今日もどこかで情報漏えいは起きている。
大きいところでは誰もが社名を耳にしたことがある東証プライム上場企業や霞ヶ関の政府機関、小さなところでは従業員数名規模の企業や市町村役場に至るまで、毎日、あなたの知らないところで漏えい事件は起き続けている。
●インシデント原因内訳
さて、先月 2024 年 7 月に本誌が取り上げた事故・インシデント記事は 2024 年 6 月の 47 本から約 2 倍となる全 91 本だった。凄まじいものがある。事故原因最多は「不正アクセス」で 60 件（ 65.9 ％）を占め、「システム管理上のミス」が 11 件（ 12.1 ％）、「誤送信ほか操作ミス」が 6 件（ 6.6 ％）と続いている。なお、記事として取りあげるインシデントは媒体方針に基づいているため、これらの比率は全体傾向を示すものではない。
情報漏えい原因別記事一覧：不正アクセス
https://scan.netsecurity.ne.jp/special/3359/recent/
情報漏えい原因別記事一覧：メール誤送信
https://scan.netsecurity.ne.jp/special/3358/recent/
情報漏えい原因別記事一覧：設定ミス
https://scan.netsecurity.ne.jp/special/3457/recent/
●被害規模ワースト
7 月に最も件数換算の被害規模が大きかったのは、東京ガス株式会社と東京ガスエンジニアリングソリューションズ株式会社（TGES）による「東京ガスエンジニアリングソリューションズのネットワークに不正アクセス、約 416 万人分の個人情報が流出した可能性」の約 416 万人だった。日本のクオリティペーパー朝日新聞の 343.7 万部を上回る圧巻の数字である。流石、東京ガスほどのクラスになると、持っている個人情報の数も桁違いであった。
個人情報保護委員会が尼崎市USBメモリ紛失事案に関し委託先2者に行政上の対応
https://scan.netsecurity.ne.jp/article/2023/03/08/49028.html
3 位のワークスタイルテック株式会社のクラウド労務管理サービス「WelcomeHR」での個人データの漏えいについては、既に過去で取り上げたものであるので、その規模について再度言及はしないが、今回はクライアントやエンドユーザーに安心して貰えるようサイバー保険に加入したというリリースであった。クライアントやユーザーにとっては漏えい事故に遭わないことが最重要であり、その為の対策を充実させることが安心につながると筆者は考えるが、ワークスタイルテックにとっては、漏えい事故に遭ったとしても補償されることがユーザーへの安心につながるという考えのようだ。全額保険金が出るなんて万に一つもないし、保険金支払いまで下手すると一年二年かかるのではとは思いつつも、事業継続という観点からは一定の合理性はあるだろう。
なおこの保険加入のリリースは 5 月末に出されたものであり本誌掲載まで実に 2 ヶ月半の期間を経ている。本誌が「インシデント発生から公表まで ○ 年経っていた」などと日頃したり顔で書いていることを考えると信じがたい日数である。これだけの期間を要したのは事実を正直に申し上げれば編集部の「補足漏れ」である。サボっている訳ではなく件数が多いのでこういった事象はときおり発生する。2 ヶ月半も経ったものを「News」として掲載することは商業メディアとして恥であり大いにためらわれる。また、こういう速報ならぬ遅報記事を出すとＸで「何か新しい動きがあったのかと思って読んだらそうでなかった。ScanNetSecurity には今回もガッカリさせられた」というポストをわざわざ上げていただく方もいらっしゃるので期待を裏切ったことに忸怩たる思いもある。
実は補足漏れによってかなり日数が絶ってから気づいて「さすがに今から出すのはちょっと…」という保身一辺倒の判断で記事化を見送ったインシデントは少なからず存在する。しかし記録として残しておくというのもまた SCAN のようなメディアの役割でもある。筆者は、東証プライム上場企業を含むさまざまな企業から記事削除依頼が 1998 年の創刊以来編集部に日々届いていると聞いているが、すべてに正論で対処し SCAN が過去一件も記事削除を行っていないことには一定の意味があると思う。
何を申し上げたいかといえば、こういう事情でだいぶ過去の記事が載ることがあります、ということである。日々努力を重ねて参ります。もし記録価値があるインシデントが掲載されていないことにお気づきの場合お気軽にお知らせ下さい。
【 2024 年 7 月 被害規模ワーストトップ 3 】
3 位：「WelcomeHR」サイバー保険に加入
原因：不正アクセス
件数：158,929 人
https://scan.netsecurity.ne.jp/article/2024/07/18/51326.html
2 位：イセトーへのランサムウェア攻撃で豊田市の推定 42 万人分の個人情報が漏えい、被害発生時は契約に基づき対応
原因：不正アクセス
件数：42 万人
https://scan.netsecurity.ne.jp/article/2024/07/11/51288.html
1 位：東京ガスエンジニアリングソリューションズのネットワークに不正アクセス、約 416 万人分の個人情報が流出した可能性
原因：不正アクセス
件数：約 416 万人
https://scan.netsecurity.ne.jp/article/2024/07/25/51367.html
●よく読まれた記事
7 月の記事閲覧数ベスト 3 は下記の通りである。2 位までが 1 万ページビュー超えで SCAN 編集部内のバーチャル株価は引き続きストップ高であった。
2 位のイセトーでは日本生命保険以外にも多くの自治体や企業から被害が公表されており、SCAN でも7月に「イセトー」がタイトルに入った記事を 9 件、配信している。 7 月は全 91 本の記事を配信したが、うち 1 割がイセトー関係だった計算になる。タイトルに「イセトー」と記載のある記事のページビューの合計は 37,961 ページビューでまさに SCAN を席巻したといっても過言ではないだろう。7 月はイセトーの月であった。
【 2024 年 7 月閲覧数ベスト 3 】
3 位：新日本製薬にランサムウェア攻撃、全ての業務は通常通り稼働
8,907 ページビュー
https://scan.netsecurity.ne.jp/article/2024/07/17/51318.html
2 位：イセトーへのランサムウェア攻撃で日本生命保険の個人情報が漏えい
18,008 ページビュー
https://scan.netsecurity.ne.jp/article/2024/07/17/51316.html
1 位：富士通の複数の業務パソコンに高度な手法で攻撃を行うマルウェア、複製指示のコマンドを実行し拡大
23,761 ページビュー
https://scan.netsecurity.ne.jp/article/2024/07/23/51351.html
●企業が従業員のカード情報を保持する理由とは
7 月は 6 件のクレジットカード情報漏えい事故が本誌メルマガに掲載された。なお、下記で件数として挙げているのは全てカード情報のみである。
「アルファユニ 公式ショップ」に不正アクセス、1,054名分のカード情報が漏えい
件数：1,054 名
https://scan.netsecurity.ne.jp/article/2024/06/26/51197.html
「アカデミア・ミュージック」に不正アクセス、4,324 名のカード情報が漏えいの可能性
件数：4,324 名
https://scan.netsecurity.ne.jp/article/2024/06/28/51212.html
建材通販サイト「hags-ec.com」に不正アクセス、1,432 名のカード情報が漏えいした可能性
件数：1,432 名
https://scan.netsecurity.ne.jp/article/2024/07/10/51283.html
北海道産地直送センターに不正アクセス、18,443 名のカード情報が漏えいした可能性
件数：18,443 名
https://scan.netsecurity.ne.jp/article/2024/07/10/51282.html
東京ガスエンジニアリングソリューションズのネットワークに不正アクセス、約 416 万人分の個人情報が流出した可能性
件数：8 件
https://scan.netsecurity.ne.jp/article/2024/07/25/51367.html
「オリーブ牛の肉のヒガシハラ」に不正アクセス、1,703 名のカード情報が漏えい
件数：1,703 名
https://scan.netsecurity.ne.jp/article/2024/07/25/51365.html
6 件中 5 件は、よくある「Webサイトのシステムの一部の脆弱性をついたことによる第三者の不正アクセスでペイメントアプリケーションの改ざんが行われた」云々なのだが、1 件だけ気になるものがあった。それは被害規模ワーストで 2 位以下を桁違いで引き離して 7 月のトップを獲得した東京ガス株式会社と東京ガスエンジニアリングソリューションズ株式会社（TGES）への不正アクセスである。何故か約 416 万人という途方もない数字の中に、僅か 8 件だけクレジットカード情報があるというのだ。 8 件のカード情報は TGES の従業員等のものであるらしいのだが、給与振り込み等に使う口座情報ならともかく、企業が従業員のカード情報を保持する必要性が浅学な筆者には理解できなかった。
● 7 月の懲戒・損害賠償案件
7 月は情報漏えいに伴う逮捕、懲戒処分、行政指導等にまつわるニュース記事は 4 件だった。内訳は逮捕 2 件、行政指導 2 件だった。逮捕の 2 件はともにリリースでは何故、逮捕に至ったのか詳細が語られなかったのが残念だった。
