NTTファシリティーズとエネットの情報漏えいについてまとめてみた

2015年7月24日、NTTファシリティーズと新電力会社のエネットが取引先情報などが漏えいしたとして発表しました。ここでは関連情報、及びそれを受けて調べた内容についてまとめます。

公式発表

2社が行った発表は次の通り。

NTTファシリティーズ

2015年7月24日顧客情報及び社員等個人情報のインターネット上における閲覧可能な状態について (魚拓)

エネット

2015年7月24日お客さま情報がインターネット上で閲覧可能となっていた事象について (魚拓)

タイムライン

日時	出来事
2007年11月	エネットが顧客情報をExcel管理から専用のシステムに移行
2015年3月8日	エネットの情報がアップロードされる。
2015年7月21日	外部から指摘を受けエネットが当該事案について把握。
〃	NTTファシリティーズが当該事案について把握。
〃	エネットがアップロード先へ削除依頼。
〃	エネットがアップロードされた情報が削除されたことを確認。
2015年7月22日	エネットの情報が再びアップロードされる。
2015年7月23日	エネットが再度アップロードされた情報が削除されたことを確認。
〃	エネットが警視庁愛宕警察署に被害相談。
2015年7月24日	NTTファシリティーズ、エネットが情報漏えいについて発表。

被害状況

外部へ漏えいした情報は次の通り。

NTTファシリティーズ

2004年〜2006年度、NTTファシリティーズと取引のある5,121社の取引先の以下の情報。

企業名
支店名
発注案件名
発注年月
発注金額
当年度売上額
完成年月
業種

2004年〜2006年度のNTTファシリティーズの以下の内部管理情報。

担当組織
担当者名
受注エリア
市場区分　等

これら以外に、社員等の個人情報413名分

社内サーバーへの不正アクセスの事実は確認されていない。

エネット

2005年12月時点でエネットと契約していた345法人(724施設)の以下の情報。

契約者名
契約対象ビル名
契約電力の情報

発端

2015年7月21日に外部よりエネットへ指摘が入ったことによる。

２ちゃんねるに投稿されていた？

NTTファシリティーズのスレッドの他、複数のスレッドにアップロードしたURLの書き込みが行われていた。尚、アップロードされていたファイルは一部を除きすべて削除済み。

716 ：名無しさん：2015/07/20(月) 21:37:14.44 ID:1L0taVs2.net[1/2]
hxxp://imepic.jp/20150625/019100
充希ちゃんの会社大丈夫？
hxxp://fast-uploader.com/file/6990780464431/
　
717 ：名無しさん：2015/07/20(月) 21:38:03.81 ID:1L0taVs2.net[2/2]
ガス会社の子会社、情報漏れてる
hxxp://www1.axfc.net/uploader/so/3426420
　
724 ：不都合な真実：2015/07/22(水) 20:11:29.71 ID:5IRWfa7v.net[1/6]
隠蔽続けて hxxp://www.filedropper.com/file_xxx
　
725 ：不都合な真実：2015/07/22(水) 20:12:04.28 ID:5IRWfa7v.net[2/6]
どんどん流出 hxxp://www.filedropper.com/file_xxx
　
726 ：不都合な真実：2015/07/22(水) 20:12:50.92 ID:5IRWfa7v.net[3/6]
人担名簿屋で hxxp://www.filedropper.com/file_xxx
　
727 ：不都合な真実：2015/07/22(水) 20:13:36.35 ID:5IRWfa7v.net[4/6]
こずかい稼ぎ hxxp://www.filedropper.com/xxx
　
728 ：名無しさん：2015/07/22(水) 20:14:18.27 ID:5IRWfa7v.net[5/6]
客は知ってる hxxp://www.filedropper.com/file_xxx
　
729 ：不都合な真実：2015/07/22(水) 20:16:18.67 ID:5IRWfa7v.net[6/6]
>>718
hxxp://www.freeuploadsite.com/do.php?id=75942
http://anago.2ch.sc/test/read.cgi/regulate/1407819911/l50

「充希ちゃん」はNTTファシリティーズのCMに登場する「高畑充希」を指しているものと思われる。

一部キャッシュが残っており、この情報を見ると「SALS.xls」「ENET.xls」といったファイル名が確認できる。これらは6月25日頃にアップロードされていたもの。エネットによれば3月8日より確認していると発表があるが、fast-uploaderではなくAxfcへ行われたアップロードの可能性が考えられる。Axfcの同じURLで5月30日に投稿された書き込みは確認ができた。

145 ：名無しさん＠お腹いっぱい。：2015/05/30(土) 12:37:00.43 id:I06LnkK7
ガス会社の子会社、情報漏れてる
hxxp://www1.axfc.net/uploader/so/3426420
http://hayabusa6.2ch.net/test/read.cgi/stockb/1314703447/145

エネットの正式名称はENNETであるためTYPOしている点は気になるが、これらが同社より発表されたExcelファイルである可能性が高いと考えられる。