デロイトトーマツサイバー（DTCY）は、ストーンビートセキュリティを買収し、完全子会社化したと発表した。両社の強みを活かし、インシデント対応をはじめ、サービス体制の強化を図る。 ストーンビートセキュリティは2015年に設立されたセキュリティ企業。ペネトレーションテスト、セキュリティコンサルティング、セキュリティ教育などのサービスを展開。 インシデント発生時の緊急対応支援を行っており、原因や情報流出について調査するデジタルフォレンジックサービスなども提供している。 DTCYでは、11月1日付でストーンビートセキュリティの全株式を取得。同社を完全子会社化した。買収額については明らかにしていない。 デロイトでは今回の買収により、両社の技術やノウハウを融合し、インシデント対応をはじめとするセキュリティサービス体制の強化を図り、サイバー人材の育成プログラムのさらなる充実などを目指す。 ストーンビート

東京都フェンシング協会は、選手や大会申込責任者に関する個人情報含むファイルを、同協会のウェブサイトに誤って掲載するミスがあったことを明らかにした。 同協会によれば、9月28日9時半から翌29日14時半ごろにかけて、2024年度東京都フェンシング個人選手権大会の申し込みデータを含むファイルを誤ってウェブサイトに掲載したもの。 問題のファイルには、選手と申込責任者1643人分の個人情報が記載されていた。選手の氏名、性別、生年月日と、申込責任者の氏名、住所、電話番号、メールアドレスが含まれる。 同協会の職員が、東京都フェンシング個人選手権大会の申込者に関する表計算データよりウェブサイト開示用の出場者名簿に編集した際、削除すべきデータシートが残ったままだったという。 同協会では、誤って掲載したファイルを削除し、PDFファイルに差し替えた。対象となる選手と申込責任者に対し、試合会場およびメールで謝罪

大阪府と大阪市が設置する「おおさかスマートエネルギーセンター」において、太陽光発電および蓄電池システムの共同購入支援事業に関する個人情報が流出したことがわかった。 大阪市によれば、見積りを希望した29人に関する個人情報が流出したもの。参加登録者の氏名、居住する市町村名、購入プランの情報などが含まれる。 施工事業者がスケジュール管理アプリの設定を誤り、2024年9月に参加登録者の個人情報がインターネット上に公開され、閲覧できる状態が発生した。 9月20日に参加登録者からの指摘を受け、問題が発覚。施工事業者がデータを削除したものの、9月26日に検索エンジンへ情報が登録されている状態であることが再び判明した。 同センターより指示を受けた施工事業者では検索エンジンに削除を依頼。10月18日に検索結果から削除されたことを確認している。 同センターでは、個人情報が流出した参加登録者に謝罪。支援事業者や

経済産業省は、国内におけるサイバーセキュリティ産業の発展や産業界全体のセキュリティ対策強化に向けて意見を公募している。 サイバー環境における脅威が巧妙化するなか、産業基盤が安定的に稼働し、デジタル化やデジタル産業の進展において自律的なセキュリティ対策が欠かせない状況にあることを踏まえ、より広い視点から分析、検討するため意見を求めている。 同庁では有識者を交えて議論を深め、海外製品が中心となっている「セキュリティビジネスの現状と取り巻く環境」をはじめ、5つの論点として整理した。 国際競争力を高めるため目指すべき「産業の姿」、政府が支援すべきプレイヤーなど「後押しすべき主体」、現状と目指す姿の間に存在する「政策的課題」などを挙げた。 さらにこれらの課題を解決するための具体的な施策や方向性の「政策的アプローチ」について意見を募集する。

欧州刑事警察機構は、ランサムウェアグループ「LockBit」の関係者4人を逮捕し、関連するサーバを押収したと発表した。 「LockBit」は、「RaaS（Ransam as a Service）」としてアフィリエイト参加者を広く募り、世界規模で攻撃が展開されているランサムウェア。政府や重要インフラをはじめ、多業種に対して攻撃を展開。2021年から2023年にかけて、リークサイトでもっとも多くの犯行声明を出しており、国内でも被害者が発生している。 同機構や複数国の法執行機関参加のもと、2月と5月に「Cronos作戦」が展開されてきたが、日本を含む12カ国の法執行機関が参加した今回の第3フェーズで、複数の関係者をあらたに逮捕し、攻撃に用いたサーバを押収したという。 フランス当局の要請で「LockBit」の開発者と見られる人物を逮捕。イギリス当局は「LockBit」のアフィリエイト参加者をサポー

大阪市は、研修受講者に受講票をメール送信する際、誤って研修受講者の個人情報含むリストを添付して送信するミスがあったことを明らかにした。 同市によれば、9月18日に委託先の東住吉区中野地域包括支援センターが、研修受講者25人に表計算ソフトで作成された受講票をメールで送信する際、2023年度の研修受講者の個人情報が記載されているリストを誤って添付して送信するミスがあったという。 翌19日に受信者から連絡があり誤送信が判明。問題のリストには、研修受講者41人分の氏名、電話番号、メールアドレス、資格、介護支援専門員登録番号が記載されていた。 同市では、誤送信先となった研修受講者にメールの削除を依頼。リストに記載されていた研修受講者には、事情の説明と謝罪を行っている。 （Security NEXT - 2024/09/30 ） ツイート

熊本県阿蘇市は、他職員のIDを利用して戸籍総合システムに不正アクセスし、戸籍情報を閲覧して家系図を作成した職員に対し、懲戒処分を行った。 同市によれば、以前部下だった他職員より聞き出したログインIDやパスワードを使用し、6月下旬より戸籍総合システムに不正アクセスを行っていたもの。 職員がアクセスする権限を持っていないにもかかわらず、支所内の戸籍総合システムの専用端末が置かれた席に座っていたことから他職員が不審に思い、問題が発覚した。 93回にわたり戸籍情報を閲覧し、戸籍情報の帳票を35部を出力。窓口で相談を受けた住民や、自身の親族に関する家系図など2件を作成していた。 同職員は、以前に市民課戸籍係長を務めた経験があり、戸籍制度全般についての知識があり、戸籍の不正な閲覧や取得が問題ある行為であることを認識していたという。

東京都練馬区は、区立こども発達支援センターにおいて、デイサービスの利用者に関する個人情報が保存されたUSBメモリが所在不明となっていることを明らかにした。 同区によれば、重症心身障害児を対象とした放課後等デイサービスの利用者12人に関する氏名、生年月日、支援方針が保存されているUSBメモリが所在不明となっているもの。パスワードなどは設定されていないという。 8月27日に区立こども発達支援センターで、同区が業務を委託している事業者の職員が、USBメモリに個人情報を保存して持ち帰ったが、同月30日に再び同メモリを使用しようとした際、紛失していることに気づいた。 同月28日に同メディアを別の事務所で使用したが、その後の所在がわからない状態となっている。 事態の判明を受けて同委託先が同区に報告。同区では対象となる保護者に事情を説明するとともに謝罪している。 今回の問題を受け、同区では委託先に対し、

日本サイバー犯罪対策センター（JC3）は、7月に「第2回フィッシングサイト撲滅チャレンジカップ」を開催した。同イベントを通じて約2200件のフィッシングサイトが停止された。 同イベントは、全国都道府県警察のサイバー防犯ボランティアがフィッシングサイトの報告、テイクダウン数を競うもので、46団体、359人が参加。7月22日正午より同月29日18時までの対処件数を競った。 3人1組のチーム戦で、フィッシングサイトテイクダウン支援ツール「Predator」を活用。ドメイン事業者やホスティング事業者に対し、フィッシングサイトへ悪用された1万2072件の「Abuse」を報告。2201件がテイクダウンされた。 京都府警の「ネット安心アドバイザー」の所属メンバーによるチーム「アクノくん」が最優秀賞を獲得。山口県警の「U3CPV」メンバーによるチーム「U3CPV」、群馬県警の学生サイバーパトロールコラボレ

東京都水道局は、都内2カ所の営業所で、契約者や関係者になりすました電話により、個人情報を詐取されたことを明らかにした。いずれも正しい情報を伝えることで、当人と信じ込ませ、情報を聞き出していた。 同局によれば、板橋営業所では7月29日、契約者の息子をかたる人物より電話があったという。電話口で名義人として登録されている正しい氏名や住所、電話番号を告げたため、職員が契約者の息子であると信じてしまい、メーター検針基準日や料金未納の有無などを伝えた。 電話を終えたあと、職員が不審に感じ、念のため登録されていた電話番号へ連絡を取ると、契約者に息子は存在せず、血縁関係がない実在する別の契約者をあたかも息子であるかのように見せかけ、情報をだまし取っていたことが判明した。 「息子」を名乗った人物は、電話口で自身も口座振替を申し込むかのように見せかけ、名乗っていた別の契約者に関する顧客番号、検針月、直近のメー

東急は、同社のネットワークが不正アクセスを受けた問題で、子会社である東光食品のファイルサーバから個人情報が流出した可能性があることを明らかにした。 同社では、同社ネットワークを侵害されたことが4月28日に判明。ログなどを調査したところ、東急ストアの子会社で同一ネットワーク環境を利用していた東光食品のファイルサーバなどから一部データを読み出されたことが判明し、事態を公表するとともに調査を進めていた。 同社は、不正アクセスを受けた原因について、構築中だったあたらしい社内ネットワーク基盤の検証用環境が脆弱な状態だったと説明。 検証用環境を経由して同社既存ネットワークへアクセスが行われ、脆弱な設定にあった東光食品が管理するファイルサーバが侵害されたという。 同社は、同ファイルサーバに含まれるすべてのデータが持ち出されたと想定。含まれるすべての個人情報を精査し、流出した可能性のある個人情報として取り

介護用品や福祉用具の製造、販売を手がける幸和製作所は、ランサムウェアを用いたサイバー攻撃を受け、一部サーバーを暗号化される被害が発生したことを明らかにした。 8月21日に外部より侵害され、サーバ内部に保存していたファイルを暗号化されたもの。翌22日に被害を確認した。 ファイル以外にも業務用ソフトウェアが暗号化され、アクセスできない状況に陥っている。 同社ではサーバを隔離し、外部協力のもと、影響の範囲について調査を進めている。また通常の業務にも影響が出ており、復旧を急いでいる。 （Security NEXT - 2024/08/23 ） ツイート

大阪市は、住民の個人情報が記載された住民票コード未採番一覧が所在不明になっていることを明らかにした。 同市によれば、戸籍の附票事務で使用する帳票「住民票コード未採番一覧」の所在がわからなくなっていることが判明したもの。 7月11日に市民局から各区役所窓口サービス課住民情報担当へ、同帳票を庁内逓送で送付したが、同月17日に港区役所から市民局に、帳票が見当たらないと連絡があり、紛失が判明した。 所在不明となっている帳票には、住民159人分の氏名、性別、生年月日、住所、本籍が記載されている。市民局と港区役所で捜索を行ったが発見できなかった。 庁内逓送は専用封筒を使用しており、外部への流出は考えにくいとしており、市民局あるいは港区役所で、不要書類として誤廃棄された可能性があるとしている。 （Security NEXT - 2024/08/16 ） ツイート

伊藤忠テクノソリューションズは、業務委託先がサイバー攻撃を受け、顧客や取引先に関する情報が外部に流出した可能性があることを明らかにした。 同社によると、ランサムウェアを用いたサイバー攻撃があり、委託業務で使用するファイル共有サービスが侵害されたもの。 攻撃者によって閲覧されたり、窃取された可能性があるファイルには、顧客や取引先に関する企業情報や個人情報が含まれていたという。 同社では、問題のファイル共有サービスに対するアクセスを制限するとともに、影響を受けた端末をネットワークから隔離。フォレンジック調査を含め、侵入経路や情報流出の有無など詳細について調査を進めている。 また個人情報保護委員会へ報告。影響を受けた可能性がある関係者に対して個別に連絡を取っている。 （Security NEXT - 2024/08/14 ） ツイート

LINEヤフーは、「Yahoo！ JAPAN ID」のログインシステムに不具合があったことを明らかにした。一部利用者では第三者に「Yahoo！メール」を閲覧されたという。 6月13日にシステムアップデートを実施したところ、不具合が含まれていたもの。6月13日13時過ぎから同月27日午前11時半ごろにかけて、SMS認証による「Yahoo! JAPAN ID」のログインにおいて、特定の条件下にある第三者がログインすることが可能だった。 具体的には、ユーザーのログイン時にSMS認証に使用する携帯電話番号の利用者が変更されていないかを確認するしくみが正常に動作していなかった。 SMS認証で利用する携帯電話番号が利用停止などにともない第三者が取得していた場合、一部のユーザーでその電話番号を用いて「Yahoo！ JAPAN ID」へログインできる状態だった。 第三者にログインされ、メールサービス「Ya

求職者と企業のマッチングプラットフォームである「Wantedly」においてシステムに設定不備があり、本来閲覧できない第三者によってページやユーザーの個人情報を閲覧できる状態だったことがわかった。 同サービスを運営するウォンテッドリーによれば、未公開であったり、削除された募集記事や企業ページにおいて、直接URLを指定することで権限がない第三者から閲覧できる状態となっていたもの。4月10日にシステムの保守点検作業を行った際に判明した。 企業ページは2016年12月19日、募集記事は2017年6月14日より閲覧可能な状態が発生。同社は4月11日までに対策を講じた。募集記事は1万3982件が対象で、メンバーとして登録されたユーザー1万6158人の氏名、所属企業、職種、プロフィール画像が閲覧できる状態だった。 さらに企業ページ1796件についても第三者により閲覧された可能性がある。同ページへメンバー

大阪府八尾市は、市立斎場の元職員が金銭目的で個人情報を第三者に提供していたことを明らかにした。元職員はすでに逮捕、起訴されている。 同市によれば、2022年10月上旬から2023年10月下旬にかけて、葬儀関連商品の販売業を営んでいた人物に対し、埋火葬許可証に記載された火葬申請者や死亡者の氏名、住所のほか、死亡した年齢、葬儀会社といった個人情報を提供。見返りに金銭の供与を受けていたという。 元職員は5月8日、地方公務員法違反、加重収賄の疑いで逮捕され、同月29日に起訴された。同市では6月12日付けで元職員を免職とする懲戒処分を実施している。 同市では、個人情報が提供された対象者に対して通知を行った。住民より、火葬後に仏具店などから資料が届いたといった情報も寄せられているという。 （Security NEXT - 2024/07/31 ） ツイート

日帰り温泉施設「瀬戸内温泉たまの湯」のサーバが侵害され、顧客に関する個人情報が外部に流出した可能性があることがわかった。 同施設を運営する宇野港土地によれば、7月11日に従業員よりシステムへアクセスできないとの報告が寄せられ、業務委託先が調査を行ったところ、サーバにおいて外部より侵害された形跡を確認したという。 今回のサイバー攻撃により、たまの湯LINEの有料会員情報6612件が流出した可能性がある。氏名、住所、電話番号、生年月日、性別などが含まれる。 くわえてレストランやレンタルサイクルのウェブ予約サービス利用者に関する4235件の氏名、住所、電話番号、団体名、メールアドレス、予約システムのログインパスワードなども被害に遭ったおそれがある。 同社ではサーバを停止し、警察と個人情報保護委員会へ報告。外部協力のもと、被害状況の確認など調査を進めている。同じパスワードを他サイトで使い回している

福岡県北九州市は、自立支援医療利用者の個人情報が記録されたメディアを紛失したことを明らかにした。誤って廃棄した可能性があるという。 同市によれば、自立支援医療利用者の5月診療分保険診療報酬支払基金連名簿データが記録された光ディスク1枚を紛失したもの。推定約1万件のデータが記録されており、氏名、年齢、生年月日、性別、医療機関コードなどが含まれる。パスワードが設定されているという。 7月10日に請求書とディスクが入った封筒を担当者が受領。同月23日に名簿データを使って業務をしようとしたが、パソコンにデータがダウンロードされていないことに気づいたという。 メディアを外部に持ち出すことはなく、7月26日の時点で被害の報告なども受けていない。領後日に支払処理のために請求書を取り出し、処理を終えたあとに封筒を廃棄しており、その際に廃棄した可能性があると説明している。 （Security NEXT -