筑後市は11月5日、市のホームページに対する不正アクセスを確認したとして、サイトを一時閉鎖していると発表した。NHKによると、同日は県内で不正アクセスに伴う個人情報漏えいの疑いに関する発表が相次いだ。

概要

筑後市は不正アクセスが確認されたとして、市のホームページを一時閉鎖している。不正アクセスの手口や侵入経路、閉鎖の期間は、確認できた範囲では明らかになっていない。

筑後市の発表によると、時系列は次のとおり。

11月5日、市は市のホームページへの不正アクセスを確認したと発表した。サイトは同日時点で一時閉鎖されている。

これより前の日付の経緯は、確認できた範囲では公表されていない。発生日時や発覚の経緯も同様である。

筑後市の公式サイト上で、この件に関する市自身の発表ページは、今回の確認では見つけられなかった。そのため、本記事の事実関係はNHKの報道に基づく。原因や委託先の有無についても、公表されていない。

被害・影響の範囲

個人情報が漏えいしたかどうかは、確認できた範囲では明らかになっていない。漏えいした可能性のある情報の項目、含まれない情報、件数は、いずれも調査中か未公表とみられる。二次被害の有無も公表されていない。

NHKは、同日に県内で個人情報漏えいの疑いに関する発表が相次いだと伝えている。ただし、筑後市の件でそれらと同じ原因や委託先が関係しているかは、確認できていない。

市のサイトが閉鎖されている間は、市民が市の情報を得にくくなるおそれがある。閉鎖中に利用できない機能の範囲は、公表されていない。

企業・団体の対応

市は不正アクセスを確認したうえで、市のホームページを一時閉鎖する措置を取った。これが、確認できた範囲での技術的な対応である。

おわびの文言、調査の方針、市民への注意喚起は、確認できた範囲では公表されていない。警察や個人情報保護委員会への届出の有無も同様である。サイトの再開時期も示されていない。

編集部コメント（読者企業が取るべき対策）

今回の事案では、不正アクセスの確認後にサイトを閉鎖するという判断が先に示された。被害の範囲が固まる前でも、対外的に状況を伝える手順を決めておくことが重要である。公開サイトは外部から直接アクセスされるため、日ごろの管理の差が表れやすい。

公開サイトの棚卸し
自社が公開しているウェブサイトとサーバーを一覧にして、管理者と稼働状況を確認する。使われていない古いページや検証用の環境も対象に含める。ソフトウェアの種類とバージョンも併せて記録する。

脆弱性対応の迅速化
CMS、プラグイン、開発言語などの更新状況を定期的に点検する。重大な脆弱性が公表された場合の対応期限と担当者を、あらかじめ決めておく。修正が難しい場合は、一時的に機能を止める判断基準も用意する。

ログと管理画面の保全
アクセスログや管理画面の操作記録は、一定期間保存しておく。調査に必要な記録は、閉鎖や復旧の作業で上書きされないよう、先に退避する。管理画面は接続元を制限し、多要素認証を導入する。

閉鎖と再開の判断基準
サイトを止める条件と、再開前に確認する項目を文書にしておく。再開前には、不正なファイルの有無、認証情報の入れ替え、脆弱性の修正を確認する。再開の見通しを利用者へ伝える担当も決めておく。

利用者への情報提供
個人情報の漏えいが確認できていない段階でも、現時点で分かっていることと分かっていないことを分けて知らせる。不審なメールや電話への注意を、早めに呼びかける。問い合わせ窓口を設け、更新のたびに同じページへ追記する。

なお、漏えいの有無、原因、侵入経路、再開時期は現在調査中とされている。今後の続報に注意されたい。

出典

• NHK 個人情報漏えいの可能性 5日も発表相次ぐ 筑後市など
• NHK アララ不正アクセス 福岡県内でも個人情報漏えいの可能性
• 福岡県庁 不正アクセスにより個人情報が漏えいした可能性のある事案について
• 筑後市公式ホームページ

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから