止まらない個人情報漏えい 警察でも漏えいの可能性明らかに | NHKニュース

不正アクセスによる個人情報の流出が止まりません。14日、新たに都内各地の自治体が個人情報が流出したおそれがあると公表したほか、広島県警察本部の警察官や職員の個人情報が漏えいした可能性も明らかになりました。

大阪のIT関連会社「アルカディア」は、第三者による不正アクセスが疑われる事案を確認し、登録者のメールアドレス300万件余りなどが漏えいした可能性があると公表しています。

この会社を利用していた都内各地の自治体では、住民向けの防災や防犯情報を伝えるシステムや、消防団や職員を災害時に呼び出すシステムに登録されていた個人情報が漏えいしたおそれがあると公表しました。

14日、メールアドレスなどが流出したおそれがあると新たに発表したのは、江東区と世田谷区、日野市、小平市、三鷹市、小金井市、昭島市、それに東久留米市です。

各自治体では防災や防犯情報のシステムの利用が停止されていて、復旧のめどが立っていないということです。

「アルカディア」が不正アクセスを受けた影響で、広島県警察本部では、所属している警察官と職員のほとんどにあたるおよそ5700人分の氏名やメールアドレスなどの情報が漏えいした可能性があることが、警察関係者への取材で分かりました。

広島県警によりますと、災害の際に安否確認を行うシステムを「アルカディア」に委託していたということで、警察官や職員以外の個人情報は含まれていないとしています。

コールセンターなどの事業を展開する「トランスコスモス」は、採用業務の委託先への不正アクセスの影響で、応募者4600人あまりの個人情報が漏えいしたと発表しました。この委託先をめぐっては、これまでに外食チェーンや自治体でも個人情報が相次いで漏えいしたことが明らかになっています。

「トランスコスモス」によりますと、採用業務の一部を委託している会社で外部から不正アクセスがあり、この影響で応募者の個人情報が漏えいしたということです。

漏えいが確認されたのは、2019年11月から2021年12月までの間にコールセンターの契約社員に応募した4600人あまりの個人情報で、氏名、メールアドレス、電話番号、生年月日、性別が含まれるということです。

一方、不正アクセスを受けた委託先は動画による面接システムなどを提供する「ApplyNow」で、会社では先月に不正アクセスを受けたことを明らかにするとともに、今月9日にはおよそ39万人分の個人情報の漏えいが確認されたと発表しています。

この委託先をめぐっては、これまでに牛丼チェーンの「吉野家」が先月30日、アルバイトの採用に関して4900件あまりの個人情報が漏えいしたことを明らかにしていて、漏えいした情報には、氏名、メールアドレス、生年月日などが含まれるとしています。

このほか自治体でも新潟県魚沼市や埼玉県入間市で職員の採用試験に応募した人などの個人情報が漏えいしたことが明らかになっています。

自動車メーカーのマツダは、会員制の交流サイトが不正アクセスを受け、最大でおよそ4100人分の会員などの情報が流出したおそれがあると発表しました。

発表によりますと、会員制の交流サイト「CLUB MAZDA COMMUNITY」の運営を委託している会社のサーバーが不正アクセスを受け、会員とマツダの従業員あわせて最大で4103人分の情報が流出したおそれがあるということです。

流出した可能性があるのは、アカウント名、メールアドレス、性別、居住する都道府県、それに購買履歴などで、クレジットカードの情報は含まれていないということです。

現時点で情報が悪用されるなどの被害は確認されておらず、サイトのサービスは停止しているということです。

また、委託先の会社のサーバーとマツダのサーバーとは直接接続されておらず、生産や販売などに関わるシステムへの影響は現時点で確認されていないということです。

マツダは、「多大なるご心配とご迷惑をおかけし深くおわび申し上げます。原因究明と影響範囲の確認を進めるとともに、再発防止に取り組んでまいります」とコメントしています。

不正アクセスで個人情報の流出が相次いでいる問題で、国の研究機関の分析チームは、こうした被害の原因の1つとして攻撃側がスマートフォンなどのアプリを解析してターゲットとするサーバーなどの情報を集める手口が確認されたと発表しました。

国の研究機関、NICT＝情報通信研究機構の分析チームは、不正アクセスによって企業から個人情報が流出する被害が相次いでいることを受けて、攻撃に使われた通信を詳しく調査しました。

その結果、攻撃側が主にスマートフォンで広く利用されているグーグルの基本ソフト「アンドロイド」のアプリを解析していたことが確認されたということです。

アプリ自体には問題が無くても、アプリのプログラムを解析することで接続している先のサーバーなどが特定され、その情報をもとにぜい弱性を狙った攻撃が行われていたということで、被害が相次いでいる原因の1つとなっているということです。

分析チームではこうした手口を「A2B攻撃（App-to-Backend Attack）」と名付け、アプリを提供している企業に対して、ことし8月以降に不審なアクセスがないかログを確認することや、接続先のサーバーにぜい弱性がないかなどを早急に点検するように注意を呼びかけています。

NICT CYNEX研究開発運用室の安田真悟室長は、「公開されているアプリをもとにサーバー側のぜい弱性を推定して、大規模に攻撃を仕掛けているのが特徴で、AIが介在することで攻撃を効率化しているものと考えられる」と話していました。

木原官房長官は午後の記者会見で「NICT＝情報通信研究機構の分析を受けて、改めて総務省がホームページなどで、また、国家サイバー統括室が関係の事業者に注意喚起を実施した」と述べました。

その上で「政府としては関係省庁や関係機関が連携し、サイバー攻撃の手法やぜい弱性に関する情報の収集・分析、関係事業者への情報提供や注意喚起などを通じて、被害の未然防止や拡大防止に取り組んでいく」と述べました。