イセトーのサイバー攻撃から学ぶランサムウェア対策

「請求書の発行や発送を外部の会社に任せているけれど、預けた個人情報は本当に大丈夫なのかな？」

「もし委託先がサイバー攻撃を受けたら、うちの会社にも影響するの？」

このような不安を感じている方に知ってほしいのが、2024年5月に発生した株式会社イセトーへのランサムウェア攻撃です。

この事件では、イセトーだけでなく、業務を委託していた自治体や企業にも情報漏えいの被害が広がりました。

今回は、イセトーで何が起きたのかを振り返りながら、中小企業でも確認しておきたいセキュリティ対策についてわかりやすく解説します。

セキュリティー診断さん

攻撃された会社だけじゃなくて、そこに情報を預けていた会社まで被害に遭うの？ 外部に任せているから安心、とは言い切れないんだね…。

イセトーのランサムウェア攻撃で何が起きたのか

イセトーは、請求書や通知書などの印刷・発送をはじめ、さまざまな事務処理を企業や自治体から請け負っている会社です。

2024年5月26日、イセトーの情報処理センターや全国の営業拠点で、複数の端末やサーバーがランサムウェアによって暗号化されていることが確認されました。

ランサムウェアとは、会社のデータを勝手に暗号化して使えなくし、復旧などと引き換えに金銭を要求するサイバー攻撃です。

さらに6月18日には、攻撃者の「リークサイト」に、盗んだとされる情報を公開するためのURLが掲載されました。

リークサイトとは、盗み出した情報を公開して、被害を受けた企業などを脅すために使われるサイトです。

その後の調査で、公開された情報はイセトーのサーバーから流出したもので、一部の委託元が預けていた個人情報も含まれていたことがわかりました。

攻撃を受けたのはイセトーですが、被害はそこに情報を預けていた自治体や企業にも広がったのです。

事件の流れを時系列で確認

イセトーは事件発覚後も調査を続け、判明した内容を段階的に公表しています。

ほかの企業で起きたケースについては、サイバー攻撃の事例一覧でも確認できます。

イセトーはなぜランサムウェア被害を受けた？原因を解説

今回の事件では、攻撃者がVPNから社内ネットワークへ侵入したことが公表されています。

さらに、データの保管や削除にも問題があり、被害を広げる原因になりました。

それぞれ詳しく見てみましょう。

侵入経路として公表されたのはVPN

VPNとは、会社の外から社内のネットワークへ安全に接続するためなどに使われる仕組みです。

テレワークや外出先から社内システムを利用するときにも使われています。

イセトーは、このVPNから不正アクセスを受け、攻撃者が社内ネットワークへ侵入したと公表しました。

ただ、利用していたVPNの製品名や、具体的にどのような方法で侵入されたのかまでは明らかにされていません。

そのため、「特定のVPN製品の脆弱性が原因だった」とまでは断定できません。

大切なのは、VPNに限らず、インターネットからアクセスできる機器やシステムは攻撃の入り口になる可能性があるということです。

本来残っていないはずのデータまで保管されていた

イセトーでは、侵入を許してしまったことに加えて、データの扱い方にも問題がありました。

作業を効率よく進めるため、本来は対象の情報を扱ってはいけないサーバーにもデータを保管していたことが公表されています。

さらに、業務終了後に削除するべきデータも残ったままになっていました。

たとえるなら、金庫にしまうべき重要な書類を、「また使うかもしれないから」と机の上に置いたままにしていたような状態です。

そこへ泥棒が入れば、本来なら盗まれずに済んだ書類まで持っていかれてしまいますよね。

今回の事件も、外部から侵入されたことと、必要以上のデータが残っていたことが重なり、被害が大きくなったと考えるとわかりやすいでしょう。

どれくらいの情報漏えいが起きたのか

イセトーは、漏えいした個人情報の総件数を公表していません。

そのため、被害の全体像は、情報を預けていた自治体や企業がそれぞれ公表した内容から確認することになります。

たとえば豊田市では、最終的に148,620人が情報漏えいの対象になったと発表されました。

漏えいした情報には、住所・氏名・生年月日のほか、税額や所得、一部が伏字になった口座番号なども含まれています。

マイナンバー・電話番号・メールアドレスは含まれていません。

豊田市はイセトーに対し、2024年7月17日から12か月間の入札参加停止処分も行いました。

サイバー攻撃による情報漏えいは、データだけの問題ではありません。

取引先との関係や会社の信用にも影響が及ぶ可能性があることが、この事例からもわかります。

なお、イセトーは2024年10月4日時点で、流出した個人情報を使った不正利用などの二次被害は確認されていないと公表しています。

イセトーは事件後にどのような対策を取った？

イセトーは調査結果とあわせて、再発防止に向けた対策も公表しています。

主な内容は次の3つです。

• 侵入経路となったVPNを使わない体制へ変更し、認証も強化する
• 決められた場所以外へデータを移せない環境を整え、保管期限や削除のルールを明確にする
• データの扱い方に関する監査や、社員へのセキュリティ教育を強化する

ポイントは、侵入を防ぐための対策だけではありません。

万が一侵入されても被害を広げないよう、普段のデータ管理についても見直しています。

セキュリティー診断さん

入口を守るだけじゃダメなんだ！ 使い終わったデータを残しっぱなしにしないことも、会社を守るためには大事なんだね。

イセトーの事件から中小企業が学べる3つのこと

「これだけ大きな会社の事件なら、うちにはあまり関係なさそう」と感じる方もいるかもしれません。

ですが、外部の会社に情報を預けたり、インターネットからアクセスできるシステムを使ったりすることは、中小企業でも珍しくありません。

今回の事件から、自社でも確認しておきたいことを3つ見てみましょう。

外部に預けた情報も自社のリスクとして考える

請求書の発行やダイレクトメールの発送などを、外部の会社へ任せている企業は多いはずです。

外部サービスを利用すれば、自社の作業を減らせる大きなメリットがあります。

だからこそ、重要な情報を預ける場合は、どのようなデータを渡しているのか、どのくらいの期間保管されるのかまで確認しておきましょう。

業務が終わったあとにデータを削除する契約になっている場合は、実際の管理方法について委託先へ確認しておくことも大切です。

「外部に任せたから終わり」ではなく、預けた情報がどのように扱われているのかまで把握しておくと安心です。

必要のないデータを残さない

今回の事件では、業務終了後に削除するべきデータが残っていたことも、被害が広がった原因になりました。

これは大企業だけで起こる問題ではありません。

「作業用にコピーしたファイルをそのままにしている」「昔のお客様の情報が何となく残っている」といった状態は、どの会社でも起こり得ます。

必要がなくなったデータは適切に削除し、重要な情報を必要以上に抱え込まないようにしましょう。

万が一侵入されてしまった場合でも、保管している情報が少なければ、それだけ盗まれる情報を減らせる可能性があります。

外部からアクセスできる場所の弱点を確認する

今回、イセトーへの侵入経路として公表されたのはVPNです。

Webサイトの脆弱性が原因だったと公表されている事件ではありません。

ですが、インターネットからアクセスできる場所が攻撃の入り口になり得るという点は、自社のWebサイトやWebアプリにも関係します。

企業サイトだけでなく、ECサイトや会員ページ、予約システム、外部公開しているAPIなどに弱点が残っていれば、そこを狙われる可能性があります。

長いあいだ問題なく使えているシステムでも、安全とは限りません。

定期的に状態を確認し、攻撃につながる弱点が残っていないか調べておきましょう。

自社のWebサイトにも弱点がないか確認しておこう

今回の侵入経路となったVPNは、『セキュリティー診断さん』の診断対象ではありません。

その代わり、Webサイト・Webアプリ・ECサイト・外部からアクセスできるAPIについては、脆弱性診断によって攻撃につながる弱点がないか調べられます。

自社の状態が気になった場合は、まず無料のセキュリティチェックで確認してみましょう。

専門的な診断を検討していて、「どのくらい費用がかかるのだろう」と気になる場合は、専門家による診断費用の目安も参考になります。

『セキュリティー診断さん』では、AIが専門家の視点でWebサイトなどを診断し、見つかった弱点をわかりやすいレポートでお伝えします。

見積もりを取らなくても料金がわかるため、「難しいことはよくわからないけれど、自社のサイトが安全なのか確認しておきたい」という場合にも利用しやすいサービスです。

被害が起きてから慌てないためにも、自社の外から見える部分に問題がないか一度確認しておきましょう。

外部に任せている情報と自社の入り口を見直そう

イセトーの事件では、VPNから侵入されたことに加えて、本来とは異なる場所にデータが保管され、削除するべき情報が残っていたことで、委託元にも被害が広がりました。

請求書の発行や発送などを外部に任せている場合も、預けている情報の種類や保管期間を把握しておくことが大切です。

自社が管理するWebサイトやWebアプリについても、外部から狙われる弱点が残っていないか定期的に確認しておきましょう。

安全面に不安がある場合は、AIでWebサイトなどの弱点を診断できる『セキュリティー診断さん』も、自社の状態を確認する方法として活用してみてください。

会社とお客様の大切な情報を守るためにも、できるところから安全対策を進めていきましょう。

セキュリティー診断さん

大きな会社で起きた事件でも、うちの会社で見直せることはたくさんあるんだね！ まずは預けているデータと、自社のサイトに弱点がないか確認してみるよ！

参考資料

• 株式会社イセトー「ランサムウェア被害の発生について」
• 株式会社イセトー「ランサムウェア被害の発生について（続報）」
• 株式会社イセトー「ランサムウェア被害の発生について（続報2）」
• 株式会社イセトー「不正アクセスによる個人情報漏えいに関するお詫びとご報告」
• 豊田市「委託業者のランサムウェア被害に伴う個人情報の漏えいについて」