佐賀大学は10月30日、事務情報システムの一部でランサムウェア被害が発生し、患者情報を含む個人情報が外部へ流出した可能性があると発表した。対象は学生や教職員、元学生、元教職員ら約8万人分で、9月の初報では触れていなかった患者情報の流出の恐れが新たに示された。

概要

佐賀大学は9月24日午前8時42分、事務部門が利用するNAS（ネットワーク接続型ストレージ）で、ランサムウェアによると思われる被害を確認した。その後、外部の専門事業者による調査で、個人情報が流出した可能性があることが判明したとされる。

発生当初は、教育・研究・診療業務に関するシステムへの影響は確認されていないとしていた。今回の発表は、その後の調査結果を踏まえて内容を改めたものである。

佐賀大学の発表によると、時系列は次のとおり。

9月24日、NASでの被害を確認した。CSIRTを中心に初動対応を開始し、同日午後4時45分に事務用端末の利用を停止した。読売新聞によると、停止した端末は約500台とされる。

9月25日、同大は被害の発生を公表した。被害の発生は9月25日に公表されており、ファイルの改変などが確認されたという。

9月27日、午前11時3分に事務用端末の利用を再開した。9月28日からは通常業務を再開した。

9月28日、学内システムにログインするための教職員や学生のIDとパスワードが流出した可能性があると発表した。このとき実害は確認されていなかった。

10月30日、個人情報が外部へ流出した可能性を確認したと発表した。同日、記者会見も開いた。

システム内のファイルが改ざんされていたほか、脅迫文も確認されているという。一方、脅迫文の形式や内容は明らかにされていない。感染経路は公表されておらず、調査中とみられる。

被害・影響の範囲

対象件数は、学生、教職員、元学生、元教職員、関係者等で約80,000人分とされる。患者情報の件数は調査中である。

流出の恐れがあるのは、氏名、生年月日、性別、住所、電話番号、メールアドレス、パスワードである。大学と関連する医療機関の患者については、診療科、傷病名、受診日などが含まれる。診療科や傷病名などは要配慮個人情報にあたる。

患者情報の対象について、佐賀新聞は患者名や診療科、傷病名などが対象と報じている。管理されていたデータは過去数年分で、相当の数とされる。

二次被害については、被害は確認されておらず、相談や苦情も寄せられていないという。ほかの組織への影響拡大は、確認できた範囲では公表されていない。

企業・団体の対応

青木茂久副学長は記者会見で、関係者に心配と多大な迷惑をかけたことを深くおわびした。

同大は文部科学省等へ報告を行い、警察へ相談した。外部専門事業者に調査を依頼し、感染経路と影響範囲を調べてきた。個人情報保護委員会への届出については、確認できた範囲では公表されていない。

被害が確認された機器は速やかにネットワークから隔離された。関係部署へのヒアリングや影響範囲の調査、事務用端末の利用停止の周知なども行われた。

野出孝一学長は9月28日の会見で、全教職員と学生のパスワードを変更し、認証管理の強化を進める考えを示した。

今後について、同大は引き続き調査を行い、情報セキュリティ対策の強化と再発防止に努めるとしている。

編集部コメント（読者企業が取るべき対策）

今回の事案では、初報の時点では影響が限定的とされていたが、外部調査で流出の可能性が判明した。復旧して業務を再開した後でも、流出の有無や範囲の調査は続くことを前提に備える必要がある。また、認証情報や要配慮個人情報が同じ環境に保管されていた点は、保管場所の見直しを考える材料になる。

ファイルサーバーとNASの棚卸し
事務部門が使うNASなど、部門単位のストレージに個人情報が置かれていないか洗い出す。保管場所、アクセス権限、保存期間を一覧にし、不要なデータは削除または分離する。

認証情報の保護と多要素認証
パスワードが流出した場合に備え、全利用者の一括変更を速やかに行える手順を用意しておく。あわせて、多要素認証の適用範囲を広げ、使われていないアカウントも整理する。パスワードを平文や容易に復元できる形で保管していないかも確認する。

バックアップと隔離の手順
ランサムウェアの被害に備え、バックアップをネットワークから切り離して保管し、復元訓練を行う。被害機器を直ちに隔離する判断基準と連絡体制も、事前に決めておく。

初報から続報への情報発信
初動の段階で、判明していることと調査中のことを分けて公表する体制を整える。今回のように、調査の進展に応じて対象範囲が広がる場合がある。関係者への案内文や問い合わせ窓口は、あらかじめ準備しておくとよい。

流出情報を悪用した詐欺への備え
氏名や連絡先、パスワードが流出した可能性がある場合は、フィッシングや不審な連絡への注意喚起を早めに行う。同じパスワードを他のサービスで使い回さないよう、利用者に呼びかける。

なお、患者情報の件数や感染経路は現在調査中とされている。今後の続報に注意されたい。

出典

• 佐賀大学広報室（10月30日付発表）
• 佐賀大学広報室（9月の初報）
• 佐賀新聞
• 日本経済新聞
• 読売新聞オンライン（Yahoo!ニュース）

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから