何が起きたか

エムケイシステムは、社会保険労務士事務所などが使う「社労夢シリーズ」等を提供するサーバーが、2023年6月5日未明にランサムウェア攻撃を受けたと発表しました。サーバーのデータは暗号化されて開けなくなり、システムが停止しました。同社の7月19日の調査結果、1ページ「1.発生事象」

被害と影響

同社によると、サービス対象の約3,400ユーザーの大半に正常なサービスを提供できなくなりました。「約3,400」はサービスのユーザー数で、個人情報が流出した人数ではありません。6月5日には感染拡大を防ぐため、データセンター内の全サーバーをネットワークから遮断しました。これは攻撃でデータが暗号化されて起きた停止の後の防御対応です。同社の調査結果、1ページ「1」「2」

7月19日の調査結果は、情報窃取や外部転送の痕跡、ダークウェブへの掲載、情報流出の事実を確認していないと報告しています。ただし、同社は窃取の可能性を完全には否定していません。2024年3月の後続説明でも、流出については「おそれ」という表現です。7月19日の調査結果、2ページ「4.情報漏洩の有無」／2024年3月の同社説明

6月30日から新しいクラウド基盤でサービスを段階的に再開し、7月19日の第3報では「ほぼ復旧」と説明しました。8月8日の開示では、全サービスの提供を再開したと述べています。全ての暗号化データが元どおり復元されたという意味ではありません。7月19日の調査結果、2～3ページ「5.サービス再開」／8月8日の開示、1ページ

出来事の時系列

日時 出来事
2023年6月5日未明 サイバー攻撃とサーバーデータの暗号化。攻撃開始の厳密な時刻は不明。
同日6時頃 同社がシステムやサービスへアクセスできないことを確認。
同日7時頃 社内調査でランサムウェア感染を認知。
同日9時頃から データセンター内の全サーバーをネットワークから遮断。
6月6日 初回公表。
6月30日から 新たなクラウド基盤でサービスを段階的に再開。
7月19日 第3報を公表。この時点で「ほぼ復旧」と説明。
8月8日 全サービスの提供を再開したと公表。正確な全サービス再開日はこの発表からは分からない。

時系列は7月19日の第3報と8月8日の開示によります。

まだ分かっていないこと

侵入経路の詳細は同社が公表を控えています。また、調査で情報流出の事実は確認されていませんが、窃取の可能性が完全に消えたという発表ではありません。暗号化されたデータの完全な復元や、全利用組織の業務がいつ元に戻ったかも、今回の資料からは確認できません。同社の第3報「3」「4」

この事例から分かること

一つのサービス提供者のサーバーが暗号化されると、そのサービスを使う多くの組織の業務に影響が及びます。この事件では、データを使えなくなり、サービスが停止しました。同社の第3報「1.発生事象」

利用組織は、サービス提供者の正式な復旧案内と、自組織での業務継続の手順を確認する必要があります。この行動によって、提供者のサーバーへの侵入を利用者が直接防げたという意味ではありません。