イセトーのランサムウェア被害(2024年5月公表)
結論から
- 自治体や金融機関の通知書の印刷・発送を受託するイセトーが、2024年5月26日にランサムウェア被害を受けました。委託元から預かった307万6,477人分の個人データが漏えいしました。
- 侵入経路はVPN機器です。個人情報保護委員会は、約3年更新されていなかったVPN機器、約7年変わっていなかった管理者パスワード、保管ルールに反したデータのコピーを指摘しました。
- 影響を受けた委託元は41団体、再委託元を含めると約100団体です。個人情報保護委員会は2025年3月19日に行政指導を行いました。
概要
- 公表日
- 2024年6月
- 発生
- 2024年5月26日
- 検知・発覚
- 2024年5月26日
- 最新の公表
- 2025年3月19日
- 組織・業種
- イセトー(委託元: 自治体・金融機関・公文など)(印刷・BPO / IT・SaaS・SI・BPO)
- 漏えいした情報・件数
- 委託元から預かった個人データ 3,076,477人分(民間事業者委託分 2,509,886人、行政機関等委託分 566,561人)。ほかに従業者441人分
- 業務への影響
- 情報処理センターと全国の営業拠点の端末・サーバーが暗号化。委託元41団体(再委託元を含め約100団体)が漏えいを公表・対応
- 犯行グループ(攻撃者の主張)
- 8Baseがリークサイトで犯行を主張(2024年6月)
- 身代金
- 身代金についての会社の説明は公表されていない
- 行政の対応
- 個人情報保護委員会が2025-03-19に個人情報保護法第147条に基づく指導
- 調査報告書・再発防止策
- 公式の資料を開く ↗
経緯
-
不正アクセスを受け、情報処理センターと全国営業拠点の端末やサーバーがランサムウェアで暗号化された [1]
-
攻撃者グループのリークサイトに、窃取したとされる情報のダウンロード用URLが掲載された(11時〜22時30分の間、公開) [2]
-
委託元の公文教育研究会が、委託先へのランサムウェア攻撃による個人情報の流出を公表 [4]
-
イセトーが、リークサイトで公開された情報に取引先の顧客の個人情報が含まれていたと公表 [1]
-
公文教育研究会が第3報で、会員73万9,714名の漏えいが新たに判明したと公表 [4]
-
外部専門家によるフォレンジック調査の完了を受け、侵入経路はVPNであることと再発防止策を公表 [1]
-
個人情報保護委員会が行政指導を行い、事案の詳細を公表 [2]
侵入経路と原因
イセトーは2024年10月4日、外部専門家のフォレンジック調査の結果として、VPNからの不正アクセスで社内ネットワークに侵入されたと公表しました。個人情報保護委員会の公表資料によると、攻撃者はVPN機器を経由して基幹系ネットワークに入り、ファイルサーバーとPCのデータを暗号化して窃取しました。
ただし、ログの取得設定が適切でなく必要なログが取れていなかったため、VPN機器の認証をどう回避したかなどの詳細は確認できていないとしています。
個人情報保護委員会は、VPN機器が2021年4月以降アップデートされておらず、認証に関する脆弱性が残っていたことを指摘しました。基幹系ネットワークの管理者アカウントは2017年2月から同じパスワードで、推測がある程度容易な英小文字のみの11桁でした。多要素認証(パスワードに加えて別の要素で本人確認する仕組み)も導入していませんでした。委員会は、侵入は不十分な脆弱性管理とパスワード管理が原因となった可能性が高いとしています。
被害が委託元に広がった理由について、委員会は保管場所の問題を挙げました。個人データは業務系ネットワークだけで扱う社内ルールでしたが、明文化されておらず、全56部署のうち3部署がデータを基幹系ネットワークのサーバーにコピーしていました。侵入されたのは基幹系だけで、ルールが守られていれば漏えいは起きなかったであろうと委員会は述べています。イセトー自身も、扱ってはならないサーバーに便宜的に保管し、業務終了後に削除すべきデータを削除できていなかったと公表しています。
影響
情報への影響: 委託元から預かった個人データ307万6,477人分が漏えい・毀損しました。内訳は民間事業者の委託分が250万9,886人、行政機関などの委託分が56万6,561人です。主な項目は通知書に載る氏名と住所で、通知書の種類によってはほかの情報も含まれていました。要配慮個人情報を含むものは1万3,150人分です。このほか、イセトーの従業者441人分も対象になりました。
委託元への影響: 影響を受けた委託元は41団体(民間事業者32、行政機関など9)で、その先の再委託元を含めると約100団体に及びます。公文教育研究会(会員73万9,714名)、徳島県、和歌山市、日本生命、各地の信用金庫などが、自ら漏えいを公表して本人への通知や問い合わせ対応に追われました。
二次被害: リークサイトでの公開は2024年6月18日の11時から22時30分の間で、その後はダウンロードできなくなったとしています。イセトーと個人情報保護委員会の公表時点で、個人データの悪用などの二次被害の情報提供は受けていないとされています。
業務への影響: 情報処理センターと全国の営業拠点の端末・サーバーが暗号化されました。再発防止の環境ができるまでは、外部ネットワークとの接続を制限して業務を続けるとしています。
会社の対応と再発防止策
イセトーは再発防止策として、侵入経路になったVPNを使わない体制にし、認証を強化すると公表しました。環境ができるまでは外部ネットワークとの接続を制限して業務にあたるとしています。
受託業務のデータは管理区域の外に移せない環境を作り、保管期限などの取り扱いルールを明確にして、業務終了後に確実に削除するとしました。ルールが守られているかの監査を徹底し、社員への教育と研修を行うとしています。
個人情報保護委員会は2025年3月19日に個人情報保護法第147条に基づく指導を行いました。技術的・組織的・人的な安全管理措置に不備があったとし、VPN機器の更新やパスワード管理の強化、組織体制の整備、従業者への教育などを求めています。事案の大きさを踏まえ、詳細を公表しました。
委員会は不備の背景として、経営層を含む管理者が状況を把握できていなかったこと、個人データの取り扱いの責任分担があいまいだったこと、定期的な監査や点検が十分でなかったことを挙げています。
この事案から学べること
- 委託先が被害を受けると、委託元が自ら漏えいを公表し、本人対応をすることになります。この事案では約100団体に波及しました。
- 侵入されたネットワークに、本来置かないはずの個人データがありました。社内ルールが明文化され、守られているかを点検しないと、被害の範囲が広がります。
- VPN機器の未更新、長年同じ管理者パスワード、多要素認証なしという組み合わせを、個人情報保護委員会は侵入の原因となった可能性が高いと指摘しました。
- ログが取れていないと、侵入の方法を後から確かめられません。ログの取得設定も定期的に確認する対象になります。
自社で確認すること
- 1 個人データを預けている委託先で、VPN機器の更新と管理者パスワードの管理がどうなっているかを確認していますか。
- 2 預けたデータが業務終了後に削除されたことを、委託先から確認していますか。
- 3 自社の「このデータはここにだけ置く」というルールが文書になっていて、守られているかを点検していますか。
同じ手口の事案
委託先・取引先経由
- ベネフィット・ワン(トク買) (2026年10月28日) 委託先のシステムに不正アクセス。クレディセゾン会員向け優待サービスの2万9,465人分が漏えい
- JAL・ANA(Amadeus) (2026年10月28日) 航空会社が使う予約システムに不正アクセス。JAL・JTAの延べ約9万2,000件の予約情報が対象に
- デジタル庁 (2026年10月22日) Web制作サービス「Studio」への不正アクセスの波及で、問い合わせフォームの入力内容 最大1万3,323件が漏えいした可能性
関連する事案
よくあるご質問
- イセトーの事案で漏えいしたのは何人分ですか。
- 個人情報保護委員会の公表資料によると、委託元から預かった個人データが307万6,477人分です。ほかにイセトーの従業者441人分も漏えい・毀損しました。
- なぜ委託元の自治体や金融機関が公表したのですか。
- 漏えいしたのが、自治体や金融機関がイセトーに印刷・発送を委託した通知書の個人データだったためです。影響を受けた委託元は41団体、再委託元を含めると約100団体です。
出典
- 不正アクセスによる個人情報漏えいに関するお詫びとご報告 ↗ (株式会社イセトー、2024-10-04)
- 株式会社イセトーに対する個人情報の保護に関する法律に基づく行政上の対応について ↗ (個人情報保護委員会、2025-03-19)
- イセトーのランサムウェア被害、感染経路はVPN 調査結果で明らかに ↗ (ITmedia エンタープライズ、2024-10-09)
- イセトーへのランサムウェア攻撃、公文教育研究会の会員 739,714 名の漏えい新たに判明 ↗ (ScanNetSecurity、2024-08-29)
- 個人情報保護委員会が307万人超の個人情報漏洩でイセトーを行政指導、再発防止求める ↗ (Web担当者Forum、2025-03-25)