メールに潜む脅威～フィッシングメール、標的型攻撃メール～

氏名や住所、電話番号、生年月日、性別、メールアドレスなどが対象で、一部では口座情報なども含まれる

同市福祉健康部の複数課で共有する複合機で、地域包括ケア推進課の職員がチラシを印刷した際、生活支援課の職員が同時に伝票を印刷。混入したまま回収していなかった。

4月15日から同月24日にかけて約5300件、4月28日から5月8日にかけて約1600件、6月4日に約1400件が送信されており、あわせて約8300件にのぼる。

クレジットカード情報に関しては、決済アプリケーションを改ざんされたため、2021年2月3日から同年8月15日にかけて、顧客680人が決済に利用したクレジットカード情報684件が流出し、不正に利用されたおそれがある。

クレジットカードの名義、番号、有効期限、セキュリティコードのほか、同サイトのログインIDおよびパスワード、電話番号、IPアドレスなども含まれる。

問題のUSBメモリには児童65人分の氏名、生年月日、学力、配慮事項などを記載した引継資料のほか、児童に関する教育活動風景などの写真約95件、担当学級の座席表、教諭の自己評価シート、指導案などが保存されていた。

サーバ環境を変更した2020年2月16日から、ネットワークの設定を変更して対策を講じた2022年6月29日までに登録された氏名、会社名、部署名を含む約25万人分の個人情報にアクセスできる状態だった。

このうち1741件の注文については個人情報が含まれる。名刺に印字されている氏名や会社名、住所、電話番号、挨拶状や年賀状に印字されている差出人や宛名の氏名、住所などで、これら注文における個人情報の合計件数については調査中。

同社では、約800の自治体に電子申請サービスを提供しているが、同サービスのヘルプデスク業務で過去にやり取りしたメールが外部に流出した。

5月27日に患者データベースへアクセスできない状況に陥るサイバー攻撃を受けたもの。電子カルテシステムや診療報酬を計算する会計システムなどが一時停止した。

同日、一部診療体制に影響が出たものの、翌日には、対策を講じた上でバックアップからシステムを復旧しており、通常の診療体制に戻っているという。

同院では障害の発生を受けて警察や厚生労働省へ報告。5月30日には個人情報保護委員会にも報告し、6月8日より外部事業者によるフォレンジック調査を進めていたが、個人情報が外部に流出した可能性があることがわかった。

対象となるのは、患者や新型コロナワクチンの被接種者に関する個人情報最大11万1991件。氏名や生年月日、住所、電話番号、診療に用いる病歴、治療歴などの情報、予防接種歴などが含まれる。

保存期限を迎えた公文書については、廃棄にあたり同県公文書等管理審査会の意見を聴く必要があるが、今回判明した680件のうち667件については、周知が不十分だったため、意見聴取前に廃棄した。

誤送付した対象者一覧には、生活保護受給者11人分の氏名、住所、住宅扶助および共益費の金額が記載されている。

感染したサーバのデータが破壊、暗号化されたとしており、ランサムウェアの被害と見られる。7月5日の時点で外部における情報の流出は確認されていない。

県によれば、生徒20人分の氏名と学校名が記載された運動部の大会参加申込書と、生徒7人分の顔写真が保存されている端末の所在がわからなくなっているもの。県教育委員会が配備した端末で、内部のデータは暗号化されており、パスワードについても設定されている。

クレジットカードの名義、番号、有効期限、セキュリティコードのほか、メールアドレス、IPアドレスなどの情報も窃取されたおそれがあるという。3月16日にクレジットカード会社から情報流出の可能性について指摘があった。

サイト内のオンライン講座を紹介するページに、出演者および講座関係者28人分のメールアドレスを誤って掲載。

7月11日10時半ごろ、システムを委託する事業者より報告があり、被害へ気がついた。同社以外で流出したアカウント情報を悪用する「パスワードリスト攻撃」によるものと思われる。

不正アクセスの影響により、2020年7月3日から2021年10月27日にかけて、同サイトにログインした顧客最大2959人分のメールアドレスとログインパスワードが流出した可能性がある。

このうち同サイトで商品を購入した最大2730人に関しては、氏名、住所、電話番号、会社名、注文情報についても対象。

さらにクレジットカード決済を利用した最大2083人については、クレジットカードの名義、番号、有効期限、セキュリティコードが流出し、不正利用された可能性がある。

同サイトを運営するハーモニックによれば、今回の不正アクセスにより、顧客2万8700人が2020年11月14日から2021年11月11日にかけて利用したクレジットカードの名義、番号、有効期限、セキュリティコードが流出し、不正利用された可能性がある。

さらに2020年11月14日までに「カタログギフトのハーモニック」へ会員登録をしたり、商品を購入した全顧客15万0236人分については、氏名や住所、電話番号、メールアドレス、性別、生年月日が流出したおそれがある。あわせて名入れ目的で提供された子ども5445人分の情報なども対象となる。

222件、198件と2回にわけてメールを送信したが、いずれも送信先を誤って「宛先」に入力するミスがあり、同一グループ内にメールアドレスが流出した。

問題の段ボール箱には、2021年4月1日から5月31日にかけて扱った入出金伝票や為替伝票などをまとめた綴り39冊が入っていた。3757件の取り引きが記録されており、個人の顧客1255件と法人顧客322件に関する名義、住所、電話番号、生年月日、口座番号、取引金額などが記載されている。

店舗の移転準備作業を行った際、廃棄する段ボール箱とともに誤って溶解処分した可能性が高い。

決済関連の情報やメールアドレス、オンラインショップのログインIDやパスワードに関しては、異なるシステムで管理しており、流出の可能性はないとの見方を示されている。

社内で使用するパソコンに対する侵害の形跡やマルウェアの感染などは確認されていない。

7月13日20時ごろ、保管場所にあるデジタルカメラを看護師が使用しようとしたところ、カードが入ってないことに気づいた。

同日15時ごろ、別の看護師がデジタルカメラを使用し、同カードに保存された写真の印刷をパソコンで行ったが、その後の所在がわからない状況である。

県によれば、7月12日に県立高校の職員が校内で教務手帳を紛失したもの。同手帳には、担当クラスの生徒に関する氏名、第1学期中間考査や期末考査の点数、授業の出欠記録、第1学期の評価原案など、1年生78人や2年生1人に関する個人情報が記載されていた。

1件では送信先33件、別の1件では送信先264件を、誤って宛先に入力。企業や企業担当者のメールアドレスが受信者間で閲覧できる状態となった。

運営するサイト「イネ QTL 遺伝子情報データベース」のトップページが改ざんされた。

同サイトへの通信を遮断し、調査したところ、7月14日13時過ぎよりアクセスを遮断した同日18時前にかけて、意図しない「スロット」のイラスト画像がサイト上に表示される状態となっていた。

被害に遭ったサーバは、市内の小中学校12校が校務全般で使用しており、児童や生徒など2021人に関する氏名、住所、保護者の連絡先、出席、成績などの情報を管理していた。

多くの小中学校では通知表の配布時期を秋としており、影響を受けなかったが、夏季休暇前に配布を行う市内1校では通知表の配布にも影響が出ている。

また教員などが利用するクライアント端末をネットワークを接続する際に用いる認証サーバも被害に遭ったため、アクセスできない状況となっている。くわえてバックアップも被害に遭っており、調査にも時間を要する見込みで復旧のめどは立っていない。

県によれば、7月19日15時ごろ、「かながわコミュニティカレッジ講座」の運営業務を同県より受託しているソーシャルコーディネートかながわが、災害ボランティア入門講座の受講予定者31人に対し、開催概要を確認するメールを送信した際に誤送信が発生した。

7月19日早朝にデータセンターのサーバが外部よりサイバー攻撃を受けたもの。

基幹システムや関連システムで被害が発生しており、オンラインサイトによる販売や取引先への配送などに影響が出ているという。7月21日の時点でコーポレートサイトなども正しく表示されない状況となっている。

市によれば、介護保険料の不納欠損処分予告通知者のリストや介護保険サービスのケアプランを作成する際に必要となる主治医意見書などが所在不明となっている。

介護保険料の不納欠損処分予告通知者のリストについては、5月25日に紛失が判明。2020年度のリストで被保険者の氏名、介護保険被保険者番号、不納欠損額、滞納期間など303人分の個人情報が記載されていた。文書の取り扱い基準に基づく起案処理や保管ができていなかったという。

また地域包括支援センターでは、6月1日、同月10日にあわせて2人分の主治医意見書、認定調査票、介護認定調査票を紛失していることが判明した。

7月1日から同月20日正午ごろにかけて、イベントの申込者106人に関する個人情報が流出した可能性があることが判明した。

フォームの設定ミスにより、申込後の画面に表示されるリンクから他申込者の情報を閲覧できる状態だった。申込者の氏名、電話番号、メールアドレス、企業および部署などの個人情報が流出したおそれがある。

同区によれば、園児25人分の写真データが保存されたSDメモリカードの所在がわからなくなっているもの。7月14日に職員がカメラを使用しようとしたところ、SDメモリカードがないことに気づいた。

前日13日に職員がSDメモリカードからタブレット端末にデータを取り込んだが、事務所内の施錠できる保管庫に返却せず、カメラに挿入し、保育室内に置いたまま帰宅。以降の所在がわからない。

市によれば、消防職員2人が、同市グループウェアにおいて上長のアカウントに対し、2020年から2021年にかけて複数回にわたり不正アクセス行っていたことが判明した。

いずれの職員もグループウェア上のメールに添付された人事異動に関する情報を閲覧。さらに1人については別の職員に画面を見せて内容を漏洩していた。上長のアカウントにログインするにはパスワードが必要となるが、類推したものと見られている。

1校では、5月24日に担任が担当する学級の児童個票ファイル21人分を児童の机の上に置き忘れ、児童が知らずに誤って自宅へ持ち帰る事故が発生。気づいた保護者から連絡があり回収した。

また別の1校では、5月26日に職員室の保管庫内に28人分の児童個票ファイルが見当たらない。

同金庫によれば、通帳のない「通帳レスカードローン」の契約者に対して利用残高を通知するハガキを年2回発送しているが、2021年3月、および同年9月に発送すべきハガキ5418件について発送手続きが行われていなかったもの。

5月19日に判明したもので、担当する従業員は、手続きが遅れたことから未発送となり、処理に困ってそのうち1880件についてはシュレッダーで裁断したと証言しているという。のこる3538件については、同金庫が保管している。

廃棄されたとするハガキには、顧客1477人に関する氏名、住所、口座番号、カードローン商品名、利用残高などの個人情報が記載されていた。

医療材料の管理や医療機械の洗浄業務を担当している職員が、2019年1月、2月と2度にわたり業務に関係なく電子カルテの内容を閲覧。LINE経由で患者2人に関する個人情報を家族に漏らしていた。職員は電子カルテの閲覧権限を持っていたという。今回の問題を受けて同県は、県立病院において閲覧権限の対象者を最小限に絞るなど厳格化し、カルテの閲覧記録の定期的に検証するなど対策を講じる。また、従来より研修を実施してきたが、あらためて個人情報の適切な取り扱いについて周知徹底を図り、再発防止を目指す。

誤送信したメールには、アンケート回答者460人に関する氏名、勤務先、所属、感想などが含まれる。

誤送信したファイルには、顧客2127人のカタカナ氏名、社内で使用する会員番号と顧客番号、商品名、延滞金額、入金状況などが保存されていた。1人に関しては住所も記載されている。

申請者の氏名、住所、携帯電話番号、生年月日、年間所得、作付面積、生産量などが含まれる。

同日、学校に保護者から連絡があり問題が判明。児童の配布用ファイルに入れる際、健康診断の記録を出席番号とは逆の順番に入れたが、気付かずにそのまま配布してしまった。

同市によれば、小学校で1クラス33人分の児童個票ファイルを紛失したもの。児童の氏名、住所、電話番号、生年月日、性別、保護者氏名、保護者の勤務先、緊急時の連絡先、自宅付近の略図、児童の留意事項などが含まれる。

2022年4月12日1時前から同月14日11時半ごろにかけて、決済にあたりクレジットカード情報を入力した場合に、クレジットカードの番号や有効期限、セキュリティコードを窃取され、不正に利用された可能性がある。

商品を購入した顧客122人のほか、途中で決済を中止し、購入に至らなかった場合もクレジットカード情報を入力していた場合は影響を受けるおそれがある。

区によれば、7月13日18時前、起業セミナー参加予定者49人へファイルをダウンロードするためのURLをメールで送信したが、セミナーの資料ではなく個人情報含むファイルがダウンロードできる状態となっていた。

問題のファイルには、起業家サロンで使用した11人の氏名、電話番号、メールアドレス、自己紹介、SNS、登壇者に対する質問などの情報が含まれていた。

5月16日にメールサービス事業者から、同アカウントで海外から不審なパスワード認証が行われたことを検出し、パスワード変更を実施したとの通知があり、問題が判明した。

不正アクセスを受けた5月16日の時点で、メールボックス内に保存されていた5月2日から同日までの受信メール128件が第三者によって閲覧された可能性があるとしている。

教職員の氏名とメールアドレス46件、学生の氏名と学籍番号16件のほか、学外関係者の氏名とメールアドレス5件が含まれる。

「福祉サービス利用援助」契約に関する書類一式で、利用者の氏名、住所、電話番号、生年月日、口座番号、障害の有無、利用している福祉制度のほか、家族の氏名、住所、年齢、利用している福祉制度などが記載されている。

4月18日に社内システムで異常を確認し、サイバー攻撃を受けたことが判明。一部データが暗号化されたことを確認し、警察へ被害を相談するとともに、システムを停止して外部事業者の協力のもと調査を進めていた。

今回のサイバー攻撃で、同社やグループの退職者を含む従業員の情報が暗号化される被害が発生。氏名、住所、電話番号、生年月日、性別など含まれる。マイナンバーについては含まれておらず、外部において情報の流出は確認されていないとしている。

学外へ許可なく個人情報を持ち出していた。一部データはパスワードが設定されている。

都では、同システムのドメインをメールアドレスとして使用していないが、問題のスパムメールでは、同システムのドメインによる実在しないメールアドレスを発信元として使用。送信先は、いずれもAppleのクラウドサービス「icloud」のメールアドレスで、ユーザー名にランダムな英数字を指定していた。

同組合によれば、直売店で使用しているパソコン1台がマルウェア「Emotet」に感染し、端末内部に保存されていたメールデータが外部に流出した可能性があることが判明した。

流出の可能性があるのは、直売店より通信販売サイトの顧客へ送信したメールや顧客からの問い合わせメール。氏名、住所、電話番号、メールアドレスなどが含まれる。

市によれば、新型コロナウイルス感染症の影響により収入が減少した被保険者の国民健康保険税の減免措置において、申請書様式のファイルをウェブサイトに掲載したところ、誤ったファイルを公開していた。

更新した申請書様式を掲載する際、表計算ファイルをPDFファイルに変換せず、誤ってそのまま掲載したため、様式の欄外に記載されていた個人情報を参照できる状態となった。来庁した住民から指摘があり問題が判明し、同ファイルをサイト上より削除した。

ファイル内の情報は、94人に関する2008年当時の個人情報で、氏名、住所、被保険者証番号、市の管理番号など含まれる。7月26日18時から8月1日11時過ぎにかけて掲載し、期間中17件のアクセスがあったという。

その際に送信先を誤って宛先に設定していたため、受信者間でメールアドレスが閲覧できる状態となった。

利用明細の照会や登録内容の変更手続きなどが行えるインターネット会員サービスを提供しているが、同サイトにおいて会員のクレジットカード情報が外部に流出した可能性があることが判明したもの。

対象となるのは、7月19日から同月26日にかけて同サイトで新規登録や再登録を行った会員。クレジットカードの番号、有効期限、セキュリティコード、生年月日が外部に流出した可能性がある。本誌の取材に対し、同社は対象者を特定済みとしているが、具体的な件数については開示を差し控えるとしてコメントを避けた。

同サーバがランサムウェアに感染していることが判明し、ネットワークから隔離。外部事業者による調査を実施するとともに、警察へ被害を申告、個人情報保護委員会へ報告した。

外部事業者による調査では、6月2日22時ごろにグループ会社のネットワークへの不正アクセスが行われ、同月4日2時ごろよりランサムウェアによってサーバ内のデータを暗号化された。

大学によれば、8月3日12時過ぎに経営情報学部のオープンキャンパスへ申し込んだ242人に確認するメールを一斉送信した際、誤送信が発生したもの。宛先となったメールアドレスが受信者間に流出した。

市によれば、7月22日16時半ごろ、新型コロナウイルスに感染した児童1人の報告内容整理票を、本来ならば教育委員会へメールで送信すべきところ、誤って6年生の保護者97人に送信するミスがあったという。

誤送信したメールには、児童の氏名、年齢、性別、学年、家族構成、PCR検査日、検査結果、症状などが含まれていた。

2021年3月8日から同年10月19日にかけて、同サイトでクレジットカード決済を利用した顧客3909人に関するクレジットカードの名義、番号、有効期限、セキュリティコードが流出し、不正に利用された可能性があることが判明した。

6月3日にクレジットカード会社から情報流出の可能性について指摘があり、問題が発覚。同月6日にオンラインショップでのクレジットカード決済を停止し、外部事業者による調査を実施していた。

同市によれば、8月1日18時過ぎに同月3日に開催する電子マニフェストの操作研修会の参加者を募集するメールを建設工事業者などに向けて送信。

284件に対して3回にわけて送信したが、いずれも送信先を誤ってメールの宛先に指定したため、同一グループ内の受信者間にメールアドレスが流出した。

府によれば、7月22日、教員が説明会申込者8人にメール送信した際、送信先を誤って宛先に入力したため、受信者間でメールアドレスが閲覧できる状態になった。

府によれば、校務処理システムで必要となるデータを収集するため、府内の高校で6月から7月にかけてウェブフォームを使用し、生徒と保護者を対象にアンケート調査を実施したが、設定ミスがあり、回答結果の一覧を閲覧できる状態となっていた。

回答後の画面に表示されるリンクより回答の一覧にアクセスすることが可能で、7月20日に保護者から指摘があり問題が発覚した。

指摘を受けて同日、閲覧できないように設定を変更したが、すでに1年生240人が回答済みで、氏名、住所、電話番号、携帯電話番号、保護者の氏名、住所、続柄、緊急連絡先などが入力されていた。

3月16日に保守を担当するシステム会社から、システムファイルの改ざんが行われている可能性があるとの連絡を受け、問題が判明した。

2021年5月10日から2022年3月18日にかけて、同サイトでクレジットカード決済を利用した顧客731人が対象で、購入時に入力されたクレジットカードの名義、番号、有効期限、セキュリティコードが流出した可能性がある。

サイトを運営するベクトルによれば、同サイトの脆弱性を突く不正アクセスにより決済アプリケーションを改ざんされ、顧客のクレジットカード情報が流出し、不正に利用された可能性があることが判明した。

2021年12月7日に警察からサイトより外部に情報が送信されている可能性があるとの連絡を受け、社内調査を行ったところ不正プログラムを発見して削除。12月29日にクレジットカードによる決済を停止した。

今回の不正アクセスの影響で、2020年4月27日から2021年12月22日にかけて同サイトでクレジットカード決済を利用した顧客1万8136人において、クレジットカードの名義、番号、有効期限、セキュリティコード、ログインID、パスワードを窃取された可能性がある。

同社によれば、7月4日に従業員を詐称したメールの添付ファイルを開いたことで、パソコン3台がマルウェア「Emotet」に感染したもの。その後、なりすましメールが送信されていることを確認した。

同日、社内の全端末において「EmoCheck」によるマルウェアチェックを行い、感染端末からプロキシ経由で外部へアクセスされたログを確認。感染端末より最大で409件の氏名とメールアドレスが流出した可能性があることが判明した。

問題の墨塗り部分には、個人129人に関する氏名、住所、賦課した地番など、85の法人については賦課した地番、地積、負担金額などが含まれる。

システムの提供会社に確認したところ、端末にサイバー攻撃を受けた痕跡があり、マルウェアに感染したとする報告を翌15日に受けた。

端末内部には、2019年12月24日以降に顧客が同店へチェックインした際に入力した最大3万4425人分の宿泊名簿が保存されていた。氏名、住所、電話番号、年齢、国籍、メールアドレス、職業、会社名、パスポート番号、同室者の氏名、署名データ、パスポートスキャンデータなど含まれる。

担当職員が利用する私用のフリーメールアドレスへBCCにより同報しようとしたところ、メールアドレスの入力を誤り、関係ない第三者に誤送信した。

競技団体などのメールアドレス9件を宛先やCCに入力していたため、第三者にこれらメールアドレスが流出。

8月1日以降、誤った宛先にメールを送信しており、氏名、性別、年齢、服装、本人写真など、高齢者の個人情報4件が部外者に送信していることが明らかとなった。

同市によれば、保健所職員が許可なく個人の端末で保健所の業務資料、職員名簿、関係団体などを撮影し、保持していた。

端末内部のデータは、職員が個人で契約するクラウドサービスと自動で同期されていたが、同職員がフィッシング詐欺の被害に遭い、同サービスのアカウントを乗っ取られ、情報が流出した。

4月22日に職員が乗っ取り被害に気づき、4月25日に同市へ報告した。業務資料には、個人情報495件や法人情報2件が記載されいた。個人の氏名、住所、電話番号、生年月日のほか、保健所にて扱う情報が含まれるが、二次被害の防止を理由に具体的な内容は明らかにしていない。

現地法人ではネットワークを遮断し、システムを停止。8月23日の時点で顧客情報の流出や機密情報の外部流出は確認されていないが、セキュリティ事業を手がける同社グループ会社や現地専門家の協力のもと、被害の範囲や流出の有無など調査を進めている。

紛失した書類には、農業従事者49人分の氏名、経営農地面積、経営の意向などが記載されているという。8月5日前後に職員が所在を確認しているが、持ち出しや廃棄などは確認されておらず、以降の所在がわからない。

所在がわからなくなっているのは、大学院教育課程編成の1991年度から2011年度および2013年度のファイルで推定22冊分におよぶという。これらのファイルには、対象年度に大学院医学系研究科に在籍していた大学院生の氏名、学生番号および教員の氏名など695人分の個人情報が含まれると見られる。