4月18日週にかけて発生したセキュリティに関する出来事や、サイバー事件をダイジェストでお届け。

IPA、ゴールデンウィークのセキュリティ対策

情報処理推進機構（以下、IPA）は、ゴールデンウィークの長期休暇に向けた情報セキュリティ対策を公開した。企業などの管理者向け、企業などの利用者向け、個人向けに分けて紹介し、長期休暇前後に行うべき内容をまとめている。

管理者向けの内容は、休暇前に不測の事態が発生したときの委託先企業への連絡、対応手順を明確にしておくことが第一。使用しない機器の電源をオフにしておくことも大切。休暇中は、社内ネットワークへ機器を接続する予定がある場合、社内の機器接続ルールを事前確認して必ず遵守する。長期休暇が終了したら、修正プログラムの確認と適用、セキュリティソフトを更新（定義ファイルなど）、サーバーなど各種ログの確認も行うべきとしている。

利用者向けの内容は、長期休暇中に在宅で作業をする場合における、機器やデータの持ち出しルールを把握してこれを遵守する。使わない機器については、電源を入れっぱなしにせず必ずオフにしてから作業を終わること。持ち出したデータは厳重に管理し、長期休暇明けにはOSやアプリケーションの修正プログラム、セキュリティソフトの定義ファイルなどをチェック。必要に応じて更新する。持ち出した機器については、ウイルスチェックを実行し、不審なメールは意識して警戒するようにしたい。

個人向けとしては、例えばSNSで旅行の計画を書き込むと、不在中の自宅を狙われる可能性があるという。内容には十分注意することだ。ほかにも、偽のセキュリティ警告、メールやSMSなどでの不審な添付ファイルやリンクなどを警戒するように。

中国電力の広島カスタマーセンターで個人情報記載の資料を紛失

中国電力の広島カスタマーセンターにおいて、個人情報を記載した資料の紛失が発生した。この資料は、電気料金の支払いに使用するクレジットカード情報に変更などがあった場合に内容を審査する目的で使用するもの。4月13日に資料の移設作業を行ったとき、一部を紛失したとのこと。捜索したが発見には至ってない。

資料には、13,772名分の情報が記載されていた。詳細は、契約番号、契約名義、カード会社、ブランド名など。ただし、クレジットカード番号、住所、電話番号の記載はなく、二次利用による被害は確認していない。

資料を保管していた執務室は、オートロックでの施錠に加えて、事前に登録した社員および委託会社の委託社員のみ立ち入りできる状態で、監視カメラによる調査でも資料を持ち出している様子はなかった。このため、第三者による持ち出しはなく、事務所内で資料を誤って廃棄した可能性が高い。このことから、被害が拡大する可能性は低いとしている。

中国電力は再発防止策として、資料管理状況の確認などを徹底し、正確な原因が判明しだい同様の事態が起きないよう管理方法を見直す。

京都駅ビル開発のサーバーに不正アクセス、顧客情報流出の可能性

京都駅ビル開発のサーバーが不正アクセスを受け、個人情報が流出した可能性がある。この不正アクセスは、2022年4月9日に同社のサーバーに障害が発生したことで発覚。調査の結果、部内業務で使用するクラウドサーバーが不正アクセスを受けたことが分かった。サーバーに保存していた部内業務資料には個人情報が一部含まれており、流出の可能性を否定できない。不正アクセスの侵害経路などについては、現在も調査中。

流出した可能性のある個人情報は、顧客情報が約950件、取引先情報が約3,400件、社員および退職者情報などが約300件となる。情報には氏名、住所、役職名、電話番号、メールアドレスなどを含んでいる。なお、クレジットカード情報は保存していない。

同社は情報流出の可能性のある顧客に郵送で連絡している。なお、京都駅ビルの建物設備の故障や、利用している人への影響はないという。

エイトデザイン、インスタアカウントの乗っ取り被害

エイトデザインの公式インスタグラムアカウントが乗っ取り被害に遭った。同社スタッフがFacebookからの連絡を装ったフィッシングサイトを開いたことが原因。以降、当該アカウントにアクセスできなってしまった。

この被害による個人情報の流出は約50件。同社の公式インスタグラムアカウントをフォローしているユーザーのうち、ダイレクトメッセージで名前、住所、電話番号、メールアドレスを記載していた人の情報が流出したとみられる。公式インスタグラムアカウントについては、4月15日に復旧が完了している。

スマホゲーム「イケメン戦国」で不正アクセスによるアクセス障害

サイバードが運営するスマートフォン用ゲーム「イケメン戦国」が不正アクセスを受けた。これによりアクセス障害が発生している。

アクセス障害の原因は、第三者からの不正アクセスによるもの。4月7日22時ごろから発生しており、当初は原因が分からなかったものの、調査の結果、不正アクセスの可能性が高いとの結論に達した。障害の影響範囲は、Google Play、App Store、dゲーム、Ameba、DMM GAMESにおよぶ。

4月22日の続報によると、ゲーム内の設定情報といったデータが破損しており、4月末までにサービス再開の目途を告知する予定となっている（復旧状況によって前倒しや延期の可能性もあり）。

同社は今後の対応として、復旧に向けて全力を尽くすとともに、復旧後には障害についての詳細報告、障害発生に伴う補填などを告知するとしている。開催中のイベントの延長や、予定していたイベントについても、復旧が完了しだい対応していく。

NHKを騙るフィッシングに注意

4月19日の時点で、NHKを騙るフィッシングメールが拡散している。メール件名の一例は以下の通り。

  • 【NHK】ご利用手続きメール
  • 【NHK】アップグレード通知（2022年4月20日 追記）

メールでは、「利用規約を改訂したため契約者はNHKのインターネットアカウントを登録する必要がある」などと記載し、登録サイトへと誘導する。リンク先はNHKプラスのID登録のページで、名前、住所、メールアドレス、クレジットカード情報などの情報入力欄を設けたフィッシングサイトだ。入力すると情報窃取の可能性があるので、決して情報を入力しないようにしてほしい。