［プチ昔の事例］ 2015年5月8日 日本年金機構に標的型メールが送信され職員がクリックして情報が大量流出、危機意識が欠如し人的体制・技術的対応も不十分だった （第１報）

報道量が多いため、以下、管理面の問題にスポットを当てた記事を中心に、ポイントのみ転記する。

 

 

（6月1日21時35分　読売新聞）

 

日本年金機構は１日、外部から送られた電子メールで職員のパソコンがウイルス感染し、年金受給者や加入者の氏名、基礎年金番号など約１２５万件の個人情報が流出したと発表した。

 

年金記録が第三者に知られるなどの被害を防止するため、同機構は、情報が流出したすべての人の基礎年金番号を変更する。

 

警視庁公安部は、刑法の不正指令電磁的記録供用（ウイルス供用）容疑を視野に、捜査を始めた。

 

出典ＵＲＬ

http://www.yomiuri.co.jp/national/20150601-OYT1T50129.html?from=ycont_top_txt

 

 

（6月3日6時51分　朝日新聞）

 

今回の攻撃は、５月８日に始まった。

職員が、パソコンに届いた電子メールに添付されたファイルを開くとパソコンがウイルスに感染して、外部に個人情報を送り始めた。

 

機構などによると、流出したとみられるのは、「情報系システム」に入っていた基礎年金番号、氏名、生年月日、住所の４種類の個人情報。

 

職員のパソコンとはＬＡＮで結ばれ、アクセス権限を持つ職員が見ることができる。

作業がやりやすいように、情報をパソコンにダウンロードしてファイルで保存することも認められている。

ファイルで保存する場合には、原則としてパスワードをかける内規があるが、今回流出した約１２５万件のうち、４割強にあたる約５５万件は、パスワードがかかっていなかった。

 

情報セキュリティーー会社「Ｓ＆Ｊ」の三輪社長は、「インターネットに接続された端末で個人情報を扱うなど論外だ。基幹システムをネットワークから切り離していた意味がなく、大事な情報を取り扱う公的機関としてはまったく不十分だ」と指摘する。

 

出典ＵＲＬ

http://www.asahi.com/articles/ASH6263LGH62UTFL00H.html

 

 

（6月6日　毎日新聞）

 

機構によると、５月８日、福岡県内の事務所のパソコン１台がウイルス感染したのを確認。メールアドレスは、外部に公開したアドレスだった。

 

９日に新種のウイルスと判明したため、１２日に機構のパソコン全てのウイルス対策ソフトを更新した。

１５日にはウイルス対策ソフト開発会社から、「外部に情報を漏えいするタイプではない」と報告があった。

２回目と３回目の攻撃は５月１８日と２０日で、この２日間に約１００通のメールが届いた。

一部のメールは海外のサーバーを経由しており、大半が公開されていない職員の個人アドレス宛てだったとみられる。

２３日に１９台のパソコンから大量の情報発信が確認された。

こうした経緯から、１８、２０日の攻撃で機構のパソコンを遠隔操作して、年金加入者情報を流出させたとの見方が強まっている。

機構は、感染を確認する度にウイルス対策ソフトを更新し、感染したパソコンのネット接続を遮断したが、全拠点のネット接続を断ったのは２９日。

専門家は、「最初の感染を確認した時点ですべてネットから遮断すべきだった」と指摘している。

メールの件名は「医療費通知」「厚生年金徴収関係研修資料」など厚労省に関係するようなタイトルで、少なくとも４種類あった。

出典ＵＲＬ

http://mainichi.jp/shimen/news/20150605ddm041040141000c.html　　

 

 

（6月7日　毎日新聞）

 

約１２５万件の情報は、９４９のファイルに分けて入っていた。

このうち、第三者の閲覧を防ぐパスワードが設定されていたのは７ファイルだけで、約５５万件のデータが入っていた９４２のファイルには、内規に反して設定されていなかった。

出典ＵＲＬ

http://mainichi.jp/select/news/20150608k0000m040087000c.html

 

 

 

関連記事（報道順）

 

6月4日　毎日新聞

年金情報流出：時代遅れの危機管理　パスワードなし

http://mainichi.jp/select/news/20150604k0000m040114000c.html　

 

6月5日　読売新聞

年金機構、ウイルス検出時に調査せず…情報流出

http://www.yomiuri.co.jp/national/20150604-OYT1T50162.html

 

6月5日　朝日新聞

年金機構攻撃、１７日間幹部に知らせず　係長以下が対応
http://www.asahi.com/articles/ASH653G5MH65UTFL007.html　

 

6月7日　朝日新聞

年金機構、崖っぷち　情報１２５万件流出、幹部「初動大きく誤った」

http://www.asahi.com/articles/DA3S11795824.html?ref=nmail_20150607mo&ref=pcviewpage

 

6月8日　毎日新聞

年金情報流出：担当係長、内規違反の疑い

http://mainichi.jp/select/news/20150609k0000m040067000c.html

 

 

 

 

2015/06/09 (Tue) 【情報管理不備】　ﾊﾟｿｺﾝ・ﾒｰﾙ等 Comment(0)