお知らせ
Apple お客様のアカウント認証に関する重要なお知らせ
メールの本文では、システムの定期的なチェックの結果、アカウントについて再認証が必要などと記載。リンクをクリックして公式サイトにアクセスするよう誘導する。リンク先はApple Storeを模したフィッシングサイトで、AppleID、パスワード、クレジットカード情報の入力欄がある。
6月5日以降もフィッシングサイトは稼働中稼働中とのことであり、このようなメールは無視するか削除すること。自分の情報を確認したい場合は、公式アプリや検索結果からの公式サイトを利用したい。ほかにも、じゃらんやエムアイカードなどを騙るフィッシングも拡散しているため注意すること。
○NHK放送文化研究所、世論調査対象1,200人分の個人情報資料を紛失
NHK放送文化研究所は6月2日、2022年11月に実施した「ISSP『家庭と男女の役割』に関する国際比較調査」の調査対象者（1,200人分）に関して、個人情報を記載した資料を紛失したことを明らかにした。
この資料はNHK放送文化研究所内棚（施錠済み）で保管していたもので、保管期限の5月末日前の5月30日に書類を確認したところ紛失が発覚した。紛失後に居室内を探索したものの、発見には至っていない。情報公開の時点では、紛失した資料の流出、または悪用の事実はないとしている。
○国土交通省の溶岩ドーム情報配信システムから情報流出
国土交通省九州地方整備局の長崎河川国道事務所が管理する「溶岩ドーム情報配信システム」において、登録している情報が流出する出来事があった。
溶岩ドーム情報配信システムは、雲仙普賢岳の溶岩ドームの変異を観測し、変異があった場合に自治体などへメールを配信するシステム。2023年5月27日22時ごろ、防災情報発信先となる登録者情報96名分が流出していることがわかった。登録者情報は整備局職員、自治体職員、関係コンサルタント会社社員のもの。詳細は氏名、メールアドレス、閲覧用ログインID。
発覚後はサーバーの外部接続を遮断し、システムのサーバー管理業者が情報流出の原因調査を行っている。情報公開の時点では、個人情報の第三者への流出はないとのこと。今後は引き続き情報流出の原因究明とともに、情報セキュリティ対策と個人情報の管理徹底を行うとしている。
○知多メディアスネットワーク、Webサイト内の添付ファイルが閲覧可能状態に
ケーブルテレビ局の知多メディアスネットワークは、Webサイト内の従業員専用ページに保存していた一部顧客の個人情報が、社外から閲覧可能な状態だったことを明らかにした。
2023年5月19日に顧客からの申告によって発覚。該当するページについては閲覧制限を施していたが、添付ファイルには制限をかけておらず、担当者自身も添付ファイルがインターネット上から閲覧できることに気付いていなかった。
閲覧可能な状態だった期間と人数は、2022年9月9日〜2023年5月19日が6,549名、2022年10月20日〜2023年5月19日が43名、2023年3月14日〜2023年5月19日が43名。43名分の氏名と住所が漏えいし、6,592名の氏名と住所に漏えいの可能性がある。
対策として、保存してあるすべてのデータを確認して個人情報を含むデータを削除。当該ページも閉鎖した。また、運用するすべてのWebサイトに対して、個人情報の有無と外部からのアクセスができないことも確認した。顧客に対しては、身に覚えのない連絡や訪問があった場合は連絡するよう呼びかけている。
○LINE公式アカウントのクーポン機能に不具合
LINEが運用している企業・店舗向け「LINE公式アカウント」のクーポン機能において、本来公開するべきではないクーポンを公開していた不具合があった。
今回の不具合は、LINE公式アカウントの管理画面におけるクーポン機能「LINEサービスへの掲載」設定内に存在。「掲載しない」として保存したクーポンを、一定期間LINEのサービス上で公開していた。
これにより、本来は公開すべきではないクーポンを、クーポン対象として意図していなかったLINEユーザーが閲覧した可能性がある。また、クーポン対象として意図していなかったLINEユーザーがクーポン閲覧後に友だち追加を行い、クーポン記載の利用条件を満たしてクーポンを利用した可能性がある。なお、2023年5月22日時点では二次被害はないとしている。
公開していたLINEサービスと発生期間は以下の通り。現在は修正が完了しており、いずれも「LINEサービスへの掲載」設定で「掲載する」として保存したクーポンのみを公開するようになっている。なお、LINE Searchについては、クーポンの表示自体を廃止した。
LINE Search：2019年8月5日〜2021年11月23日
LINE公式アカウント一覧ページ：2021年8月4日〜2022年4月15日
LINE PLACE：2021年12月2日〜2022年1月26日、2022年4月4日〜2022年4月12日
○Google、脆弱性16件を修正したChrome最新バージョン「114」
Googleは5月30日、Chromeのセキュリティアップデートを行い、Windows向けに「Chrome 114.0.5735.90/91」を、MacおよびLinux向けに「114.0.5735.90」を公開した。
今回のアップデートでは、「高」8件、「中」4件を含む16件の脆弱性を修正。「高」の脆弱性では、Swiftshaderでの範囲外の書き込み、拡張機能の解放後メモリ使用、PDF処理の解放後メモリ使用などを修正している。Chromeを使用している場合は早めにアップデートしておくこと。
○Appleを騙るフィッシングメール
6月5日以降、Appleを騙るフィッシングメールが拡散している。メールの件名例は以下の通り。
【重要】Apple アカウントの異常通知
Appleに関するお知らせ
Apple Storeお客様のアカウント認証に関するお知らせ
Apple お客様のアカウント認証に関する重要なお知らせ
メールの本文では、システムの定期的なチェックの結果、アカウントについて再認証が必要などと記載。リンクをクリックして公式サイトにアクセスするよう誘導する。リンク先はApple Storeを模したフィッシングサイトで、AppleID、パスワード、クレジットカード情報の入力欄がある。
6月5日以降もフィッシングサイトは稼働中稼働中とのことであり、このようなメールは無視するか削除すること。自分の情報を確認したい場合は、公式アプリや検索結果からの公式サイトを利用したい。ほかにも、じゃらんやエムアイカードなどを騙るフィッシングも拡散しているため注意すること。
