同時に複数人が登録すると全員に同一IDを発行する「設計」、雇用助成金等オンライン受付システム絶賛改修中(厚生労働省) | ScanNetSecurity
2024.04.29(月)

同時に複数人が登録すると全員に同一IDを発行する「設計」、雇用助成金等オンライン受付システム絶賛改修中(厚生労働省)

厚生労働省は6月2日、雇用調整助成金等オンライン受付システムの不具合による停止について、6月5日午前12時に運用再開予定と発表した。

インシデント・事故 インシデント・情報漏えい
トップページ
トップページ 全 5 枚 拡大写真
厚生労働省は6月2日、雇用調整助成金等オンライン受付システムの不具合による停止について、6月5日午前12時に運用再開予定と発表した。

これは5月20日に、雇用調整助成金等オンライン受付システムにおいて、同一時刻に登録した複数の申請者間で、事業所の担当者名やメールアドレス等が閲覧可能となる不具合が判明し、同システムを停止していたが、6月5日午前12時に運用を再開するというもの。

同省によると5月20日午前8時32分に、同システムをインターネットに接続し登録可能な状態としたが、午前10時20分に事業主から、同省や労働局、コールセンターに、不具合の電話連絡が複数入り、システム開発業者でも不具合を確認、午前10時40分にはシステム開発業者に同システムを停止するよう指示、午前10時45分には新規登録機能を停止、午前11時にログイン機能を停止し、午後1時33分にはサーバを停止した。

同省の調査によると、同システムの初回登録時に、登録者にシステム上で利用者を判別するためのIDを付与するが、複数のユーザーが同時刻に登録作業を行った場合に同一IDを付与する設計となっており、同一IDが付与された場合のエラーチェックが実装されていなかったことが原因。複数の事業者に同一IDが付与されていた。

同一IDが付与された登録者間で閲覧された可能性のある情報と件数は下記の通り。

1.申請の初期登録
項目:メールアドレス、担当者氏名、電話番号、社労士番号(社労士が代行した場合)、社労士の所属事業所名(社労士が代行した場合)
件数:447件(1 ID当たり2事業所)、91件(1 ID当たり3事業所)、8件(1 ID当たり4事業所)、1件(1 ID当たり5事業所)、1件(1 ID当たり6事業所)、延べ1,210事業者

2.申請情報の登録(申請作業中)
項目:助成金種別、手続きの種別、雇用保険適用事業所番号、事業所名、住所、電話番号、金融機関口座番号(全桁)、金融機関名、金融機関店舗名、連絡事項
件数:31件(28事業者)

3.申請完了時のメール
項目:助成金申請番号、申請受付年月日、助成金種別、支給対象月、雇用保険適用事業所番号、事業所名、事業所の住所、電話番号、金融機関口座番号の下4桁、金融機関名、金融機関店舗名
件数:3件(3事業者)

なお、上記以外に添付書類(申請書、添付資料である従業員の給与明細など)について、アップロード(システムへ掲載)していたものが20件(申請作業中6件、申請済み14件)あったが、システムの利用状況をログ記録に基づいて調査したところ、申請者本人以外のダウンロードは確認されなかった。

同省では、登録作業を行った事業者全てに登録者データと申請データを破棄を依頼、メールで謝罪を行うとともに、複数の申請者に同一のIDが付与された事業者に対しては電話でも謝罪を行った。

同省では現在、初回登録時に付与するIDが重複しないよう仕組みを見直すとともに、登録段階でIDが重複していないことを確認する仕組みを追加するシステム改修を行っており、6月5日午前12時に運用を再開予定。

《ScanNetSecurity》

関連記事

この記事の写真

/

特集

PageTop

アクセスランキング

  1. 今日もどこかで情報漏えい 第23回「2024年3月の情報漏えい」なめるなという決意 ここまでやるという矜恃

    今日もどこかで情報漏えい 第23回「2024年3月の情報漏えい」なめるなという決意 ここまでやるという矜恃

  2. 雨庵 金沢で利用している Expedia 社の宿泊予約情報管理システムに不正アクセス、フィッシングサイトへ誘導するメッセージ送信

    雨庵 金沢で利用している Expedia 社の宿泊予約情報管理システムに不正アクセス、フィッシングサイトへ誘導するメッセージ送信

  3. セトレならまちで利用している Expedia 社の宿泊予約情報管理システムに不正アクセス、フィッシングサイトへ誘導するメッセージ送信

    セトレならまちで利用している Expedia 社の宿泊予約情報管理システムに不正アクセス、フィッシングサイトへ誘導するメッセージ送信

  4. スペシャリスト集結! マネーフォワード・ラック・富士ソフト・電通総研から学ぶ、脆弱性診断内製化の成功法則とは? AeyeScan 導入企業との公開対談

    スペシャリスト集結! マネーフォワード・ラック・富士ソフト・電通総研から学ぶ、脆弱性診断内製化の成功法則とは? AeyeScan 導入企業との公開対談PR

  5. 重い 高い 検索も使いにくいメールを企業の 6 割が使う理由

    重い 高い 検索も使いにくいメールを企業の 6 割が使う理由

  6. TvRock にサービス運用妨害(DoS)と CSRF の脆弱性

    TvRock にサービス運用妨害(DoS)と CSRF の脆弱性

  7. NETGEAR 製ルータにバッファオーバーフローの脆弱性

    NETGEAR 製ルータにバッファオーバーフローの脆弱性

  8. 富士通の複数の業務パソコンにマルウェア、個人情報を含むファイルを不正に持ち出せる状態に

    富士通の複数の業務パソコンにマルウェア、個人情報を含むファイルを不正に持ち出せる状態に

  9. NDIAS「車載器向けセキュリティ技術要件集」活用したコンサルサービス提供

    NDIAS「車載器向けセキュリティ技術要件集」活用したコンサルサービス提供

  10. 札幌で「CSIRT のはじめ方」ワークショップ 5/16 開催、北海道在勤在住者は参加費 5 万円が無料

    札幌で「CSIRT のはじめ方」ワークショップ 5/16 開催、北海道在勤在住者は参加費 5 万円が無料

ランキングをもっと見る