1月9日週にかけて発生したセキュリティに関する出来事や、サイバー事件をダイジェストでお届け。

チューリッヒ、最大757,463人分の個人情報が漏えい

チューリッヒ保険会社が保有する顧客の個人情報の一部が漏えいした。2023年1月9日未明、同社顧客の個人情報が海外サイトに掲載されているとの報告を受け発覚。漏えいは、同社の外部委託業者が、第三者からの不正アクセスを受けたことで発生したとみられている。ただし、クレジットカード番号、銀行口座情報は含まれていない。

漏えいの対象となるのは、チューリッヒ保険会社の「スーパー自動車保険」にかつて加入した人と、現在も加入している人で最大757,463人分となる。漏えい情報の内容は、姓のみ（漢字、カタカナ）、性別、生年月日、メールアドレス、証券番号、顧客ID、車名、等級など（自動車保険契約にかかる事項）。

同社は、個人情報が漏えいした可能性のある顧客に対して個別に連絡。不審な電話、郵送物、メールについて、十分に注意するよう呼びかけている。

アフラック、外部事業者の情報流出によって約130万件の個人情報が漏えい

アフラック生命保険が業務委託する外部業者が不正アクセスを受け、アフラック生命保険が保持する個人情報の一部が流出した。情報流出は2023年1月9日に発覚。アフラック生命保険の顧客情報が海外の情報漏えいサイトにあることを確認した。掲載情報は、外部業者に提供した個人情報の一部だったという。この情報は、動画の配信情報を顧客にダイレクトメールで送るためのものだった。

漏えいの原因は、2023年1月7日以降に外部業者が利用しているサーバーが受けた不正アクセスによるもの。対象は、「新がん保険」「スーパーがん保険」「スーパーがん保険 V タイプ」の加入情報1,323,468人分（データ件数は延べ3,158,199件）。流出情報の内容は、姓のみ（漢字、カナ）、年齢、性別、証券番号、保険種類番号、保障額、保険料など。なお、現時点では個人情報の不正利用などはないと発表している。

「ところざわサクラタウン」の公式ツイッターが乗っ取り被害

KADOKAWAの複合施設「ところざわサクラタウン」の公式ツイッターが乗っ取り被害を受けた。発覚したのは2023年1月9日で、ところざわサクラタウンの公式ツイッターアカウント「@sakuratownjp」が不正アクセスを受けて乗っ取られたという。対応策として公式アカウントの利用を中止し、乗っ取られたアカウントの停止、および復旧依頼をツイッターヘルプセンターに申請した。

現時点で乗っ取りによる二次被害の報告はないものの、完全な復旧を果たすまでは警戒しておきたい。KADOKAWAは引き続き調査を進め、セキュリティ強化についての対応を模索していくとしている。

朝倉書店、ホームページとデジタル内科学サービスに不正アクセス

朝倉書店は、年末年始の休業期間中に同社のホームページ、および「デジタル内科学」サービスページでアクセス不良が発生したと発表した。原因は同社サーバーへの不正アクセスで、2022年の年末に発生。サーバー側にて緊急避難的な対応を行ったことでつながりにくくなったとのこと。不正アクセスの詳細は現在も調査中だが、すでに復旧は完了している。

同社は休業期間中だったこともあり復旧が遅れたことを謝罪。今回の不正アクセスによる個人情報流出などの被害はない。

カバーマーク公式オンラインショップ、ショーケース製サービスへの不正アクセスで情報漏えい

カバーマークECサイト「カバーマーク公式オンラインショップ」が導入していたショーケース製サービスが不正アクセスを受け、クレジットカード情報が漏えいした。

2022年7月28日にショーケースのプログラムが不正アクセスを受け、改ざん被害に遭ったことが原因。改ざんは「フォームアシスト」と「サイト・パーソナライザ」で発生していた。この連絡を受けて、同サービスとの連携を遮断。2022年8月3日にはクレジットカード決済機能を停止し、第三者機関に調査を依頼した。

調査の結果、2022年7月19日から2022年7月26日の期間に「カバーマーク公式オンラインショップ」でクレジットカードを使用した人の情報（2,259件）に漏えいの可能性があることがわかった。詳細は、クレジットカード番号、有効期限、セキュリティコード。

同社は、クレジットカード会社と連携して漏えいした可能性のあるクレジットカードによる取引のモニタリングを継続して実施。顧客に対しては、クレジットカードの利用明細書に身に覚えのない請求項目がないかを確認するよう呼びかけている。再発防止に向けて、システムのチェックとセキュリティを含めた監視体制を強化するとしている。

マイクロソフト、1月のセキュリティ更新プログラムをリリース

マイクロソフトは1月11日（米国時間）、セキュリティ更新プログラムの情報を公開した。緊急6件、重要6件の脆弱性を修正している。

■緊急：リモートでのコード実行
・Windows 11、v22H2
・Windows 10 v21H2、v21H1、v20H2
・Windows Server 2022（Server Core installationを含む）
・Windows Server 2019、2016（Server Core installationを含む）
・Windows 8.1、Windows Server 2012 R2、Windows Server 2012（Server Core installationを含む）
・Microsoft SharePoint

■重要：リモートでのコード実行
・Microsoft Office
・Microsoft Visual Studio

■重要：特権の昇格
・Microsoft Exchange Server
・Microsoft Azure関連のソフトウェア
・Windows Malicious Software Removal Tool

■重要：サービス拒否
・Microsoft.NET

PayPayカードを騙るフィッシングメール

1月4日以降、PayPayカードを騙るフィッシングメールが拡散している。送られてくるメールのタイトル例は「●●●●年●●月●●日お支払い金額のお知らせ - PayPayカード」など。

メールでは、PayPayカードの利用速報として使用した合計金額を記載。明細を確認するためのリンクを用意し誘導する。誘導先は「PayPay」を模したフィッシングサイトで、ログインIDやパスワードなどの入力欄がある。自分の情報を確認したい場合は、公式アプリや公式サイトからアクセスするようにしたい。