piyolog

piyokangoの備忘録です。セキュリティの出来事を中心にまとめています。このサイトはGoogle Analyticsを利用しています。

パスワード推測による不正アクセス事案についてまとめてみた

2016年1月22日、アイドルや職場の同僚のアカウントへ不正アクセスを行っていたとして岐阜県の男性が逮捕されました。ここでは関連情報をまとめます。

岐阜県公式発表

タイムライン

日時 出来事
2013年8月22日頃 岐阜県総合医療センターで職員の個人情報を不正に取得。
2014年4月1日〜9月12日 県庁のPCを通じて男性が職員の個人情報を取得。
2014年9月〜2015年6月28日 取得した情報をもとに職員のSNS不正アクセス
2015年11月 神奈川県警が福田朱子さんや璃乃さんへ不正アクセスの被害について連絡。*1
2015年12月 神奈川県警が男性の関係先へ家宅捜索
〜2015年末 男性が岐阜県総務事務センターに所属。
2016年1月22日 神奈川県警が岐阜県職員男性を不正アクセス禁止法違反等で逮捕。
2016年2月5日 神奈川県警が男性を不正アクセス禁止法違反等で追送検。
2016年2月12日 横浜地検が男性を起訴。*2
2016年3月2日 岐阜県が男性を懲戒免職の処分に付したことを発表。
2016年4月26日 横浜地裁川崎支部が男性に懲役1年6か月、執行猶予3年の判決。*3

容疑者に関する情報

逮捕容疑

事案名

不明

容疑

(1) 岐阜県個人情報保護条例違反

  • 岐阜県総務事務センターに所属していた2014年4月1日〜9月12日にかけ、職場のPCより県職員らの電話番号などが記録された人事給与システムへアクセスし、個人情報を複製した疑い。*4

(2) 不正アクセス禁止法違反

  • 2014年9月〜2015年6月28日にかけ、取得した情報をもとにパスワードを推測し、男性の自宅PCから県職員2名、大学生、グラビアアイドルの合計4名のYahoo!Japanのアカウントへ不正にアクセスし、本人以外閲覧ができない写真、メール等のサービスへ合計15回にわたり不正にアクセスした疑い。*5 *6

(3) 岐阜県個人情報保護条例違反 (追送検)

  • 岐阜県総合医療センターに派遣されていた2013年8月に、職場のPCより職員約20人分の健康診断結果などの個人情報を複製した疑い。

(4) 不正アクセス禁止法違反 (追送検)

  • 2014年10月〜2015年11月にかけ、県職員ら20名のID、パスワードを入力してYahoo!Japanなどのアカウントに不正アクセスした疑い。*7
捜査担当

神奈川県警 サイバー犯罪対策課

容疑の認否

男性は「間違いない」として容疑を認めている。*8
岐阜県側へは不正アクセスの疑いにより神奈川県警より捜査を受けていると自己申告していた。*9

動機
  • 不正アクセスはパズル感覚で行っていたと供述。*10
  • 女性職員の体重にも興味があった、プライベートを見る性的好奇心と供述。*11

男性が行っていた不正アクセスの詳細

警察の捜査により、少なくとも約170人分のアカウントへ不正アクセスを行っていた。

約170人の内訳は次の通り。

岐阜県女性職員 約50人のアカウントへ不正アクセス
女優、芸能人など 約120人のアカウントへ不正アクセス
県職員女性の個人情報の取得
  • 総務事務センターの職権を利用して、県職員、外郭団体職員らの個人情報約1万5千人分を入手していた。*12
  • 取得した件数は岐阜県女性職員のほぼ全てに該当する。*13
  • 取得した情報は電話番号、生年月日など。
県職員女性のアカウントへの不正アクセス
  • 女性職員約50名のアカウントへ不正にアクセスし、メールや写真を保存した形跡が確認されている。
芸能人、有名人のアカウントへの不正アクセス
  • 芸能人のWebサイトに掲載された個人情報を収集していた。
  • メール、ネット通販、TwitterなどのSNS不正アクセスを行っていた。
  • 約450人のアカウントへ不正アクセスしようとした形跡も確認されている。

男性のPCに保存されていた情報

  • 約120人のアイドル、女優のプライベート画像、メール、ネット通販の購入履歴。*14
  • 個人情報や顔写真はファイルにまとめ、随時更新を行っていた。*15
  • 女性医師、看護師ら約700人分の顔写真や身長、体重、血液検査結果などの健康診断結果記録。*16

男性が行っていたパスワード推測方法

県職員のアカウントへの不正アクセス
  • 総務事務センターで取得した個人情報をもとに、使用されているパスワードを推測した。
  • 男性は人事給与システムの閲覧権限を所有していた。
芸能人のアカウントへの不正アクセス
  • 女性アイドル、女優、スポーツ選手、大学生、アナウンサーなど約2,200人分(全て女性)の個人情報を収集し、生年月日などからパスワードを推測していた。*17

不正アクセスを受けたと報じられた芸能人

被害を受けた芸能人のうち、次の2名の詳細が報じられている。

福田朱子さん
  • 当時使用していた個人ページサイトへログインするIDとして「akane」、パスワードは「akane1116」(名前+誕生月日)を使用していた。*18
  • 忘れると困るとして複数のサービスで使いまわしをしていた。*19
  • 不正アクセスを受けたのはYahooメールで仕事で使用をしていた。
  • 2015年の間だけで、10回以上不正にアクセスされていたことが判明している。*20
  • 警察より2015年11月に連絡を受け、2016年に入ってから変更。
  • 何回か通知が来ていたが放置しており、不正アクセスを受けたことについて全く気付いていなかった。*21


璃乃さん
  • 不正アクセスを受けたのはGmail
  • 大阪府や神奈川県からアクセスした履歴が残っていた。
  • Twitterのログイン履歴には関西地方で深夜に利用された形跡が残っていた。
  • 警察から受けた連絡について当初身に覚えもなく詐欺と思ってしまった。
  • 当時使用していたパスワードは誕生日と名前を並び替えた単純なものであった。*22


当該事案を受け岐阜県知事のコメント

状況を把握した上で厳正に対処する

http://www.jiji.com/jc/zc?k=201601/2016012200882&g=soc

更新履歴

  • 2016年1月23日 PM 新規作成
  • 2016年2月6日 PM 続報追加
  • 2016年3月2日 PM 続報追加
  • 2016年4月27日 PM 続報追加

*1:アイドルらのメール盗み見容疑 岐阜県職員逮捕,読売新聞,2016年1月23日アクセス:魚拓

*2:芸能人らに不正アクセスの職員を懲戒免職 岐阜県,中日新聞,2016年3月3日アクセス:魚拓

*3:不正アクセス禁止法違反の元岐阜県職員に有罪判決,日刊スポーツ,2016年4月27日アクセス:魚拓

*4:不正アクセス容疑 同僚のSNS閲覧…岐阜県職員を逮捕,毎日新聞,2016年1月23日アクセス:魚拓

*5:ヤフー提供のサービス不正閲覧=グラビアアイドルら被害−容疑で岐阜県職員逮捕,2016年1月23日アクセス

*6:女性県職員やアイドルの情報入手、不正接続図る,読売新聞,2016年1月23日アクセス:魚拓

*7:「女性職員の体重に興味あった」健康診断結果を複製の疑い 〝懲りない〟岐阜県職員を追送検,産経West,2016年2月6日アクセス:魚拓

*8:芸能人らのメールのぞき見、元SDN48メンバーも被害…容疑で岐阜県職員逮捕,2016年1月23日アクセス:魚拓

*9:岐阜県職員の男逮捕、女性職員に成りすましネットサービスに接続 「捜査受けている」と自己申告,産経ニュース,2016年1月23日アクセス:魚拓

*10:アイドルのアカウントに不正アクセスの疑い…岐阜県職員の男逮捕,SANSPO.COM,2016年1月23日アクセス:魚拓

*11:不正アクセスで逮捕の岐阜県職員、女性医師らの健康診断も不正入手,FNN,2016年2月6日アクセス:魚拓

*12:芸能人アカウント侵入疑い職員ら1万人超個人情報も,共同通信,2016年1月23日アクセス:魚拓

*13:元SDN48、グラドルらのメールをのぞき見 不正アクセスの岐阜県職員逮捕,産経Biz,2016年1月23日アクセス:魚拓

*14:女性のメールのぞき見、PCにアイドルのプライベート写真,TBS,2016年1月23日アクセス:魚拓

*15:アイドルらに不正アクセス、情報をファイル,NNN,2016年1月24日アクセス:魚拓

*16:女性の健診記録を収集 岐阜県職員を不正アクセス容疑で追送検,中日新聞,2016年2月6日アクセス:魚拓

*17:女性アイドルのメールなどに不正アクセスした疑い 県職員逮捕,FNN,2016年1月23日アクセス:魚拓

*18:女性アイドルの個人ページ不正閲覧か 県職員逮捕,NHK,2016年1月23日アクセス:魚拓

*19:元SDN48も被害、不正アクセスでメールのぞき見,TBS,2016年1月23日アクセス:魚拓

*20:芸能人らのメール不正閲覧 パスワード類推に「怖い」「不安」,産経ニュース,2016年1月23日アクセス:魚拓

*21:アイドル「どうすれば」 パスワード管理に戸惑い,産経フォト,2016年1月23日アクセス:魚拓

*22:アイドルの非公開SNSのぞき見容疑 岐阜の公務員逮捕,朝日新聞,2016年1月23日アクセス:魚拓