日本ネットワークセキュリティ協会（JNSA）は11月6日、同協会が運営する「情報セキュリティ理解度チェックサービス」が第三者による不正アクセスを受け、最大1万5128件の利用者個人情報が漏えいした可能性があると発表した。
漏えいの対象には、管理者の氏名や企業名、メールアドレスのほか、組織情報やサービス利用者のID・パスワードなどが含まれる。現在、外部専門事業者の協力を得て原因究明と影響範囲の特定を進めている。
同協会によると、11月4日に同サービスに対する第三者からの不正アクセスを確認。調査の結果、不正アクセスは10月30日夜頃から行われていた可能性があることが判明した。ただし、具体的な侵入経路や攻撃の手法については、現時点で明らかになっておらず、引き続き調査を進めている。
情報漏えいの可能性がある対象者は最大1万5128件と見込まれている。対象となる情報は、サービスの管理者として登録された利用者およびサービスの利用ユーザに関するもので、具体的には管理者の氏名、企業名、メールアドレス、組織の所在地、従業員数、業種、サービスの利用ユーザ数などが含まれる。
また、サービス利用者のIDとパスワードも漏えいした可能性がある。ただし、パスワードについてはハッシュ化されて保存されていたという。なお、今回公表された最大1万5128件は漏えいの可能性がある対象者数で、実際の漏えい件数や影響範囲は確定していない。調査の進展によって、対象件数が変動する可能性もあるとしている。
同協会は、不正アクセスの発覚後、被害拡大を防ぐために対象サービスを停止。現在は外部専門事業者の協力を得ながら、原因究明と影響範囲の特定を進めている。情報漏えいの可能性が確認された利用者については、対象者の特定が完了次第、個別に連絡する方針。また、この件は11月6日に個人情報保護委員会へ報告する予定としている。
同協会は、管理者のメールアドレスなどが漏えいした場合、協会や関係機関を装った不審なメールが送信される可能性があるとして注意を呼びかけている。受信したメールに不審な点がある場合は、本文中のリンクや添付ファイルを開かず、送信元を十分に確認するよう求めている。
特に、同協会がメール本文中のURLを通じてIDやパスワードの入力・変更を求めることはないとして、こうした要求を伴うメールには十分注意するよう促している。
関連リンク