【2024年下半期】不正アクセス事例まとめ～国内企業のセキュリティ被害～vol.2

上半期に引き続き、2024年下半期も不正アクセスなどによるセキュリティ被害が相次ぎました。ニコニコ動画への攻撃やLINEでの情報漏洩など、世間を大きく騒がせたニュースも多い1年だったのではないでしょうか。

今回は2024年7月1日～12月15日までの期間に発生した国内企業211社の不正アクセス被害140件を独自に調査。攻撃の種類や被害にあった企業、団体の傾向を弊社の観点で分析、考察していきます。

【2024年下半期】不正アクセス被害に遭った企業の傾向

2024年下半期に不正アクセス被害に遭った企業の傾向を分析します。

漏洩数は約488万件

今回調査を行った企業の中で情報漏洩が発生、もしくは漏洩の恐れがあると発表しており、なおかつ漏洩件数を公表しているのは211社中58社。各社が公表した漏洩件数は延べ約4880,754件でした。

その中でも最も漏洩件数が多かったのは三菱電機ホーム機器株式会社で発生したサーバへの不正アクセスの約231万件。家電製品サービス履歴に含まれる個人情報を含むサーバに対して2回のアクセスを認めたと発表しています。調査では流出の痕跡が見られなかったことから漏洩の可能性は極めて低いと公表されていますが、一度に数百万人分の情報が漏洩したと考えると一度の攻撃が甚大な被害をもたらしかねないことが分かります。

ECで多発する不正アクセス①ペイメントアプリケーションの改ざん

ECサイトへの被害は15件、そのうちクレジットカード情報の漏洩（懸念）を発表したのは10件。上半期に発生したECへのサイバー攻撃は19件、うちクレカ情報の漏洩が懸念されるのは15件だったため、下半期は公表数としてはわずかに落ち着きましたが、依然としてクレカ情報を含む情報漏洩の割合が非常に多いといえるでしょう。

ECサイトは基本的にクレカ情報を保持しないシステムを採用している企業がほとんどですが、このような被害が絶えません。これは、ECサイトで発生する被害では「ペイメントアプリケーションの改ざん」が主な攻撃手法として用いられているからです。

攻撃者はシステムが脆弱なECサイトを狙ってカード番号入力ページ（ペイメントアプリケーション）を不正に改ざんし、顧客がカード番号を入力すると攻撃者側に番号が送信されるシステムを作ります。

この方法は発覚までに時間がかかることも多いため、クレカ情報の漏洩が広がりやすいのが特徴です。まずはセキュリティ面で「狙われにくいECサイト」を制作することが重要だといえるでしょう。

ECで多発する不正アクセス②パスワードリスト攻撃

11月26日、三越伊勢丹ホールディングスの定期宅配サービス「ISETAN DOOR」、宅配弁当大手のオイシックス・ラ・大地で相次いで顧客のアカウントへの不正ログインが起こったと発表されました。

2社のHPが公表している情報によれば、どちらも不正入手したID・パスワードを悪用する「パスワードリスト攻撃」による被害とのこと。ISETAN DOORはオイシックス・ラ・大地と共同で運用しているサービスであることから、共通のシステムを狙われたものと推察されます。

バスワードリスト攻撃とは

パスワードリスト攻撃はなんらかの方法で既に漏洩したIDとパスワードを利用した攻撃のため、企業側のサーバや顧客情報には基本的に被害がなく、Webサイト側からは対策しづらいのが特徴です。

しかし11月に発生したISETAN DOORとオイシックス・ラ・大地の被害を総計するとおよそ11万人分のアカウントで不正にログインが発生しており、一度攻撃を受けると他人事にはできないほど被害件数が増えることが分かります。

企業側の対策としては、ログイン時にロボットによる操作を防ぐ二段階認証などのシステム導入などが推奨されます。

学校・教育機関の不正アクセス被害

学校・教育機関で発生したセキュリティ被害は14件と、およそ1ヶ月に2回以上のペースで被害が発生しており、そのうち7件が大学への被害です。上半期は教育業界で発生した被害が全部で5件だったことを考えるとかなり増加していることが分かります。

公表されている中で最も多いのは、学生・教職員のメールアカウントが乗っ取られ、フィッシングメールの踏み台にされる攻撃（4件）。何らかの方法で窃取したメールアカウントのID・パスワードを不正に利用してスパムメールを送信することで、さらに被害が拡大していきます。

生徒の個人情報を所持している教職員はもちろん、学生にもアカウントの管理をしっかりと行う対策が求められています。

話題の不正アクセス事例①ニコニコ動画のKADOKAWAがランサムウェア被害、36億円の特別損失

動画サイト「ニコニコ動画」などを運営する株式会社KADOKAWAが大規模なサイバー攻撃を受けたニュースは大きく世間を騒がせました。6月上旬に攻撃発生を公表した後、ニコニコ動画が完全に再開したのは約4ヶ月が経った10月17日でした。

同社は11月にクリエーターへの補償費用、サーバなどの復旧費用などを含む特別損失24億円を見込んでいることを発表。また、売上高は77億円、営業利益は47億円の減少を予想しているとのことです。

話題の不正アクセス事例②サイゼリヤで従業員の個人情報約6万件漏洩

10月16日有名イタリアンチェーン店・サイゼリヤでランサムウェアとみられるサイバー攻撃が発生したと公表されました。

漏洩の恐れがあるのは会社の従業員とその家族、取引先などの氏名や住所、メールアドレス、それに電話番号などの個人情報があわせて6万1000件余り。多くのアルバイト従業員を抱える外食企業でのサイバー攻撃ということもあり、顧客情報を含まない情報漏洩としては異例の漏洩件数となりました。

話題の不正アクセス事例③カシオ、ランサムウェアの影響でクリスマス商戦に大打撃

2024年10月5日に発生したランサムウェア被害により、カシオ計算機株式会社は10～12月期の売上高を約130億円、営業利益約40億円下方修正しました。

同社の決算概要によれば、サイバー攻撃によってサプライチェーン関連の社内システムが停止したことでクリスマス商戦に向けた製品の供給が不足し、販売機会の損失が発生したとのこと。

売上高130億円といえば先述したKADOKAWAの2倍近くという非常に大きな損失であり、メーカーの生産システムに悪影響を及ぼしたケースでの損害の大きさがよく分かる事例です。

話題の不正アクセス事例④LINE公式アカウントがパスワードリスト攻撃に

10月24日、LINEヤフー株式会社はビジネス・開発者向けに提供されている「LINE公式アカウント」にてパスワードリスト攻撃の被害に遭った企業アカウントがいることを発表。攻撃によって不正ログインされた公式アカウントと友達になったユーザとのやり取りが閲覧できる状態になっており、不審なメッセージの送信も確認されたということです。

被害を受けたLINE公式アカウントはいずれもメールアドレスのみで2段階認証を利用していない「ビジネスアカウント」だったとのことです。

なお、LINEでは11月28日～30日にかけてアルバム機能において他ユーザの画像が表示されるというシステムエラーが発生した事件も大きな話題になりました。

SNS、メッセージアプリにおけるセキュリティ管理の重要性が浮き彫りになった事例です。

不正アクセストピック深堀り①BtoBは特に注意！「委託先経由」で情報漏洩

ここからはセキュリティ被害の中でも注目のトピックをいくつか深掘りしてご紹介します。

2024年は「委託先企業による情報漏洩」の報告が相次ぎました。下半期の代表的な事例では関通、倉業サービス、ヒロケイ、東京損保鑑定といったBtoB企業が委託先の情報も含め漏洩する被害に遭っています。

直接サイバー攻撃を受けたのはいずれも中小企業ですが、攻撃を受けたことにより多数の企業を巻き込む情報漏洩を招く結果となりました。「小さい企業だから大丈夫」ということはなく、委託先のリリースを通じて大きな話題となり、それがきっかけで企業の信頼性が揺らぐ可能性もあります。

ケース①関通：倉庫管理システム停止で物流停止

9月12日、株式会社関通が提供するクラウド型の物流システム「クラウドトーマス」がランサムウェアに感染した影響で、同システムを利用している多数の企業で一時的に物流が停止する事態に発展しました。

現在、当社委託倉庫のシステム障害が発生しており、ご注文いただいた商品を出荷することができない状況が発生しています。

復旧作業に努めておりますが、2024年9月13日10:00時点で復旧の目処がたっておりません。

本障害により到着指定日に間に合わない可能性のあるお客さまへは個別でご連絡を差し上げます。

引用：ビッグウイングオンラインストア「システム障害による個人情報漏えいの可能性、出荷遅延について」

今回の調査では、48社が関通のサイバー攻撃に際して発送業務停止・個人情報漏洩の懸念を公表したことが確認されました。公表していない企業を考慮すると、さらに多くの企業が被害に遭ったと推測されます。

ケース②ヒロケイ：全国の健康保険組合で情報漏洩

株式会社ヒロケイは健康保険組合の基幹システムの開発を受託開発しており、同社が4月にランサムウェア被害を受けた影響で全国の健保組合で漏洩の恐れが相次いで公表されました。

漏洩した恐れのあるデータの中には病院の診察データなど機密性の高い情報も含まれており、病院における個人情報管理の必要性が露わになった事例でした。

ケース③東京損保鑑定：委託元の損保会社で計192,000件流出

損害保険会社の査定を行う東京損保鑑定は10月7日にランサムウェア被害を公表。その後、同社に委託していた複数の損保会社が個人情報漏洩の懸念を発表しました。

2024年12月時点で公表されている漏洩件数は192,000件。三井住友海上火災保険、損害保険ジャパンなど知名度の高い損保会社が被害を受けたことから大きな話題となりました。

損保業界では8月に保険代理店に出向した社員が他社の情報を横流しする情報漏洩の告発も起こっています。今後、顧客情報の取り扱いと信頼性に大きなメスが入る可能性もあるでしょう。

賠償金を請求されるケースも

企業の信頼性に関わるだけでなく、実際に委託先から多額の賠償金を請求されるケースもあります。5月にランサムウェア被害を公表したイセトーは14万8,000万人分の情報が漏洩した件について愛知県豊田市に損害賠償を請求されています。

このような被害を防ぐには企業の規模に関わらず被害に遭う危険性があることを認識し、事前に対策を行うことが肝心です。

あわせて読みたい

情報漏えいのセキュリティリスクを知っておこう｜実際の事例・対策を紹介 企業で情報漏えいが発生した場合のリスクは近年徐々に知られるようになってきました。 しかし、実際にセキュリティインシデントが発生したらどのような損害が生じるかは...

不正アクセストピック深堀り②管理システムが原因？ホテル業界で不正アクセスが多発

ホテル業界はオンライン予約システムを狙った不正アクセス・情報漏洩が多発しています。昨年からBooking.comなどの予約アプリを経由したフィッシングメール送信の被害が相次いでおり、2024年下半期も7月～8月初旬にかけてBooking.comの宿泊管理システムに不正ログインする事例が3つ続いています。

しかし今期の傾向として最も注目すべきなのが予約管理システムを利用しているホテルでの不正アクセス被害。2024年8月中旬以降、14のホテルが委託先の予約管理システムを経由した予約管理システムへの不正アクセスに起因する情報漏洩の懸念を公表しており、そのうち8社が「TL-Lincoln」と呼ばれる管理システムへの不正侵入が原因であるとしています。

上半期までは同システムを使ったサイバー攻撃の被害報告は一切なく、下半期に入ってから急激に増加した印象です。委託先のシステムを明かしていない企業も「（海外）予約サイト・代理店経由での宿泊予約情報の漏洩」「予約データをCSV出力された恐れ」など共通の被害を報告しています。

複数の発表で「シーラック社へのサイバー攻撃は見られない」との記述があることから、宿泊予約を管理するアカウントに対して何らかの攻撃を仕掛けている攻撃者がいるのかもしれません。

ホテル業界はネットを通じた予約システムの導入がほぼ必須となっており、したがって外部システムにおけるセキュリティ対策の重要性が高いといえます。顧客からの信頼度を守るためにも、自社サーバやサイトの保守はもちろんアカウントの企業アカウントのセキュリティ対策をきちんと行いましょう。

不正アクセストピック深堀り③政府主導でサイバー攻撃への対策が進む

拡大し続ける不正アクセス等のサイバー攻撃被害に対し、政府が主導で対策を推し進める動きが活発化しています。

半導体企業にサイバー攻撃対策を求める方針

経済産業省は11月、セキュリティ被害のリスクが高い半導体関連企業に対してサイバー攻撃対策を補助金支給の条件とする方針を固めました。

補助金は「2030年度までに10兆円以上」と多額であり、半導体企業に対して補助金の受給を勧めることでセキュリティ対策を実質義務とする方針です。

インフラ事業者に情報提供を義務化

政府は、電力、水道、医療などの重要インフラ事業者に対し、使用しているIT機器やソフトウエアの情報を国へ登録することを義務付ける方針を決定しました。

新たなサイバー攻撃の手法が判明したとき迅速に事業者に周知できる体制を整え、被害の拡大や社会全体の混乱を未然に防ぐことを目指していくとのことです。

「能動的サイバー防御」導入へ

上半期の記事でも触れた「能動的サイバー防御」は導入に向けて着々と準備が進められています。

11月29日、サイバー攻撃の兆候を事前に捉え被害を未然に防ぐ「能動的サイバー防御」の導入に向けた有識者会議の会合が首相官邸で開かれ、最終提言が取りまとめられました。

提言では外国から日本国内への通信を平時からある程度監視する必要性が指摘されています。

石破茂首相は「サイバー対応能力の向上は、現在の安全保障環境を考えると急務である」と強調しており、2025年の通常国会で関連法案を提出することを目指しているそうです。