富士通の情報共有ツール「ProjectWEB」に不正アクセス、142顧客に被害（2021年）

何が起きたか

富士通が顧客とのプロジェクト情報を共有するために使っていた「ProjectWEB」に、第三者が不正アクセスしました。富士通は、保存されていた顧客情報の一部が不正に閲覧またはダウンロードされたと確認しています。富士通の初報、第二報

被害のあった顧客数は142です。2021年8月には129顧客と発表されていましたが、2022年3月の続報で142顧客に更新されました。142は顧客の数であり、情報を見られた個人の人数ではありません。富士通の第五報

どのような情報が対象だったか

富士通の説明では、顧客のシステムを構成する機器に関する情報や、プロジェクトの体制図、打ち合わせメモ、作業項目、進捗管理表などが不正閲覧またはダウンロードの対象になりました。その一部には、顧客や関係者の氏名・メールアドレスも含まれていました。個人情報の対象人数は、この公表資料からは確認できません。富士通の第二報

攻撃の経路とその後

富士通は、第三者が正規のIDとパスワードを使用して外部からProjectWEBにアクセスしたと確認しました。同社は後の調査でProjectWEBに複数の脆弱性があることを確認し、攻撃者がそのいずれかを用いるなどして認証情報を盗んだと判断しています。ただし、どの脆弱性が悪用されたかは特定していません。脆弱性の種類や侵入の細部を確定事実として補いません。富士通の第二報、第四報

富士通は調査中にProjectWEBを停止し、その後、利用を終えて別の情報共有ツールへ移る方針を公表しました。外部検証委員会の報告を受け、認証、情報管理、検知と対応体制の強化も発表しています。富士通の初報、第四報、第六報

出来事の時系列

時系列は初報、第二報、第四報、第五報、第六報に基づきます。5月6日は発見日であり、攻撃開始日ではありません。

この事例から分かること

正しいIDとパスワードでログインされていても、利用者本人の操作とは限りません。顧客情報を預かる共有ツールでは、1件の侵害が複数の顧客に影響することがあります。これは公表内容から導く教訓であり、個々の顧客が自分の設定だけで防げたという意味ではありません。富士通の第二報

関係者への案内: 対象や必要な対応は、所属組織または富士通からの公式な連絡で確認してください。