市公式アプリ「らづナビ」システムについて、第三者によるアクセスが確認されました

【6月22日（火曜）更新】市公式アプリ「らづナビ」の第三者によるアクセスが確認された件についての最終報告

　令和3年3月23日に途中経過をご報告いたしました本件について、影響範囲が明らかとなったため、以下のとおりご報告いたします。
　なお、原因となった同システムの設定変更を令和3年2月1日に完了し、抜本的なセキュリティ対策も令和3年4月2日に講じていることから、現在は問題のある状態は全て解消しています。

　ユーザーの皆さまにご迷惑とご心配をおかけしましたことを深くお詫び申し上げます。

1.調査結果

　らづナビ運用開始当初の平成31年2月から令和3年2月まで第三者によるアクセス履歴を解析した結果、最大202件の情報を参照されていたことが判明しました。

2.第三者からアクセスを受けた日時等

・令和2年11月8日22時23分から令和3年1月14日 13時19分

・第三者による情報参照件数 202件

<参照されたデータの内訳>

1回目 令和2年11月8日 22時23分 100件

2回目 令和2年11月23日 8時46分 1件

3回目 令和2年11月25日 5時12分 1件

4回目 令和2年12月24日 23時55分 50件

5回目 令和3年1月14日 13時19分 50件

合計202件

※いずれも参照されたデータの領域、並び順は同一ですが、ユーザー情報の更新がなされると並び順が変わってしまう為、更新データを考慮した上で第三者による情報参照件数は202件としています。

3.影響範囲等

　令和2年11月8日から令和3年1月14日までの期間において、第三者から意図しない情報参照が計5回あり、同アプリのユーザー情報が記録されている領域の最大100件のデータが参照された可能性があることが判明しました。

　そのうち個人情報が登録されていた件数は11件でしたが、この11件のデータは、氏名が数字やアルファベットで登録されており、個人を特定できる情報は含まれていませんでした。

　また、同アプリのログインに必要なID・パスワードは参照されておらず、情報の悪用などの報告もありません。

4.再発防止策について

　このたびの事案は、セールスフォース・ドットコム社が提供する「Salesforce」の、外部からの参照に関する委託業者（株式会社両備システムズ）の認識過誤に起因する設定不備が原因です。

　今回の件を受け、両備システムズから情報収集経路、管理、共有体制の見直し、セールスフォース・ドットコム社とのテクニカル面におけるサポート体制の構築等を行う旨の報告がありました。本市といたしましても、今回のような認識過誤による判断がされていないか定期的に確認するとともに、総務省や内閣サイバーセキュリティセンターからインシデント情報を収集し、両備システムズへ情報提供したうえで対応の確認を行い、事故を未然に防げるよう積極的に関与してまいります。

 

5. 本件についてのお問い合わせ先

(1) 木更津市役所市長公室シティプロモーション課　0438-23-7460（平日8時30分～17時15分）

(2) 株式会社両備システムズ住民様向けコールセンター　0120-31-1192（平日9時00分～17時00分）<6月30日閉鎖>

【3月23日（火曜）更新】市公式アプリ「らづナビ」システムについて、第三者によるアクセスが確認されました（第2報）

　令和3年2月10日に報告いたしました第三者による外部アクセスが確認された件につきまして、取得されたデータの有無および項目と件数について、途中経過を報告いたします。

1.アクセスされた情報の件数

• 最大50件

　ただし、50件の中には、個人情報を含まないニックネームのみを登録したユーザーも含まれています。なお、委託業者がアクセス履歴の解析を実施したところ、参照されたユーザーを特定することはできませんでしたが、参照された可能性のあるユーザーの範囲は特定されたことから、当該ユーザーには、個別で連絡を行っています。

2.第三者からアクセスがあった情報

• 氏名（姓または名だけのものを含む）
• 住所
• 生年月日
• 電話番号
• メールアドレス

※ログインに必要なID・パスワードは参照されていません。また、現時点で参照された情報の悪用などの報告はありません。

3.原因

株式会社セールスフォース・ドットコム社が提供する「Salesforce」の、外部からの参照に関する委託業者の認識過誤に起因する設定不備

4.経緯・経過

1. 本市委託業者による情報管理システムの設定不備により、保管した情報への第三者によるアクセスが可能となっており、令和3年1月14日13時08分及び13時19分に外部からのアクセスが確認されました。
2.  事象の解消日時：　令和3年2月1日　11時00分　※委託業者により原因となったシステムの設定変更を完了（現在は問題のある状態は解消）
3. 委託業者から本市への報告日時：　令和3年2月8日　9時53分
4. 委託業者からアクセスログ解析結果の報告日時：　令和3年3月3日　13時00分　※最大で50件の氏名（ニックネーム、姓または名だけのものを含む）、住所、生年月日、電話番号、メールアドレスの情報が第三者にアクセスされたことを確認

本事象が発生した令和3年1月14日以前の第三者によるアクセスの有無は、引き続き調査を継続しております。なお、本件は同様の情報管理システムを利用している企業や自治体において、令和2年12月末頃から相次いで判明している事象と同じものです。

5.これまでに実施した対応

1. クラウド型会員情報管理システムのセキュリティ設定変更対応
2.  情報が参照された可能性のあるユーザーへ、らづナビにてお詫びとお知らせを個別にご連絡
3. ユーザーの意思でらづナビへ登録している情報を抹消できる機能の実装

6.本件についてのお問い合わせ先

1. 株式会社両備システムズ住民様向けコールセンター　0120-31-1192（平日9時00分～17時00分）
2. 木更津市役所市長公室シティプロモーション課　0438-23-7460（平日8時30分～17時15分）

• 本件について委託業者株式会社両備システムズの公表内容（外部リンク）

【2月10日（水曜）更新】市公式アプリ「らづナビ」システムについて、第三者によるアクセスが確認されました

市公式アプリ「らづナビ」は、クラウド型会員情報管理システムを活用して運用していますが、このたび、同システムに保管された情報に対する、外部の第三者からのアクセスを確認しましたので、本件の概要について以下のとおりご報告します。
本件を受け、原因となった同システムの設定変更を令和3年2月1日に完了し、現在は問題のある状態は解消しています。外部からのアクセスにより取得されたデータの有無および項目と件数を調査中です。
ご利用の市民の皆さまにご迷惑とご心配をおかけしましたことを深くお詫び申し上げます。

1.対象システム

市公式アプリ「らづナビ」

• インターネットを利用した住民総合生活支援アプリ
• 平成31年2月 運用開始
• レポート投稿機能やお知らせ情報機能、ごみ出しカレンダー機能等を備える。
• 令和3年2月1日時点のユーザー登録者数：15,907人
• 委託業者名 株式会社両備システムズ

2.経緯・経過

1. 本市委託業者による情報管理システムの設定不備により、保管した情報への第三者によるアクセスが可能となっていたことが判明し、令和3年1月14日13時08分から1月14日13時19分にかけて外部からのアクセスが確認されました。
2. 事象の解消日時： 令和3年2月1日 11時00分
   ・委託業者により原因となったシステムの設定変更を完了（現在は問題のある状態は解消）
3. 委託業者から本市への報告日時： 令和3年2月8日 9時53分
4. 現在外部からのアクセスにより取得されたデータの有無および項目と件数を調査中です。

詳細が判明次第ご報告いたします。