2024 年 7～8 月の脅威動向と代表的な攻撃（前編）

2024 年 7-8 月の脅威動向を見るために、記事末尾で 7-8 月の代表的なインシデント・攻撃等を羅列しています。もちろんこれらは代表的なものであり、その他にも多くのインシデントが発生しています。

今回は 7-8 月に発生した中でも

• 7 月に多くの漏洩関係組織が判明したランサムウェアによる（株）イセトーへの攻撃

を見てみたいと思います。

1. （株）イセトーへのランサムウェア攻撃

1-1. エグゼクティブ サマリー

項目	内容
Who（誰が）	8Base ランサムウェアグループと思われる
When（いつ）	2024 年 5 月 26 日、イセトーの複数のサーバ・PC が暗号化されるランサムウェア被害が確認される。
Where（どこで）	イセトーの複数のサーバ・PC。取り扱っているデータが多かったため、二次被害が多数発生している
What（何を）	イセトーの環境にある個人情報を含む顧客のデータ
Why（なぜ）	金銭目的と思われる
How（どのように）	現時点では判明していない。仮に 8Base が犯行グループだとすると、一般的にはスピアフィッシング添付ファイルによる初期アクセスが考えられる
回避策	- 契約終了時のデータ破棄の徹底化および第三者による検査 - マルウェア対策ソフトウェアやその他のセキュリティツールの使用 - ネットワークトラフィックの監視 - 強固なパスワード - MFA が使える場合には、必ず MFA を使用する。 - システムの更新とパッチ適⽤ - 従業員へのトレーニング - 堅牢なバックアップおよびリカバリ計画

1-2. When（いつ）

以下、時系列になります。イセトーの発表を元にしています。

日時	内容	ソース
2024/05/26	イセトーの複数のサーバ・PC が暗号化されるランサムウェア被害が確認される。	イセトー
日時不明	イセトーから京都府にランサムウェア感染の事実とデータ漏洩がない旨の報告が行われる。	京都府
2024/05/27	イセトーからムラテックフロンティアにランサムウェア感染の事実とデータ漏洩がない旨の報告が行われる。	ムラテックフロンティア株式会社
2024/05/27	イセトーから伊予銀行にランサムウェア感染の事実とデータ漏洩がない旨の報告が行われる。	伊予銀行
2024/05/28	イセトーからクボタクレジットにランサムウェア感染の事実とデータ漏洩がない旨の報告が行われる。	クボタクレジット
2024/05/28	イセトーから和歌山市にランサムウェア感染の事実とデータ漏洩がない旨の報告が行われる。	和歌山市
2024/05/28	イセトーから香川県高松市にランサムウェア感染の事実、およびデータの漏えいはない旨の報告が行われる。	香川県高松市
2024/05/28	イセトーから茨城県後期高齢者医療広域連合にランサムウェア感染の事実、およびデータの漏えいはない旨の報告が行われる。	茨城県後期高齢者医療広域連合
2024/05/28	イセトーから東海信金ビジネスにランサムウェア感染の事実、およびデータの漏えいはない旨の報告が行われる。	東海信金ビジネス
2024/05/29	イセトーから「ランサムウェア被害の発生について」が公開される。	イセトー
2024/05/29	イセトーから豊田市に漏洩の可能性についての連絡。情報漏洩はないとの連絡を行う。	豊田市
2024/05/29	イセトーから広島県に漏洩の可能性についての連絡。情報漏洩はないとの連絡を行う。	広島県
2024/05/29	イセトーから山口県に漏洩の可能性についての連絡。情報漏洩はないとの連絡を行う。	山口県
2024/05/29	イセトーから愛媛県に漏洩の可能性についての連絡。情報漏洩はないとの連絡を行う。	愛媛県
2024/05/29	イセトーから岸和田市に漏洩の可能性についての連絡。情報漏洩はないとの連絡を行う。	岸和田市
2024/05/30	イセトーから大田区に漏洩の可能性についての連絡。情報漏洩はないとの連絡を行う。	大田区
2024/06/04	イセトーから西宮市に固定資産税・都市計画税納税通知書のデータ５件程度がランサムウェアに感染したサーバーに保存されていたとの報告が行われる。	西宮市
2024/06/05	イセトーから京都商工会議所に漏洩の可能性についての連絡。後日、京都商工会議所が、イセトーから情報漏洩はないとの報告を受ける。	京都商工会議所
2024/06/06	イセトーから「ランサムウェア被害の発生について（続報）」が公開される。この時点で一部の取引先に関して情報流出の恐れが判明していることが報告される。	イセトー
2024/06/06	イセトーから広島県に「印刷業務の作業途中で発生する一部のデータについて漏えいの恐れがある」旨と「広島県のデータについては個人情報の流出は確認されていない」との報告がされる。	広島県
2024/06/06	イセトーから徳島県に「個人情報を含むデータ流出の恐れがある」との報告がなされる。	徳島県
2024/06/06	イセトーから東大阪市に「個人情報を含むデータ流出の恐れがある」との報告がなされる。	東大阪市
2024/06/06	イセトーから岸和田市に「個人情報が記載された 5 名分の投票所入場整理券の PDF データが流出した恐れがある」との報告がなされる。	岸和田市
2024/06/06	イセトーから東京都教育委員会に「個人情報を含むデータ流出の恐れがある」との報告がなされる。	東京都教育委員会
2024/06/06	イセトーから愛媛県に「個人情報を含むデータ流出の恐れがある」との報告がなされる。	愛媛県
2024/06/06	イセトーから横浜市に「個人情報を含むデータ流出の恐れがある」との報告がなされる。	横浜市
2024/06/06	イセトーから横須賀市に「個人情報を含むデータ流出の恐れがある」との報告がなされる。	横須賀市
2024/06/06	イセトーから藤沢市に「個人情報を含むデータ流出の恐れがある」との報告がなされる。	藤沢市
2024/06/06	イセトーから茅ヶ崎市に「個人情報を含むデータ流出の恐れがある」との報告がなされる。	茅ヶ崎市
2024/06/06	イセトーから茨城県後期高齢者医療広域連合に「個人情報を含むデータ流出の恐れがある」との報告がなされる。	茨城県後期高齢者医療広域連合
2024/06/06	イセトーから調査により、ランサムウェアに感染したサーバーに固定資産税・都市計画税納税通知書の宛名情報７８件（住所、氏名、課税情報等）が保存されていたことが報告される。	西宮市
2024/06/07	徳島県が 88 名（96 件）の個人情報漏えいのおそれについて、総務省に本事案の報告を行う。	徳島県
2024/06/10	徳島県が 88 名（96 件）の個人情報漏えいのおそれについて、個人情報保護委員会に本事案の報告を行う。	徳島県
2024/06/10	イセトーが今回のランサムウェア攻撃を行なったグループを「8base」と特定	徳島県
2024/06/10	イセトーから平塚市に「個人情報を含むデータ流出の恐れがある」との報告がなされる。	平塚市
2024/06/10	イセトーから大田区に「被害にあったサーバーに個人情報を含むデータが保存されていた」との報告がなされる。	大田区
2024/06/18	攻撃者グループのリークサイトにおいて、当社から窃取されたと思われる情報のダウンロード URL の出現を確認	イセトー
2024/06/18	イセトーから「6 月 18 日 22 時 20 分頃にダウンロードファイルが消失したが、引き続き、監視を続ける。」旨の報告が徳島県に行われる。	イセトー
2024/06/18	イセトーからムラテックフロンティアに「データについて漏洩被害は確認されていない」との報告がなされる。	ムラテックフロンティア
2024/06/20	イセトーから「外部からの侵入経路を特定」と徳島県に報告される。	徳島県
2024/06/24	山口県が株式会社イセトーから調査状況を聴取。同県の被害なしと報告をうける。	山口県
2024/06/24	イセトーからマニュライフ生命に個人情報漏洩の確認がされたことが報告される。	マニュライフ生命
2024/06/25	イセトーから伊予銀行に個人情報漏洩の確認がされたことが報告される。	伊予銀行
2024/06/26	イセトーが再度情報漏洩について確認し、和歌山市の情報は無かったと同市に報告	和歌山市
2024/06/26	イセトーがクボタクレジットの情報漏洩を確認	クボタクレジット
2024/06/26	イセトーが東海信金ビジネスに情報漏えいの可能性がある旨の報告を行う。	東海信金ビジネス
2024/06/27	イセトーがクボタクレジットに、同社顧客の個人情報の漏洩を確認したと報告を行う。	クボタクレジット
2024/06/27	イセトーがパナソニック健康保険組合に、同社顧客の個人情報の漏洩を確認したと報告を行う。	パナソニック健康保険組合
2024/06/27	イセトーが備前日生信用金庫に、同社顧客の個人情報の漏洩を確認したと報告を行う。	備前日生信用金庫
2024/06/28	イセトーが京都府に、ランサムウェア感染が発生したサーバーに格納されていたデータがインターネット上に公開され、ダウンロード可能な状態となっていたこと（公開は同日中に解消）、および公開されたデータの中に個人情報が含まれていた旨の報告を行う。	京都府
2024/06/28	イセトーが京都商工会議所に、同所が管理している企業情報の漏洩を確認したと報告を行う。	京都商工会議所
2024/06/28	イセトーが KUMON に個人情報の漏洩を確認したと報告を行う。	KUMON
2024/07/01	イセトーが和歌山市に個人情報の漏洩を確認したと報告を行う。	和歌山市
2024/07/01	イセトーが広島県に本県関係を含む一部データの流出が確認された旨の報告を行う。	広島県
2024/07/01	イセトーが山口県に本県関係を含む一部データの流出が確認された旨の報告を行う。	山口県
2024/07/01	イセトーが東大阪市に個人情報データの流出が確認された旨の報告を行う。	東大阪市
2024/07/02	イセトーが豊田市に個人情報の漏洩を確認したと報告を行う。	豊田市
2024/07/03	イセトーから「ランサムウェア被害の発生について（続報 2）」が公開される。この時点で 06/18 のリークサイトで晒された情報がイセトーから流出したものであること、一部のお取引先様の顧客の個人情報が含まれていることが報告される。	イセトー
2024/07/04	三井住友信託銀行から「業務委託先における個人情報の流出に関するお知らせ」としてイセトーからの流出の情報が出される。	三井住友信託銀行
2024/07/04	パナソニック健康保険組合の漏えいした対象の組合員（13,150 名）を特定	パナソニック健康保険組合
2024/07/11	イセトーからムラテックフロンティアに「ランサムウェア被害が発生した環境下にお客様情報（住所・会社名または氏名・請求明細情報）約 100 件が含まれていることが判明した」との報告がなされる。	ムラテックフロンティア
2024/07/12	イセトーが和歌山市に同市の漏洩件数が確定したと報告を行う。	和歌山市
2024/07/19	イセトーが岸和田市に対し「対策本部及び外部専門家の調査の結果、岸和田市分の個人情報の流失はなかった」との調査報告を行う。	岸和田市
2024/08/05	イセトーが藤沢市に対し「調査の結果、藤沢市分の個人情報の流出はなかった」との調査報告を行う	藤沢市
2024/08/08	伊予銀行がイセトー社での継続調査の結果、漏えいデータを受領する。	伊予銀行
2024/08/15	伊予銀行がイセトー社から漏えいデータの詳細な報告を受け、同社より新たにデータが漏えいした事実はないことを確認する。情報が漏えいしたお客さまの特定等、当行での精査が完了し、漏えい情報が確定する。	伊予銀行

1-3. Where（どこで）

ランサムウェアグループによる攻撃を受けたのは株式会社イセトーになります。

株式会社イセトー（以下イセトー社）は 1855 年（安政 2 年） 創業と江戸末期から続く歴史のある会社になります。
巻き取り紙やビジネスフォーム（コンピュータ用連続用紙）の取り扱いと製造から始まり、近年では情報処理サービスをメインとしています。

特に県市町村や企業、金融・保険業界などから

• 帳票作成
• 納税通知書などの作成・印刷業務
• 自動車税種別割の納税通知書作成等業務
• 「市・県民税特別徴収税額決定通知書」の封入封緘業務
• 市民税・県民税および固定資産税・都市計画税（土地・家屋）の納税通知書の作成
• 介護保険の決定通知書などの印刷等業務
• 一般選挙に伴う投票所入場整理券・封筒の印刷及び封入封緘業務
• 令和 5 年執行統一地方選挙投票案内作成委託業務
• がん検診等ご案内帳票類の印刷、封入及び発送業務
• 信金の顧客に送るはがきなどのダイレクトメール（DM）の印刷

などを委託されていたようです。結果として、イセトー社が業務委託をしていた団体が情報流出による二次被害を受けた事になります。

　また、これだけ被害が拡大した原因として、委託元業社からの報告で判明した点は以下の通りとなります。

• 個人情報を取り扱ってはならない基幹系ネットワークで個人情報を含むデータを取り扱って保存していた。
• 業務終了・契約終了などしたシステムのデータを消去するべきところを（削除した旨の報告書を出しておきながら）消去せずに流出に繋がった
  
  • 当該業務委託については、契約において「各作業は散逸等の事故防止のため同一施設内で行うもの」とされているにも関わらず、封入封緘作業を施設外の別業者に対し再委託を行っていた。その際、再委託先における作業過程において不具合が発生し、再出力が必要となったものについて、イセトーと再委託先の事業者間でやり取りを行った際の画像データがイセトーのサーバー等から削除されておらず、今回の事案が発生した。
• イセトーが委託業務のうち封入・封緘する工程を別の事業者に再委託していた。 再委託先で封入・封緘の作業において 18 人分の破損が生じ、印刷のため宛名券面を画像データにしてイセトーに電子メールで送信した。電子メールを受信したイセトーが、画像データをパソコン内にダウンロードし消去せずに残していたため、今回のランサムウエアによる被害を受けた。
• イセトー社の作業工程で発生する当行のお客さま情報を含む作業データを、同社における作業効率向上のため、本来保管が予定されていないサーバーに便宜的に保管していた。また、作業終了後も当該データを消去していなかったため、上記不正アクセスを受け窃取された。

　という委託元業者からの報告が何件か見られています。

1-4. What（何を）

イセトー社が業務委託を行なっていた団体の中で、今回被害が判明しているのは以下になります。

1. 京都商工会議所
2. 豊田市
3. 和歌山市
4. 徳島県
5. 広島県
6. 山口県
7. 愛媛県
8. 愛知県豊橋市
9. 京都府
10. 大阪府東大阪市
11. 大阪府岸和田市
12. 香川県高松市
13. 兵庫県西宮市
14. 神奈川県横浜市
15. 神奈川県横須賀市
16. 神奈川県藤沢市
17. 神奈川県平塚市
18. 神奈川県茅ヶ崎市
19. 東京都教育委員会
20. 東京都大田区
21. 茨城県後期高齢者医療広域連合
22. KUMON
23. クボタクレジット
24. 東海信金ビジネス
25. mont-bell
26. ムラテックフロンティア
27. 三井住友信託銀行
28. マニュライフ生命
29. 日本生命保険相互会社
30. ローソン銀行
31. 伊予銀行
32. ソニー損保
33. 三菱 UFJ 信託銀行
34. パナソニック健康保険組合
35. 備前日生信用金庫
36. 三井住友海上あいおい生命保険株式会社
37. 西京信用金庫
38. 香川銀行
39. 高知銀行
40. ＳＯＭＰＯひまわり生命保険株式会社
41. 山陰合同銀行

　それぞれに連絡があった経緯は前述の時系列に含めています。以下は漏洩した情報になります

1-4-1 京都商工会議所

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 2022 年度会費請求にかかるデータ （5,908 社分）
2. 2022 年度会費の口座振替にかかるデータ （5,462 社分）
3. 2022 年度 1 号議員選挙にかかるデータ （12,970 社分）
4. 法定台帳・任意台帳 （67 社分）
2. 漏洩したデータの内容
1. 会議所登録番号（会員番号）、会社名・屋号、本所に登録された代表者役職、本所に登録された代表者氏名、郵便番号、文書送付先、会費請求金額、口座情報の一部（金融機関名、支店名、口座種別、口座番号の下 3 桁）、選挙権個数
3. 人数／件数
1. 13,725 件 （13,725 社分）

1-4-2 豊田市

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 市県民税、軽自動車税、固定資産税、都市計画税及び国民健康保険税の各納税通知書、市営住宅使用料等納付通知書、介護保険料納入通知書等、後期高齢者医療保険料納入通知書、新型コロナ予防接種券、非課税世帯等給付金確認書、子育て世帯臨時特別給付金申請書
2. 漏洩したデータの内容
1. 氏名、住所、税額、生年月日、保険料、口座情報等
3. 人数／件数
1. 約 42 万人
4. 原因
1. 同社からの報告によると、各通知書等に係るシステム改修用データ等について、同社の担当者が本来業務終了後消去するべきところを消去せず、当該データが流出した。 

1-4-3 和歌山市

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 令和 5 年（2023 年）度分 市・県民税特別徴収税額決定通知書データ（給与天引き分） 
2. 漏洩したデータの内容
1. 住所、氏名、課税情報
3. 人数／件数
1. 151,421 名
4. 原因
1. 株式会社イセトー内において、複写したデータを別部門のサーバーに保管し、令和 5 年度の契約終了後もデータの削除を怠り保存していたため。
5. 処分
1. イセトー社を一年間（令和 6 年 7 月 9 日 ～ 令和 7 年 7 月 8 日）の指名停止処分
2. 以下が指名停止の理由になります。
1. 本市が委託した「令和５年度市・県民税特別徴収税額決定通知書」の封入封緘業務において、本来であれば複製を禁止しているデータを、市に無断で複製し、そのデータを通常の委託業務ではローカルネットワーク上にしか置かないものを、オープンネットワーク上で使用し、契約終了後もデータを削除していなかったため、社内ファイルサーバーのランサムウェアの感染により、市民１５１，４２１件の個人情報を漏洩させた。なお、本市と同様に複数の公共団体等から受託している業務で使用した個人情報が漏洩する事象を発生させた。

1-4-4 徳島県

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 令和 5 年度自動車税の印刷データ
2. 令和 4 年度減免自動車の現況報告書
3. 令和 4 年度還付充当通知書・送金通知書
2. 漏洩したデータの内容
1. 氏名、住所、税額、 登録番号（車のナンバー）
2. 氏名、住所、 登録番号（車のナンバー）
3. 氏名、住所、還付額 
3. 人数／件数
1. 143,910 通（個人 :136,219 通、法人 :7,691 通） 
4. 原因
1. 委託先の社内ネットワークは
   1. 個人情報を取り扱うことができる業務系ネットワーク
   2. 個人情報を取り扱ってはならない基幹系ネットワーク
   の 2 系統に分かれており、被害にあったのは基幹系ネットワークのみであった。  しかし、個人情報を取り扱ってはならない基幹系ネットワークで、徳島県が提供した個人情報を含むデータを、取り扱って保存していた。 
2. さらに、本県の契約では、委託業務完了後、個人情報は削除することとしており、削除した旨の報告書を受領していたが、 実際には削除されていなかった。

1-4-5 東海信金ビジネス

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 2023 年 9 月時点のダイレクトメール作成時に出力されるログデータ上の氏名
2. 漏洩したデータの内容
1. 氏名
3. 人数／件数
1. 77,202 名

1-4-6 広島県

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 令和５年度に印刷用に事業者に提供した個人事業税と自動車税種別割に係る住所・氏名等のデータ
2. 漏洩したデータの内容
1. 住所・氏名等
3. 人数／件数
1. 101 件

1-4-7 山口県

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. ​　令和 4 年度自動車税種別割の催告書のＰＤＦファイル（14 件） 

1-4-8 愛媛県

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 令和 4 年度の個人事業税督促状、令和 5 年度の自動車税種別割納税通知書、令和 5 年度の自動車税種別割督促状、令和 5 年度の個人事業税納税通知書、令和 5 年度の全税目一斉催告書
2. 漏洩したデータの内容
1. 氏名、住所、税額等の情報

1-4-9 愛知県豊橋市

愛知県豊橋市のサイトに正式な情報がないため時系列はわかりません。以下は記者発表情報になります。

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. ​　個人情報が流出
2. 人数／件数
1. 34 名 

1-4-10 京都府

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 再委託業者が納税通知書の再プリントを委託先に依頼する際に作成していた一覧表データ
2. 漏洩したデータの内容
1. 納税義務者氏名、車両番号
3. 人数／件数
1. 令和 5 年度分 176 件、平成 31 年度分 1 件の計 177 件
2. 合計 159 名分の情報が流出

1-4-11 大阪府東大阪市

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 介護保険料帳票封入等委託業務における個人情報 ( 氏名・住所等 ) が含まれる画面スクリーンショット
2. 人数／件数
1. 75 名

1-4-12 大阪府岸和田市

1. 調査の結果、岸和田市に関しては漏洩は無かったとの報告が 7/19 になされている。

1-4-13 香川県高松市

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 個別避難計画に関するデータ（令和４年度分）の住所、氏名等 
2. 人数／件数
1. 1595 名

1-4-14 兵庫県西宮市

1. 2024/08/17 現在のところ流出は確認されていない。

1-4-15 神奈川県横浜市

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 軽自動車税種別割の納税通知書（令和５年度分）の画像データ
2. 人数／件数
1. 1 名分

1-4-16 神奈川県横須賀市

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 投票案内の破損した宛名券面を写真に撮った画像データ
2. 漏洩したデータの内容
1. 住所・氏名
3. 人数／件数
1. 18 名分
4. 原因
1. イセトーが委託業務のうち封入・封緘する工程を別の事業者に再委託していた。再委託先で封入・封緘の作業において 18 人分の破損が生じ、印刷のため宛名券面を画像データにしてイセトーに電子メールで送信した。電子メールを受信したイセトーが、画像データをパソコン内にダウンロードし消去せずに残していたため、今回のランサムウエアによる被害を受けた。

1-4-17 神奈川県藤沢市

1. 2024/08/05 藤沢市の関係する個人情報の漏洩はなかったと報告がされる。

1-4-18 神奈川県平塚市

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 令和 5 年度および令和 6 年度市民税・県民税
2. 令和 5 年度および令和 6 年度固定資産税・都市計画税（土地・家屋）
2. 漏洩したデータの内容
1. 住所・氏名・税額・振替口座情報の一部
2. 住所・氏名・税額・振替口座情報の一部および共有代表者の氏名（該当者）
3. 人数／件数
1. 286 件

1-4-19 神奈川県茅ヶ崎市

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 令和５年４月執行の統一地方選挙における投票所入場整理券の宛名データ
2. 漏洩したデータの内容
1. 住所・氏名
3. 人数／件数
1. 47 件

1-4-20 東京都教育委員会

東京都教育委員会にイセトーから連絡があった経緯は前述の時系列の通りです。以下は漏洩した情報になります。

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 令和 5 年度の就学支援金受給資格認定審査等に係る生徒 19 名及びその保護者 18 名の個人情報
2. 漏洩したデータの内容
1. 生徒の氏名・在籍高校・課程・学年・就学支援金審査結果、保護者の住所・氏名等

1-4-21 東京都大田区

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 令和 6 年度がん検診受診券の画像データ
2. 漏洩したデータの内容
1. 住所、氏名等
3. 人数／件数
1. 46 名分

1-4-22 茨城県後期高齢医療広域連合

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 医療費通知書
2. 漏洩したデータの内容
1. 住所、氏名、被保険者番号、受診医療機関名、医療費の額
3. 人数／件数
1. 32 件

1-4-23 KUMON

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 顧客の個人情報
2. 指導者の個人情報
2. 漏洩したデータの内容
1. 氏名、住所、電話番号、会員番号、iKUMON サイトの認証コード / セキュリティコード、教室名、学年
2. 氏名、住所、電話番号、口座情報、指導者番号
3. 人数／件数
1. 4,678 名

1-4-24 クボタクレジット

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 2022 年 9 月の利用明細・請求書印刷用データ
2. データに含まれる情報
1. 氏名、住所、利用・請求明細（商品名、金額、支払い回数）、引き落とし口座の一部（特定できないように数桁を伏字加工したもの）
3. 人数／件数
1. 61,424 名

1-4-25 mont-bell

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. モンベルクラブ会員情報
2. データに含まれる情報
1. 氏名、住所、顧客番号（過去に会員だったものも含む）
3. 対象となるお客様数
1. 203 名

1-4-26 ムラテックフロンティア

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. お客様情報
2. データに含まれる情報
1. 住所・会社名または氏名・請求明細情報
3. 人数／件数
1. 約 100 件

1-4-27 三井住友信託銀行

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 現在調査中

1-4-28 マニュライフ生命

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 2022 年 9 月末から同年 10 月初旬に、電子申込にてお手続きいただきましたお申込で当社より委託先にデータを連携したご契約の一部
2. データに含まれる情報
1. お客さま（契約者さま・被保険者さま・受取人さま等）の以下の情報
1. 氏名 , 生年月日 , 住所 , 電話番号 , 申込番号 , E メールアドレス , 預金口座情報（口座番号の下 3 桁は「***」表示）, 年収情報
2. 対象となるご契約の取扱者情報
1. 氏名 , 所属先
3. 人数／件数
1. 1,082 件

1-4-29 日本生命保険

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 拠出型企業年金保険のご加入者（1 団体・11 名）
2. データに含まれる情報
1. 名前、生年月日、性別、加入内容等
3. 人数／件数
1. 1 団体・11 名

1-4-30 ローソン銀行

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 現在調査中

1-4-31 伊予銀行

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 個人情報  
2. データに含まれる情報
1. 住所、名前、取引に関する情報（取引日、取引金額、金利、口座情報（支店名、科目、口 座番号）、第三者（相手先さま）の口座情報（銀行名、支店名、科目、口座番号、口座名義（カナ）） 等）、お客さま番号
3. 人数／件数
1. 254,659 件
4. 原因
1. イセトー社の作業工程で発生する当行のお客さま情報を含む作業データを、同社における作業効率向上のため、本来保管が予定されていないサーバーに便宜的に保管していた。また、作業終了後も当該データを消去していなかったため、上記不正アクセスを受け窃取された。

1-4-32 ソニー損保

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 個人情報  
2. データに含まれる情報
1. 「郵便番号」「住所」「氏名」「顧客番号」：1 名分
2. 「証券番号」：当社ご契約者、および、過去のご契約者 18 名分
3. 人数／件数
1. 19 名

1-4-33 三菱 UFJ 信託銀行

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 正式な発表なし

1-4-34 パナソニック健康保険組合

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 2022 年 6 月 30 日にパナソニック健康保険組合がイセコーに提供した「ジェネリック差額通知データ情報」          
2. データに含まれる情報
1. 住所、被保険者名、受診者名、保険証番号、事業所名、診療年月、医療機関名（調剤薬局名）、医薬品名 及び自己負担額
3. 人数／件数
1. 13,150 名

1-4-35 備前日生信用金庫

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 個人情報  
2. データに含まれる情報
1. 住所、氏名
3. 人数／件数
1. 17 名

1-4-36 三井住友海上あいおい生命保険株式会社

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 調査中

1-4-37 西京信用金庫

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 個人情報  
2. データに含まれる情報
1. 出資配当金支払通知書の画像データ（氏名、住所、郵便番号、出資金額等）
3. 人数／件数
1. 18 件

1-4-38 香川銀行

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 漏洩はなしとのイセコーからの連絡

1-4-39 高知銀行

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 漏洩はなしとのイセコーからの連絡

1-4-40 ＳＯＭＰＯひまわり生命保険株式会社

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 漏洩はなしとのイセコーからの連絡

1-4-41 山陰合同銀

1. 漏洩の恐れがある情報／漏洩が確認された情報
1. 漏洩はなしとのイセコーからの連絡

参考情報

1. 京都商工会議所「 業務委託先への不正アクセスによる企業情報の漏洩について 」
2. 京都商工会議所「 業務委託先への不正アクセスによる企業情報の漏洩について（第２報）」
3. 豊田市「 報道発表資料　委託業者サーバー等のランサムウェア感染に伴う個人情報の流出について 」
4. KUMON「【お詫びとご報告】6/29 委託先へのランサムウェア攻撃による個人情報の流出について 」
5. KUMON「【7/5 続報】委託先へのランサムウェア攻撃による個人情報の漏えいについて 」
6. クボタクレジット「 業務委託先への不正アクセスによる個人情報漏洩について 」
7. 和歌山市「 委託業者におけるコンピューターウイルス感染について 」
8. わかやま新報「 イセトーを指名停止処分　個人情報流出問題 」
9. 和歌山市「 指名停止一覧表 」
10. 徳島県「 印刷業務委託先のランサムウェア被害について 」
11. 徳島県「 印刷業務委託先のランサムウェア被害について（第２報） 」
12. 徳島県「 印刷業務委託先のランサムウェア被害について （第３報）」
13. 東海信金ビジネス「 業務委託先への不正アクセスによる個人情報漏えいについて 」
14. 広島県「 印刷業務委託先のランサムウェア被害の発生について 」
15. 山口県「 委託業者におけるコンピュータウイルス感染について 」
16. 愛媛県「 委託業者におけるコンピュータウイルス感染について 」
17. 愛媛県「 委託業者におけるコンピュータウイルス感染について（第２報）」
18. 中日新聞「 豊橋市、委託業者から個人情報が流出か　5 月にランサムウェア攻撃 」
19. 京都市「 税業務に係る再委託業者におけるランサムウェア被害の発生について 」
20. 東大阪市「 委託事業者におけるランサムウェア被害の発生について 」
21. 岸和田市「 報道発表「受託事業者のサーバーがランサムウェア被害を受けました（第一報）」」
22. 岸和田市「 報道発表「受託事業者のサーバーがランサムウェア被害を受けました（第二報）」」
23. 香川県高松市「 印刷業務委託先のランサムウェア被害による情報漏えいについて 」
24. 兵庫県西宮市「 委託業務受託者へのサイバー攻撃について 」
25. 横浜市「 委託業者におけるコンピュータウイルス感染について 」
26. 横須賀市「 委託業務受託事業者のサーバーに対する不正アクセスについて 」
27. 神奈川県藤沢市「 業務の委託実績がある事業者のコンピューターウイルス感染について 」
28. 神奈川県藤沢市「 業務の委託実績がある事業者のコンピューターウイルス感染について（調査結果報告）」
29. 神奈川県平塚市「 委託業者におけるコンピューターウイルス感染 」
30. 神奈川県茅ヶ崎市「 令和 6 年 6 月 7 日発表　委託業者におけるコンピューターウイルス感染について 」
31. 東京都教育委員会「 委託事業者におけるコンピュータウイルス感染について 」
32. 東京都大田区「【プレスリリース】委託業者におけるコンピューターウイルス感染について 」
33. 茨城県後期高齢医療広域連合「 業務委託先事業者への不正アクセスによる個人情報流出のおそれについて 」
34. mont-bell「 外部委託業者のランサムウェア攻撃による情報漏えいについて 」
35. 村田機械株式会社「 業務委託先における情報漏洩に関するお詫びとお知らせ 」
36. 三井住友信託銀行「 業務委託先における個人情報の流出に関するお知らせ 」
37. マニュライフ生命「 当社の業務委託先におけるランサムウェア被害と個人情報漏えい発生について 」
38. 日本生命保険相互「 当社の委託業者における個人情報の漏洩について 」
39. ローソン銀行「 当行の委託業者におけるランサムウェア被害に関するお知らせ 」
40. 伊予銀行「 業務委託先での不正アクセスによるお客さま情報の漏えいについて 」
41. 伊予銀行「 業務委託先での不正アクセスによるお客さま情報の漏えいについて（第２報）」
42. ソニー損保「【お詫び】当社の委託会社における個人情報の漏えいについて 」
43. パナソニック健康保険組合「【お詫びとご報告】ランサムウェア攻撃による組合員様の個人情報の流出につきまして 」
44. パナソニック健康保険組合「（第二報）【お詫びとご報告】業務委託先への不正アクセスによる個人情報漏えいについて 」
45. 備前日生信用金庫「【重要】外部委託先のコンピューターウィルス感染に関するお知らせ 」
46. 三井住友海上あいおい生命保険株式会社「 当社の委託業者における情報流出の可能性について 」
47. 西京信用金庫「 再委託業者におけるコンピューターウィルス感染について 」
48. 香川銀行「【重要】業務委託先のランサムウェア被害に関するお知らせ 」
49. 高知銀行「 業務委託先のコンピュータウイルス感染に関するお知らせ 」
50. ＳＯＭＰＯひまわり生命保険株式会社「 当社代理店による保険会社へのメール連絡に伴う情報漏えいについて 」
51. ニッキンオンライン「 山陰合同銀、個人情報流出はなし　委託先ウイルス感染で 」

2024 年 7～8 月の脅威動向と代表的な攻撃（後編）へ続く

この記事の著者

OSS/ セキュリティ / 脅威インテリジェンスエバンジェリスト
面 和毅

本記事に関連するリンク

• 脆弱性管理ツール MIRACLE Vul Hammer