8月22日週にかけて発生したセキュリティに関する出来事や、サイバー事件をダイジェストでお届け。

国税庁を騙るフィッシングメール

国税庁を騙るフィッシングメールが拡散している。メール件名の一例は以下の通り。

  • 未払い税金のお知らせ
  • 【未払い税金のお知らせ】
  • 税務署からの【未払い税金のお知らせ】
  • 【督促状】滞納した税金がございます
  • 【国税庁】最終通知
  • 【国税庁】差押最終通知
  • ＜未払い税金のお知らせ＞
  • NV TRUSTカードお取引のご確認 番号:M****

メールでは、所得税の督促について期限までに納付しないと不動産などを差し押さえるなどと記載しており、支払いサイトへと誘導。誘導先は国税庁を模したフィッシングサイトだ。メールアドレスやクレジットカード情報などの入力欄があり、入力すると情報窃取の可能性がある。8月23日の時点でフィッシングサイトは稼働中なので注意したい。

大阪市福祉局、「大阪市認知症高齢者等見守りネットワーク事業」の受託者が個人情報を漏洩

大阪市福祉局は、2022年8月5日に西淀川区で判明した「大阪市認知症高齢者等見守りネットワーク事業」での個人情報漏洩について、港区と旭区でも誤って登録したメールアドレスへメールを送信し、個人情報が漏えいしていたことを明らかにした。

今回の情報漏洩は、西淀川区で判明した情報漏洩を受け、各区で同様の事案がないか確認したところ発覚。協力者として登録しているメールアドレスを全件チェックした際、港区で2022年6月21日に登録した協力者のメールアドレス1件と、旭区で2021年7月28日に登録した協力者のメールアドレス1件に誤りがあった。

これにより、港区で1件、旭区で75件の氏名、性別、年齢、不明時の服装、本人写真などが漏洩した。港区の事案では対象者に謝罪し、メールは開封することなく削除したことを確認している。旭区の事案については現在も謝罪と状況説明を続行中。

事案発生の原因として、協力者のメールアドレスを登録する際とメール送信時に、複数名で確認を行わなかったことを挙げている。

SOMPOホールディングスの台湾グループ会社が不正アクセス被害

SOMPOホールディングスは、台湾にあるグループ会社「SOMPO Taiwan Brokers」がサイバー攻撃を受けたことを発表した。発覚後、被害の拡大を防止するためにネットワークを遮断。各種システムの利用も停止した。

同社は被害内容の特定に努めており、現時点においては顧客情報、同社グループの機密情報などの流出はないとしている。情報流出の有無などについては、外部の専門機関と協力して調査を進めている。

不正アクセスは「SOMPO Taiwan Brokers」のみで発生したもので、ほかのグループ会社などに影響はないという。

H.I.S.ホテルホールディングス、ウイルス感染で個人情報流出

H.I.S.ホテルホールディングスがサイバー攻撃を受け、運用している端末がウイルスに感染した。2022年7月14日の深夜、石川県金沢市「変なホテル金沢 香林坊」の無人チェックインシステムの管理PCにおいて、データ消去の事案を確認。ただちにチェックインシステム（自動精算機）提供会社へ連絡し、7月15日に管理PCがウイルス攻撃を受けた痕跡を確認した。これを受けネットワークから機器を切断。7月25日には、個人情報流出の可能性があることも判明している。

流出した可能性があるのは、2019年12月24日～2022年7月14日の期間に宿泊した顧客情報（最大34,425人分）。の詳細は、チェックイン時に入力した氏名、住所、電話番号、年齢、国籍、メールアドレス、職業、会社名、パスポート番号、同室者氏名、署名データ、パスポートスキャンデータなど。クレジットカード情報は含んでいない。

同社は調査を進めるとともに、該当する顧客の個人情報を悪用する事象が発生した場合、適切な措置を講じるとしている。

ブランド古着を取り扱う「ベクトルパーク」でクレジットカード情報流出

ベクトルが運営する「ベクトルパーク」が不正アクセスを受けた。これにより顧客のクレジットカード情報（18,136件）が流出した可能性がある。

不正アクセスは、システムの一部の脆弱性をついたペイメントアプリケーションの改ざんによるもの。2021年12月7日に、所轄警察署の岡山県警サイバー対策課からの連絡を受けて発覚した。社内調査を実施したところ不正プログラムを発見。これを除去し、2021年12月29日にカード決済を停止した。

その後、第三者機関に調査を依頼。2020年4月27日～2021年12月22日の期間に商品を購入した顧客のクレジットカード情報の流出が判明した。一部は不正利用の可能性もあるという。流出情報の詳細は、カード名義人名、クレジットカード番号、有効期限、セキュリティコード、ログオンID、パスワード。

同社はクレジットカード会社と連携し、流出した可能性のあるクレジットカードのモニタリングを継続。顧客に対しては、クレジットカードの利用明細書に身に覚えのない請求項目がないかを確認するよう呼びかけている。再発防止策として、システムのセキュリティ対策と監視体制の強化を実施。「ベクトルパーク」のクレジットカード決済再開日は決定しjだい告知するとしている。

プラネックス、トラベル無線LANルータ「ちびファイ3」に脆弱性

プラネックスコミュニケーションズのコンセント直挿型トラベル無線LANルータ「ちびファイ3」にて脆弱性が公開された。対象は「MZK-DP150N Version.1.44よりも前のバージョン」となる。

脆弱性は、初期設定で設定画面へのログインアカウントがすべての機器で共通になっていること。これにより、本製品に存在する非公開の管理者向け画面へのアクセスが可能となる。設定画面にログインしたのち、管理者権限で任意のOSコマンド実行の可能性があるという。すでにこの脆弱性を解消するファームウェアが公開されている。

Mozilla、 Firefoxのメジャーアップデート版「Firefox 104」

Mozilla Foundationは8月23日（米国時間）、Firefoxの最新バージョン「104.0」を公開した。延長サポート版である「Firefox ESR 91.13.0」、および「102.2.0」もリリースしている。

今回のアップデートにおけるセキュリティ更新は6件。内容は、高4件、低2件。「高」では、アドレスバーのなりすまし、メモリ安全性のバグなどがあり、これを修正している。

機能面では、ピクチャーインピクチャーで「Disney+」のサブタイトルが利用可能に。また、Apple M1およびWindows 11で、FirefoxプロファイラーからWebサイトによる電力消費が解析できるようになった。