琉球銀行の社外クラウドへ不正アクセス、最終報告を発表

　株式会社琉球銀行は8月10日、6月24日に公表した社外のクラウド型管理システムへの不正アクセスについて、調査結果を発表した。6月7日の不正アクセス判明から本最終報告まで64日間要した。

　同行では6月7日に、社外のシステム保守会社が「りゅうぎんWeb申込サイト」の顧客情報・申込情報を管理する外部クラウド型管理システムのログを調査したところ第三者からの不正アクセスが判明した旨の報告があり、対応検討と全容把握のため調査を進めたところ、社外のクラウド型管理システムにおけるセキュリティ設定の不備が原因で、顧客情報への不正アクセスが確認されていた。

　同行によると、不正アクセスが確認されたサービスは「りゅうぎんWeb申込サイト」のみで、同じ社外のクラウド型管理システムを利用する「来店予約サービス」については、原因究明と対策のために6月23日から一時サービスを停止していたが、不正アクセスは確認されなかった。7月6日に「りゅうぎんWeb申込サイト」「来店予約サービス」のサービスを再開している。

　また第三者による不正アクセスの範囲として、6月24日には445件と公表していたが、追加調査の結果、245件である旨を確認している。対象の情報は下記の通り。

・共通事項：姓・名、登録メールアドレス
・一部顧客に関する事項：電話番号、携帯電話番号、生年月日、性別、住所、職業、職場の名称、職場の電話番号、「りゅうぎんWeb申込サイト」に入力した店舗名・店番・口座番号

　同行では6月21日から、連絡可能な顧客に、メール、文書の郵送及び電話にて、説明と謝罪を行うとともに、二次被害に関する注意喚起と被害に遭った際の問い合わせ先の案内を行っている。

　同行では今後、社外クラウド型システムの利用に対するセキュリティの強化と定期的な見直しを行い、再発防止に努めるとのこと。