今日もどこかで情報漏えい 第25回「2024年5月の情報漏えい」“いたずらに混乱” しているのは誰

　今日もどこかで情報漏えいは起きている。

　大きいところでは誰もが社名を耳にしたことがある東証プライム上場企業や霞ヶ関の政府機関、小さなところでは従業員数名規模の企業や市町村役場に至るまで、毎日、あなたの知らないところで漏えい事件は起き続けている。

●インシデント原因内訳

　さて、先月 2024 年 5 月に本誌が取り上げた事故・インシデント記事は 2024 年 4 月の 61 本から 22 本減となる全 39 本だった。事故原因最多は「不正アクセス」で 27 件（ 69.2 ％）を占め、「システム管理上のミス」が 4 件（ 10.3 ％）と続いている。なお、記事として取りあげるインシデントは媒体方針に基づいているため、これらの比率は全体傾向を示すものではない。

情報漏えい原因別記事一覧：不正アクセス
https://scan.netsecurity.ne.jp/special/3359/recent/

情報漏えい原因別記事一覧：メール誤送信
https://scan.netsecurity.ne.jp/special/3358/recent/

情報漏えい原因別記事一覧：設定ミス
https://scan.netsecurity.ne.jp/special/3457/recent/

●被害規模ワースト

　5 月に最も件数換算の被害規模が大きかったのは、株式会社イズミによる「ゆめタウン運営イズミへのランサムウェア攻撃、VPN 装置から侵入」の最大 7,784,999 件だった。前月の株式会社エムケイシステムに続き、今月も 700 万件超えという途方もない数字だ。ところで、ゆめタウンのお膝元である中国地方（岡山県、鳥取県、広島県、島根県、山口県）の人口が約 700 万人らしいが、今回の漏えい人数は最大値とは言え、それよりも多い数字である。中国地方の全住人がゆめカード会員であったといっても過言ではないのかもしれない。

【 2024 年 5 月 被害規模ワーストトップ 3 】
3 位：「マルカワみそ公式サイト」に不正アクセス、カード情報に加えログイン用パスワードも漏えい
原因：不正アクセス
件数：110,279 名
https://scan.netsecurity.ne.jp/article/2024/05/14/50990.html

2 位：ペットフード取り扱いバイオフィリアに不正アクセス、顧客の個人情報が外部にダウンロード
原因：不正アクセス
件数： 234,962 件
https://scan.netsecurity.ne.jp/article/2024/05/21/51029.html

1 位：ゆめタウン運営イズミへのランサムウェア攻撃、VPN 装置から侵入
原因：不正アクセス
件数：最大 7,784,999 件
https://scan.netsecurity.ne.jp/article/2024/05/16/51008.html

●よく読まれた記事

　5 月の記事閲覧数ベスト 3 は下記の通りである。1 位～3 位までが、SCAN としては圧巻の 1 万ページビューと数字的に豊作であった。通常の月ならどのニュースも文句無しの 1 位であっただろう。まさに、大漏えい時代到来と言わざるをえないのかもしれない。

　2 位にランクインした、株式会社エンドレスのサーバのランサムウェア感染被害だが、エンドレスが FortiGate200F の設置を依頼したスターティア株式会社が、リモートアクセス接続テスト用に使用していた test アカウントを削除せずに納品したことで、悪意のある第三者が test アカウントを使用してサーバに侵入したことが原因だそうだ。本連載で以前もネタにした気がするが、今回も手塚治虫の「ブラック・ジャック」で患者の体内にメスを置き忘れてしまうエピソードを思い出してしまった。test アカウントの取り扱いには気をつけたい。

【 2024 年 5 月閲覧数ベスト 3 】
3 位：ゆめタウン運営イズミへのランサムウェア攻撃、VPN 装置から侵入
13,772 ページビュー
https://scan.netsecurity.ne.jp/article/2024/05/16/51008.html

2 位：ランサムウェア被害の原因はスターティア社の UTM テストアカウント削除忘れ
14,530 ページビュー
https://scan.netsecurity.ne.jp/article/2024/05/02/50949.html

1 位：護衛艦いなづまの艦長、資格のない隊員を特定秘密取扱職員に指名し懲戒処分
15,729 ページビュー
https://scan.netsecurity.ne.jp/article/2024/05/07/50956.html

●クレジットカード情報漏えい事故一覧

　5 月は 6 件のクレジットカード情報漏えい事故が本誌メルマガに掲載された。先月取り上げた「マルカワみそ公式サイト」の事案は、新たにログイン用パスワードの漏えいが判明したとのことで今月も掲載しているが、カード情報の漏えい件数には増減はないとのこと。なお、下記で件数として挙げているのは全てカード情報のみである。

「味市春香なごみオンラインショップ」に不正アクセス、16,407件のカード情報が漏えい
件数：16,407 件
https://scan.netsecurity.ne.jp/article/2024/05/01/50940.html

「マルカワみそ公式サイト」に不正アクセス、カード情報に加えログイン用パスワードも漏えい
件数：5,447 件（4,851 名）
https://scan.netsecurity.ne.jp/article/2024/05/14/50990.html

「JFおさかなマルシェ ギョギョいち」に不正アクセス、カード情報が漏えいした可能性
件数：不明
https://scan.netsecurity.ne.jp/article/2024/05/23/51044.html

「Kemari87KISHISPO公式通販サイト」に不正アクセス、13,879 名のカード情報漏えい
件数：13,879 名
https://scan.netsecurity.ne.jp/article/2024/05/22/51036.html

ジョイフル本田「THE GLOBE・OLD FRIEND オンラインショップ」に不正アクセス、3,958 件のカード情報漏えいの可能性
件数：3,958 件
https://scan.netsecurity.ne.jp/article/2024/05/21/51030.html

「松井酒造合名会社 ECサイト」に不正アクセス、174 名分のカード情報が漏えい
件数：174 名
https://scan.netsecurity.ne.jp/article/2024/05/21/51027.html

　さて、カード情報の漏えいに関しては、発覚から発表まで早くて数ヶ月、下手をしたら 1 年以上経ってから公開という「安全運転」もザラにあるが、打って変わって全国漁業協同組合連合会が運営する「JFおさかなマルシェ ギョギョいち」の対応は迅速だった。

　5 月 14 日に警視庁から連絡がありカード情報の漏えい懸念が判明後、なんと 3 日後の 5 月 17 日には公表し、顧客への注意を促しているのだ。5月14日は火曜日で5月17日は金曜日。取材による裏付けはもちろんとっていないが「週をまたがせない」という決意めいたものすら感じる。「緊急対応で疲れ切った部下と業者の人も土日だけはしっかり休んでほしい」そんな指揮官のあたたかい配慮すらプレスリリースの行間から読み取ってしまった俺、もう妄想の域。

　従来のカード情報漏えいに関するリリースでは、ほぼ確実に「公表が遅れた経緯について」なる項目を設けて、「（前略）不確定な情報の公開はいたずらに混乱を招き～（中略）～発表は調査会社の調査結果、およびカード会社との連携を待ってから～（後略）」と、その「安全運転」の理由を弁明しているが、全国漁業協同組合連合会では第三者調査機関による調査と並行して発表に踏み切っている。漏えいした恐れのある件数等を公表していないこともこの迅速な対応であれば充分に納得できるものである。

　「JFおさかなマルシェ ギョギョいち」のこのユーザー本位の拙速のすばらしい対応によって果たしていったいどこの誰が「いたずらに混乱している」のかと猛烈に問いたい。情報漏えい発生時に「いたずらに混乱」しているのはむしろ当該組織の中の人たちではないのか、そうここで仮説も提示したい。

　いずれにせよ情報漏えいの公表のあり方に小さいながら一石を投じたと言って良いだろう。

● 5 月の懲戒・損害賠償案件

　5 月は情報漏えいに伴う逮捕、懲戒処分、行政指導等にまつわるニュース記事が 6 件もあった。米不足が叫ばれる昨今であるが、情報漏えい界隈は今月も豊作である。