piyolog

piyokangoの備忘録です。セキュリティの出来事を中心にまとめています。このサイトはGoogle Analyticsを利用しています。

長崎県職員による業務ネットワークへの不正アクセスについてまとめてみた

2019年9月26日、長崎県警は長崎県庁職員が業務ネットワークで不正アクセスを行ったとして不正アクセス禁止法違反の容疑で書類送検したと発表しました。ここでは関連する情報をまとめます。

事案の概要

  • 容疑は2017年1月6日~2019年2月25日にかけ、自分の業務用PCを使い、他職員61人のID、パスワードを入力して業務ネットワークに324回にわたり不正アクセスを行った疑い。*1
  • 長崎地検へ書類送検されたのは長崎県 県民生活部 係長 男性 50歳。
  • 普段の勤務態度にも問題はなかった。
  • 男性は容疑を認めている。
  • 「異動が心配で、異動先部署の業務内容を知りたかった」と動機を供述している。
日時 出来事
2015年9月頃 男性職員が不正アクセス行為を始める。
長崎県が職員の不正アクセス行為を把握。*2
2019年4月 長崎県が長崎県警へ不正アクセスの被害相談。*3
2019年9月26日 長崎県警が男性を不正アクセス禁止法違反の容疑で長崎地検へ書類送検。
同日 長崎県が県職員による不正アクセス行為について発表。*4

県職員が行った不正アクセス

  • 県内部の調査では男性は46の課 職員97名になりすまし2015年9月から2019年に2月にかけて537回にわたり別の部署約167万件の業務用データをダウンロードし、USBメモリに保存していた。*5
  • 男性が持ち出したデータには市民の個人情報(氏名、住所、電話番号等)も含まれていた。*6
  • 持ち出した業務用データは自宅に持ち帰り閲覧などしていた疑いがもたれている。
  • 不正アクセスで取得された情報の外部への流出は確認されていない。
初期設定のままのパスワードを悪用
  • 男性は初期設定のままの職員のパスワードを対象に不正アクセスを行っていた。
  • 初期設定ではパスワードは職員番号(6桁の数字)が設定されていた。なおIDも職員番号となっている。*7
  • パスワード変更の指示は職員に対して行われていたがこれを放置していた。*8

長崎県の調査で発覚

  • 長崎県の情報政策課が大量の不審なアクセスをログから確認し発覚。
  • 1台のPCから複数の職員IDへアクセスが繰り返し行われていた。
  • 長崎県は2019年4月に警察へ相談し、ログイン履歴の解析、別職員の聞き取り等捜査を進め不正ログイン行為が確認された。

長崎県のその後の対応

  • 全ての職員の業務ネットワークのパスワードを複数の英数字、記号を組み合わせたものへ変更。
  • 不正アクセス行為を特定できるシステム導入に向けた検討を進める。
  • 男性に対しては刑事処分の結果が出るのを待ち、今後検討する。現在は通常通りの業務にあたっている。

更新履歴

  • 2019年9月28日 AM 新規作成