東京ガス子会社(TGES)の不正アクセス(2024年7月公表)
結論から
- 東京ガスの子会社TGESのネットワークに不正アクセスがあり、ガスや水道の事業者などから預かった約416万人分の個人情報が流出した可能性があります。
- 侵入経路はVPN装置経由で、ファイルサーバーに入れる従業員のIDとパスワードが複数盗まれていました(日経クロステックの取材)。
- 影響は業務委託元の51事業者に及び、自治体の水道局などが相次いで公表しました。2026年10月30日時点で、TGES自身の調査結果の続報は確認できていません。
概要
- 公表日
- 2024年7月17日
- 検知・発覚
- 2024年6月26日
- 最新の公表
- 2024年7月17日
- 組織・業種
- 東京ガスエンジニアリングソリューションズ(エネルギー / エネルギー)
- 漏えいした情報・件数
- 業務委託元から預かった一般消費者の個人情報 約416万人分、取引のある法人に所属する人の情報(件数は調査中と発表)、TGESの従業員など約3,000人分。いずれも流出の「可能性」。東京ガスの家庭用ガス・電気の契約情報は含まれない
- 業務への影響
- 業務委託元の51事業者(ガス・水道など。自治体を含む)に波及し、委託元がそれぞれ公表・本人対応を行った
- 業績への影響
- 業績への影響は公表されていない
- 犯行グループ(攻撃者の主張)
- 犯行グループの主張は確認されていない
- 身代金
- 東京ガス広報は、ファイルの暗号化や身代金要求はないと説明した(日経クロステック)
この事案の続報をメールで受け取る
続報(調査結果・侵入経路・再発防止策の公表)が出たらお知らせします。登録はメールアドレスだけです。
経緯
-
TGESが同社ネットワークへの不正アクセスを検知し、即日、外部との接続を遮断した(日経クロステックの取材) [3]
-
特定のファイルサーバーに入るための従業員のIDとパスワードが複数窃取されていたことが判明し、情報流出の可能性が分かった [1]
-
東京ガスとTGESが、約416万人分などの個人情報が流出した可能性を公表。同日、委託元の神奈川県や金沢エナジーも公表した [1]
-
侵入経路がVPN装置経由であることが日経クロステックの取材で判明。窃取されたIDでサーバーにアクセスした形跡は見つかっていないとされた [3]
-
委託元のさいたま市水道局が、外部の専門機関による調査結果の報告を受けた。同市分のデータにアクセスされた痕跡は一切なかったと、のちに最終報で公表 [5]
-
日経クロステックが、波及した委託元は51事業者に及ぶと報道 [4]
侵入経路と原因
東京ガスの発表では、原因はTGESのネットワークへの不正アクセスです。日経クロステックの取材によると、侵入経路はTGESが持つVPN装置経由でした。脆弱性の有無などについて、東京ガス広報は「セキュリティーの関係で回答は控える」としています。
TGESは2024年6月26日に不正アクセスを検知し、即日、外部との接続を遮断しました。専門機関の協力で調べたところ、特定のファイルサーバーへのアクセスに必要な従業員のIDとパスワードが複数窃取されていたことが、7月9日に分かりました。
盗まれたIDとパスワードは、TGESが顧客情報を保管するファイルサーバーのほか、東京ガスが法人顧客の情報を保管するファイルサーバーにもアクセスできるものでした。このため、TGESだけでなく東京ガスの法人事業分野のサーバーも流出の可能性の対象になりました。
日経クロステックによると、窃取されたIDとパスワードで実際にサーバーにアクセスした形跡は、取材時点では見つかっていません。東京ガス広報は、ファイルの暗号化や身代金の要求はなく、ランサムウェアの可能性を否定しました。
影響
情報への影響: 流出の可能性があるのは3つです。業務委託元から業務に必要な情報として預かった一般消費者の個人情報が約416万人分(氏名・住所・連絡先など)。取引のある法人に所属する人の情報(件数は発表時点で調査中)。TGESの退職者を含む従業員などの個人情報が約3,000人分です。東京ガスとの家庭用のガス・電気の契約情報は含まれていません。
委託元への影響: TGESは、ガスや水道などの事業者からインフラ情報管理システムの運用などを受託していました。日経クロステックによると、約416万件はすべて委託元から預かった顧客情報で、委託元は51事業者に及びます。神奈川県は県営水道の顧客情報約3万7,000件が流出した可能性があると公表し、金沢エナジーなども同じ日に公表しました。
再委託の連鎖: さいたま市水道局は、管路の情報を管理するシステムの運用を別の会社に委託し、その会社がTGESに再委託していました。委託元からすると、直接の取引先ではない会社の被害で、自分の顧客の情報が対象になった形です。
その後の調査: さいたま市水道局は最終報で、外部の専門機関の調査結果として、同市分の個人情報データにアクセスされた痕跡は一切なかったと公表しました。東京ガス・TGESが自社サイトで調査結果を公表したことは、2026年10月30日時点で確認できていません。
会社の対応と再発防止策
TGESは不正アクセスを受けたネットワークへの外部からの経路を速やかに遮断し、それ以降は外部からアクセスできないようにしたと公表しました。
個人情報保護委員会に報告し、警視庁や情報処理推進機構(IPA)などの外部の専門機関の協力を得て調査を進めました。発表時点で、情報の外部への流出の痕跡や不正利用は確認されていないとしています。
対応の方針として、取引のある法人には調査で状況を把握したうえで対応し、委託元から預かった一般消費者の情報については委託元と相談して対応するとしました。流出や不正利用が確認されれば個別に連絡するとし、問い合わせ窓口を設けています。
委託元の自治体などは、それぞれが本人へのお詫び状の送付や問い合わせ対応を行いました。さいたま市は、委託業者に個人情報の厳正な管理と情報セキュリティ教育を徹底させ、指導・監督するとしています。
この事案から学べること
- 1つの受託会社への侵入が、委託元51事業者の顧客情報に波及しました。委託先が複数の委託元のデータを同じ環境で持っていると、被害は委託元の数だけ広がります。
- 盗まれたIDが、子会社と親会社の両方のファイルサーバーに入れるものでした。アカウントが届く範囲を絞ることで、被害の範囲を小さくできます。
- 再委託先で事故が起きると、委託元は自分の取引先ではない会社の被害を公表することになります。再委託の有無と委託先の管理状況を把握しておく必要があります。
自社で確認すること
- 1 自社の顧客データを扱う委託先が、さらに別の会社に再委託していないかを把握していますか。
- 2 1つのアカウントで、グループの複数の会社やサーバーのデータに届いてしまう状態になっていませんか。
- 3 委託先のVPN装置の管理と、ID・パスワードの保護について、契約や点検で確認していますか。
同じ手口の事案
関連する事案
よくあるご質問
- 東京ガスの家庭用ガスの契約者の情報は流出したのですか。
- 東京ガスの発表では、家庭用の都市ガス・電気などの契約情報は含まれていません。約416万人分は、TGESがガスや水道などの業務委託元から預かった一般消費者の情報です。
- 侵入経路は何ですか。
- 日経クロステックの取材によると、TGESが持つVPN装置経由です。ファイルサーバーに入るための従業員のIDとパスワードが複数盗まれていました。脆弱性の有無は回答を控えるとしています。
出典
- 不正アクセスによるお客さま等に関する情報流出の可能性についてお詫びとお知らせ ↗ (東京ガス株式会社・東京ガスエンジニアリングソリューションズ株式会社、2024-07-17)
- 東京ガス子会社、個人情報約416万人分を漏えいか サーバへの不正アクセスを確認 ↗ (ITmedia NEWS、2024-07-17)
- 東京ガス子会社への不正アクセスは「VPN装置経由」、個人情報約416万人分漏洩か ↗ (日経クロステック、2024-07-18)
- 東京ガス子会社で個人情報416万件が漏洩した可能性、業務委託元の51事業者に飛び火 ↗ (日経クロステック、2024-10-09)
- 業務委託先が管理する水道情報への不正アクセスについて(最終報) ↗ (さいたま市水道局)