イセトーで何が起きた？ 2024年のランサムウェア攻撃と委託データの流出

何が起きたか

2024年5月、通知書の印刷・発送などを受託するイセトーが不正アクセスを受け、複数のサーバーや端末のファイルがランサムウェアで暗号化されました。その後、取引先から預かった個人情報を含むデータが外部へ流出したことも確認されました。イセトーの初報／10月の調査結果

個人情報保護委員会の2025年3月の公表資料によると、漏えい・毀損が生じた委託元の個人データに関係する本人は約307万6千人です。これとは別に、イセトー従業者441人分の個人データにも被害があったと記されています。

被害と影響

イセトーは2024年5月26日に、複数のサーバー・パソコンのデータが暗号化されたと確認しました。被害への対応として、社内ネットワークや感染が疑われる機器を休止。6月6日の続報では、生産体制に遅延があり、徐々に復旧していると説明しました。暗号化は攻撃による被害、機器の休止は被害拡大を抑えるための対応として分けて読みます。イセトーの初報／6月6日の続報

情報流出の確認: 5月29日の初報では、流出はまだ確認されていませんでした。6月6日には一部取引先の個人情報に流出のおそれがあると説明。6月18日、攻撃者グループのサイトに情報のダウンロード用URLが現れ、イセトーは後の調査で、公開ファイルが自社サーバーから流出したもので、取引先の顧客の個人情報を含むことを確認しました。7月3日にこの結果を公表しています。イセトーの初報／6月6日の続報／7月3日の続報

イセトーによると、侵入したのは取引先の個人データを通常保管する業務系ネットワークではなく、別の基幹系ネットワークでした。しかし、委託された一部のデータが本来のルールに反して基幹系ネットワークにも置かれ、業務後に削除されていなかったため、攻撃を受けた範囲に含まれました。イセトーの10月の調査結果／個人情報保護委員会の資料・第2

委員会の資料では、直接の委託元は41団体、再委託元を含めると影響を受けた団体は約100団体とされています。個人情報保護委員会の資料・第2の1(3)

出来事の時系列

時系列はイセトーの初報、6月6日の続報、7月3日の続報、10月の調査結果、個人情報保護委員会の資料に基づきます。

まだ分かっていないこと

2024年5月26日は被害の確認日です。攻撃者が最初に侵入した日時は、参照した資料から確認できません。また、VPN機器を経由したことは確認されていますが、認証を突破した具体的な方法も未解明です。古いソフトウェアや弱いパスワードがあったという指摘を、実際に悪用された手順と混同しません。イセトーの初報／個人情報保護委員会の資料・第2の3

イセトーは2024年10月4日時点で、漏えいした個人情報を使った不正利用などの二次被害は確認していないと説明しました。個人情報保護委員会も2025年3月19日の資料で、同社は二次被害に関する情報提供を受けていないと記しています。これは各時点の確認状況であり、将来を含めて被害がないと断定するものではありません。イセトーの10月の調査結果／個人情報保護委員会の資料・第2の4

この事例から分かること

この事件では、取引先から預かったデータの置き場所と削除のルールが守られていなかったことが、被害範囲の拡大につながりました。委員会はその点を含む安全管理上の問題を指摘し、イセトーに指導を行いました。個人情報保護委員会の資料・第2の3、第3、第4

取引先から対象者として案内を受けた人は、案内の発信元と公式窓口を確かめてください。イセトーは、取引先や同社を名乗る不審な電話・郵便物にも注意を呼びかけています。これは流出後の二次被害への備えであり、最初のランサムウェア攻撃を個人が止める方法ではありません。イセトーの10月の調査結果「2」