大阪市行政オンラインシステムでアララへの不正アクセスにより利用者情報が漏えいした可能性｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. 大阪市行政オンラインシステムでアララへの不正アクセスにより利用者情報が漏えいした可能性
             

大阪市行政オンラインシステムでアララへの不正アクセスにより利用者情報が漏えいした可能性



大阪市は11月3日、行政オンラインシステムが利用するアララ株式会社のメール配信サービスが不正アクセスを受け、利用者の情報が漏えいした可能性があると発表した。漏えいの有無と件数は調査中で、新規登録などができない状態が続いている。

概要

大阪市行政オンラインシステムは、住民票の写しの請求などの行政手続きをオンラインで行うシステムである。市の発表によると、システム提供事業者の株式会社TKCが利用するアララ社のメール配信サービスが第三者による不正アクセスを受けた。これにより、利用者のメールアドレスや氏名等の情報が漏えいした可能性があるとの報告が市にあったという。

大阪市の発表によると、時系列は次のとおり。

10月31日17時40分頃から、被害の拡大防止を目的とした緊急メンテナンスにより、システムからメールが送信できない状況となった。

11月2日、システム提供事業者から市に対し、外部サービスへの不正アクセスにより利用者の情報が漏えいした可能性がある旨の報告があった。

11月3日13時、市が第1報として報道発表を行った。

アララ社の発表では、原因は次のようにされる。既報の「Webサーバーの脆弱性」に加え、システム環境の問題も関係していたとされる。アララ社は11月2日に第2報を公表している。約7,700万件のメールアドレスが外部に持ち出されたとし、この件数には持ち出されたおそれがある分も含まれ、精査中という。10月31日にはサービスの提供をすべて停止し、再開時期は未定としている。

またアララ社によると、サービスは不審メールの送信にも悪用された。10月28日から30日に、2つの環境からクレジットカード会社を装うメールが最大約713万通送られた。送信先は第三者が外部から持ち込んだアドレスとされる。

被害・影響の範囲

市が漏えいの可能性があるとする情報は、利用者のメールアドレスや氏名等である。それ以外の項目は、第1報では公表されていない。漏えいの有無と対象件数は調査中である。

市の発表によると、不正アクセスを受けたのは当該外部サービスである。システム本体と提供事業者のデータセンターへの不正アクセスは確認されていない。

システムの利用面では、利用者登録、メールアドレスの変更、パスワードの再設定ができない状態である。メール送信機能以外のシステムは利用できる。復旧の見込み日時は未定である。

二次被害の報告は、市の発表には含まれていない。一方、市は外部サービスが不正利用され、クレジットカード会社を装ったメールが送信されていると説明している。

影響は他の自治体にも及んでいる。姫路市は、オンライン手続きポータルサイトの委託先で不正アクセスに伴う個人情報漏えいの可能性があるとして、11月2日にTKCから状況報告を受けたと公表している。

企業・団体の対応

市は、システム提供事業者と連携し、個人情報の流出の有無などを調査している。市民に多大なご心配とご不便をおかけしたとして、おわびしている。

利用者には、不審なメールへの注意を呼びかけている。心当たりのないメールに記載されたURLや添付ファイルを開かず、ID、パスワード、暗証番号、クレジットカード情報等を入力しないよう求めている。市民や事業者に特定の対応が必要になった場合は、システムの「お知らせ」や市のホームページ等で伝えるとしている。

アララ社は、不正に使われた認証情報の無効化と通信の遮断を行ったとされる。個人情報保護委員会への届出状況は、市の第1報では公表されていない。

編集部コメント（読者企業が取るべき対策）

今回の事案では、利用する業務システムそのものが無事でも、その裏にある外部のメール配信サービスの侵害で情報が漏えいし得ることが示された。システム提供事業者から見て再委託先にあたる事業者の侵害でも、利用者への説明責任は発注側に残る。自社の情報がどの事業者を経由しているかを、平時から把握しておく必要がある。

利用状況の棚卸し
自社と取引先が使うメール配信サービスや、再委託先を含む外部サービスを洗い出す。どの顧客情報をどの事業者に預けているかを一覧にしておく。問い合わせを受けた際にすぐ答えられる状態にしておきたい。

委託先への確認事項
委託先には、再委託の有無と再委託先の名称を確認する。侵害時の報告期限や、報告内容の更新方法も契約で決めておく。今回のように初期報告が後から拡大する場合に備え、続報の連絡体制も確認したい。

フィッシング対策
漏えいした氏名やメールアドレスは、なりすましメールに悪用されるおそれがある。顧客や従業員には、メール内のリンクを開かず、公式サイトから手続きするよう周知する。自社ドメインを名乗る不審メールへの対策として、送信ドメイン認証の設定も見直したい。

委託先管理の見直し
委託先のセキュリティ体制を、導入時だけでなく定期的に確認する。脆弱性対応の状況や認証情報の管理方法を、点検項目に入れておく。委託先が停止した場合の代替手段も、あらかじめ決めておく。

顧客への情報提供
影響が確認できていない段階でも、分かっている事実と注意点を早めに知らせる。メール配信が止まる場合に備え、自社サイトなどの代替連絡手段を用意しておく。公表後は、追加情報が出るたびに更新する。

なお、漏えいの有無、対象件数、漏えいした情報の項目は現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。