2024年5月26日に発覚、日本、情報処理・印刷 (受託業務)

イセトーランサムウェア被害

委託
認証

VPNから侵入され、消すべき帳票データを残していたため流出した

何があったか

2024年5月26日、印刷と情報処理の受託会社イセトーは複数のサーバーとPCが暗号化されるランサムウェア被害を確認した。全社対策本部を立ち上げ、外部専門家の協力のもとで調査と復旧を進め、5月29日に被害を公表した。6月18日、攻撃者グループのリークサイトに、イセトーから窃取したとされる情報のダウンロード用URLが現れた。調査の結果、公開された情報は自社のサーバーから流出したもので、一部の取引先の顧客の個人情報が含まれることが分かり、7月3日に続報として公表した。

原因はVPNからの不正アクセスで社内ネットワークに侵入されたことで、受託業務の作業工程で生じた帳票データや検証物の情報を、本来扱ってはならないサーバに便宜的に保管し、業務終了後に削除すべきデータも削除していなかったため、持ち出しを許した。委託元のうち、公文教育研究会は6月28日に漏えいを把握して6月29日に公表し、広島県は7月1日に自県関係データの流出を確認して7月2日に公表し、伊予銀行は8月19日に公表して8月23日から対象顧客への通知を始めた。イセトーは10月4日にフォレンジック調査の完了を公表し、原因と再発防止策を説明した。

入口: VPNからの不正アクセスにより、当社ネットワークに侵入された
決め手の失敗: 受託業務で生じた帳票データや検証物の情報を、取り扱ってはならないサーバに便宜的に保管し、業務終了後に削除すべきデータも削除していなかった
被害: 情報処理センターと全国営業拠点の端末やサーバが暗号化された。攻撃者グループのリークサイトに公開された情報に、一部の取引先の顧客の個人情報が含まれていた。委託元として公文教育研究会、広島県、伊予銀行などが自ら漏えいを公表した

攻撃の流れ

入口VPNからの不正アクセスにより、社内ネットワークに侵入された
窃取受託業務の作業工程で生じた帳票データや検証物の一部情報を窃取された。本来取り扱ってはならないサーバに作業の効率を図るため便宜的に保管し、業務終了後に削除すべきデータも削除できていなかった
暗号化情報処理センターと全国営業拠点の端末やサーバがランサムウェアによって暗号化された
公開6月18日、攻撃者グループのリークサイトに、窃取したとされる情報のダウンロード用URLが掲載された
影響公開された情報の中に一部の取引先の顧客の個人情報が含まれており、公文教育研究会、広島県、伊予銀行などの委託元が自ら漏えいを公表した

数字で見る

101件広島県関係で流出のおそれがあったデータ[5] 令和5年度に印刷用に提供した個人事業税と自動車税種別割に係る住所・氏名等のデータ

気づいたきっかけ

2024年5月26日、複数のサーバーとPCが暗号化されるランサムウェア被害が発生していることを確認した。6月18日には攻撃者グループのリークサイトに、窃取したとされる情報のダウンロード用URLが現れ、調査の結果それが自社サーバーからの流出と判明した

対応と復旧

感染が疑われるイントラネット、サーバー、PCを休止させ、全社対策本部を立ち上げて外部専門家の協力のもとで調査と復旧を進めた。警察にも連絡した。リークサイトとダウンロードファイルの継続的な監視を外部専門家とともに行い、2024年7月3日時点でダウンロードファイルの消失を確認した。フォレンジック調査を実施し、10月4日に事態の概要と原因、再発防止策を公表した

組織が認めた原因と、決めた対策

認めた原因

VPNからの不正アクセスにより、当社ネットワークに侵入された攻撃者によって、一部の取引先の受託業務の作業工程で発生した帳票データや検証物の一部の情報が窃取された
当該情報を取り扱ってはならないサーバに、作業の効率を図るため便宜的に保管していた
業務終了後には速やかに削除すべきデータを削除することができていなかった

公表した再発防止策

侵入経路となったVPNを使用しない体制とし、認証強化を図る。環境構築までの間は外部ネットワークとの接続を制限する
受託業務のデータを管理区域外へ移送できない環境を構築し、保管期限など取り扱いルールを明確に定めて業務終了後にデータを確実に削除し、遵守を監査する
社員に対して個人情報を含む情報セキュリティに関する教育とルール遵守の研修を行う

自分のサービスで確かめること

作業の都合で本来の保管場所以外のサーバにデータを置いていないか確認する
業務終了後に削除すべきデータが期限内に確実に消えているか監査する
VPNなど外部接続の認証を強化し、使われていない接続経路を廃止しているか確認する
委託先の情報管理の状況を定期的に実地調査しているか確認する
リークサイトやダークウェブの監視を外部専門家と続けているか確認する

関わる攻撃とレッスン

攻撃の種類

ランサムウェアの侵入の流れ

学べるレッスン

時系列

5月26日発覚複数のサーバー、PCが暗号化されるランサムウェア被害が発生していることを確認した[1]
5月27日対応攻撃を受けたサーバーを遮断した[4]
5月29日公表ランサムウェア被害を公表した[1]
6月18日発覚攻撃者グループのリークサイトに、窃取されたとされる情報のダウンロードURLが掲載された[2]
6月28日発覚公文教育研究会が、委託していた個人情報が流出した事案に含まれることを把握した[4]
6月29日公表公文教育研究会が会員・指導者の個人情報の漏えいを公表した[4]
7月1日発覚広島県は、社内調査が進む中で自県関係を含む一部データの流出が確認された旨の報告を受けた[5]
7月2日公表広島県が印刷業務委託先のランサムウェア被害を公表した[5]
7月3日公表公開された情報が自社サーバーから流出したもので、一部取引先の顧客の個人情報を含むと公表した (続報2)[2]
8月19日公表伊予銀行が業務委託先での不正アクセスによる顧客情報の漏えいを公表した[6]
8月23日対応伊予銀行が、漏えいが確認された顧客への通知文書の発送を順次始めた[6]
10月4日公表フォレンジック調査の完了と原因、再発防止策を公表した[3]

攻撃した側について

被害企業は攻撃者名を公表していない

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

ランサムウェア被害の発生について株式会社イセトー、2024年5月29日、被害組織の資料
ランサムウェア被害の発生について (続報2) 株式会社イセトー、2024年7月3日、被害組織の資料
不正アクセスによる個人情報漏えいに関するお詫びとご報告株式会社イセトー、2024年10月4日、被害組織の資料
【お詫びとご報告】委託先へのランサムウェア攻撃による個人情報の流出について公文教育研究会、2024年6月29日、被害組織の資料
印刷業務委託先のランサムウェア被害の発生について広島県、2024年7月2日、公的機関の資料
業務委託先での不正アクセスによるお客さま情報の漏えいについて株式会社伊予銀行、2024年8月19日、被害組織の資料

イセトー ランサムウェア被害