イセトーのランサムウエア感染についてまとめてみた

2024年5月29日、イセトーは社内サーバーなどがランサムウエアにより暗号化される被害が発生したと公表しました。またその後には取引先の個人情報流出の恐れがあることも明らかにしています。ここでは関連する情報をまとめます。

委託後一部データ消されず影響を受けたケースも

ランサムウエアによりデータ暗号化の被害にあったのはイセトー社内で使用されているサーバー、PCの一部。被害が確認されたのは2024年5月26日。不正アクセスにつながった原因やランサムウエアの種類などの情報はこれまでのところ公表していない。
6月6日時点で情報窃取について調査中であり流出の事実を確認していないとするが、ファイルサーバー等から一方で取引先の個人情報の流出の恐れが判明していると説明している。6月3日にランサムギャングの公開するリークサイト上で同社の名前が掲載されているとの情報があるが当該事案との関係は不明。
高松市のケースにおいて、当初（5月28日）の時点では感染したものとは別のサーバーに保存されているとの報告であったが、その後に感染したサーバー上でも一部保存されていることが確認されたとして報告を受けたことが報じられている。*1 また横須賀市においては封入・封緘を行った際に破損した投票案内を再印刷する際に、宛名券面を撮影し画像データを電子メールでイセトーへ送信していたが、その画像データがPCに残ったままとなっており影響を受けた。藤沢市、茅ケ崎市はともに委託契約終了後にデータを消去することとなっていたが、一部が保存されたままとなっていた。*2
インシデント対応のため社内に対策本部を設置し、イントラネット及び感染の疑いのあるサーバー、PCをシャットダウンした。これにより生産体制に影響が及んだが、取引先からの預託データを被害を受けた領域とは別で業務を行う体制としたことで、6月6日の時点で徐々に復旧に向かっているとしている。

影響を受けた複数の委託元が公表

イセトーへ業務委託を行っていたとして、当該事案による影響を受けた可能性があると公表している組織は以下の通り。

委託元組織	委託内容等	感染環境に保管等されていた情報
徳島県	納税通知書等作成	令和5年度自動車税種別割納税通知書（氏名、住所自動車登録番号、自動車車台番号、年税額）96件（88名）
東京都教育庁	就学支援金受給資格認定審査等	生徒19名、保護者18名の情報（生徒氏名、在籍校、課程、学年、就学支援金審査結果、保護者住所、氏名等）
東京都大田区	がん検診等案内帳票類印刷、封入及び発送	令和6年度がん検診受診券の画像データ（対象者氏名、住所等）46名分
神奈川県横浜市	軽自動車税種別割の納税通知書の印刷等	令和5年度軽自動車税種別割の納税通知書画像データ 1名分
神奈川県茅ケ崎市	投票所入場整理券作成	令和5年4月統一地方選挙投票所入場整理券の宛名データ（氏名、住所） 47件(調査中のため正確な件数不明)
神奈川県藤沢市	選挙時の投票所入場整理券作成発送	公表なし、数十件と報道*3
神奈川県横須賀市	令和5年統一地方選挙投票案内作成	封入・封緘時に破損した案内の券面撮影をした画像データ（氏名、住所を撮影したもの） 18人分
神奈川県平塚市	市民税・県民税および固定資産税・都市計画税（土地・家屋）の納税通知書作成	令和5年度および令和6年度市民税・県民税（住所・氏名・税額・振替口座情報の一部） 192件令和5年度および令和6年度固定資産税・都市計画税（土地・家屋）（住所・氏名・税額・振替口座情報の一部および共有代表者の氏名94件
大阪府岸和田市	市議会議員一般選挙に伴う投票所入場整理券・封筒の印刷及び封入封緘	5名分の投票所入場整理券のPDFデータ
愛知県豊橋市*4	2023年度高齢者インフルエンザ予防接種予診票作成	34人分
兵庫県西宮市	が固定資産税・都市計画税納税通知書の封入封緘	固定資産税・都市計画税納税通知書の宛名情報78件（氏名、住所、課税情報等）
愛媛県	自動車税種別割の納税通知書の印刷	令和5年度自動車税種別割納税通知書の画像データ 80件（住所、氏名等）
三菱UFJ信託銀行	確定拠出年金にかかる記録関連(NRKへ委託)	顧客情報の一部（氏名、住所、郵便番号等）
三井住友海上あいおい生命保険	委託先とのみ説明	顧客情報（氏名、住所、郵便番号等）
徳島大正銀行	顧客情報の定期的な確認目的のアンケート用紙発送等	同行顧客情報は含まれず対象外。
阿波銀行	顧客へのアンケート用紙発送等（マネロン・テロ資金供与対策一環）	顧客情報の一部
高知銀行	顧客へのアンケート用紙発送等（マネロン・テロ資金供与対策一環）	(分離された環境であり都度削除も行っており流出等報告なし)
香川銀行	顧客へのアンケート用紙発送等（マネロン・テロ資金供与対策一環）	顧客情報の一部
茨城県後期高齢者医療広域連合	同連合事業委託先	医療費通知書 32件（氏名、住所、被保険者番号、受診医療機関名、医療費額）