東京商工会議所の情報漏えいについてまとめてみた

2015年6月10日、東京商工会議所は所内の端末がマルウェアに感染し、情報が漏えいした可能性があると発表しました。ここでは関連情報をまとめます。

公式発表

• 2015年6月10日 当所パソコンのウィルス感染による情報漏えいについて

タイムライン

日時	出来事
2015年5月11日	JPCERT/CCから所内端末に問題がある可能性との連絡
2015年5月22日	指摘を受け調査した結果マルウェア感染が判明
2015年6月	東京商工会議所が警視庁へ被害相談
2015年6月4日	東京商工会議所が経済産業省へ報告。
2015年6月10日	東京商工会議所が情報漏えいの可能性について発表。
2015年6月18日	東京商工会議所が情報漏えいの可能性のある具体的な人数について発表。

被害状況

漏えいした件数

東京商工会議所 国際部が過去3年間に主催したセミナー(投資など)の参加者

• 最大7,050人分*1（当初1万2139人分と発表されていたが重複も含まれていた*2 )

漏えいした個人情報

次の個人情報の全部、または一部が漏えいした可能性がある。

• 氏名
• 住所
• 電話番号
• メールアドレス
• 会社名

報道によれば、会員情報以外の情報も含まれる。また預金口座・クレジットカード情報はセミナーで集めていないため、漏えいした可能性は無い。*3

情報管理の状況

• ファイルサーバーに格納したファイル個人情報を管理していた。
• 一部の国際部員に限定する*4といったアクセス制限は行われていた(感染端末を含む)が、ファイルにパスワードの設定は行われていなかった。*5

感染端末

• 本部(国際部)で管理される職員端末(ノートPC)1台がマルウェアに感染していた。

(参考) 東京商工会議所の加盟社数

• 2015年3月時点 7万7760社*6

発端

• 2015年5月11日にJPCERT/CCから「不審な信号が出ている」と連絡があり*7、所内端末に問題がないかとの指摘を受け調査し同月22日に発覚。*8

原因

• メールに添付されたファイルを職員の一人が開封したことが原因である可能性。*9

対応

東京商工会議所

• 2015年6月に入ってから 警察へ被害相談
• 2015年6月10日 漏えいの可能性について発表
• 2015年6月4日 経済産業省へ報告*10
• 不明 漏えいした対象者へメールや郵便にて連絡

警察

• 捜査担当 警視庁公安部*11

更新履歴

• 2015年6月10日 PM 新規作成
• 2015年6月20日 AM 漏えい件数を最新情報へ更新

*1:東商の情報漏れは7050人分　セミナー重複参加者除く,日本経済新聞,2015年6月20日アクセス:魚拓

*2:東商、個人情報のべ１万2139件流出の可能性　セミナー参加者名簿なども,日本経済新聞,2015年6月10日アクセス:魚拓

*3:東京商工会議所で企業情報流出、１万件以上か,読売新聞,2015年6月10日アクセス:魚拓

*4:サイバー攻撃：東商に　セミナー名簿１万２０００人分流出か,毎日新聞,2015年6月10日アクセス:魚拓

*5:東商から個人情報１万２千人分流出か　ＰＣウイルス感染,朝日新聞,2015年6月10日アクセス:魚拓

*6:東京商工会議所：情報流出１万件超か　ウイルスに感染,毎日新聞,2015年6月10日アクセス:魚拓

*7:東商が情報漏洩で会見、約1万2000件の可能性、「基本ができていなかった」,ITpro,2015年6月10日アクセス:魚拓

*8:東商の情報流出は１万２０００人余か,NHK,2015年6月10日アクセス:魚拓

*9:東商、個人情報１万２千人分流出　ウイルスメールで,共同通信,2015年6月10日アクセス:魚拓

*10:再発防止求める＝東商情報流出−菅官房長官,時事通信,2015年6月10日アクセス

*11:東商の情報流出、警視庁が捜査始める,TBS,2015年6月10日アクセス:魚拓