イセトーのサイバー攻撃とランサムウェア 感染、情報漏えいのまとめ

株式会社イセトーがランサムウェアの感染と情報漏えい・流出、さらにサイバー攻撃による情報窃取の可能性を2024年5月29日に発表しました。なお、本インシデントに影響して各金融機関の帳票輸送サービスが停止されました。また東京都教育委員会、岸和田市、徳島県や横浜市、京都府や和歌山県、などもイセトーへ業務委託しており、関係する個人情報漏洩の可能性を発表しています。

2024年7月4日には豊田市、京都商工会議所、和歌山県、クボタ、徳島県、KUMON(公文)の6団体だけで約110万人の個人情報が漏洩しており、全インシデントでおよそ200万件の個人情報が漏洩した可能性があります。このことからイセトー社のセキュリティインシデントは、2024年でも非常に影響範囲の広いランサムウェアの事例となります。

ランサムウェア感染の経緯

5月26日（日）、株式会社イセトーの複数のサーバー、PCが暗号化されるランサムウェアによる被害が発生していることを確認。迅速に対応を進めるべく直ちに全社対策本部を立ち上げ、外部専門家の協力のもと調査を実施。

被害対応のため、イントラネットと感染が疑われるサーバー、PCは休止。

後述する「8Base」にデータがリークされ、2024年6月中旬以降から業務委託元の官公庁や金融機関が同社のセキュリティインシデントによる個人情報の漏洩を発表しました。　

2024年7月3日 イセトー公式で第三報が公開される

外部専門家とともに調査を行った結果、公開された情報は当社のサーバーから流出したものであること、また流出した情報の中には一部のお取引先様の顧客の個人情報が含まれていることが判明しました　

なお、2024年7月3日現在ダウンロードファイルは消失しており、ダウンロードができない状態となっていることを確認しております。引き続き外部専門家とともにリークサイトと併せて、継続的な監視を行っております。

とのことです。

ランサムウェア 被害によりISO27001認証及びISO27017認証の一時停止を発表

2024年9月2日　イセトー社は自社の公式ホームページで、ISMS審査機関であるBSIグループジャパン株式会社の特別審査が行われ、セキュリティマネジメントシステム認証（ISO27001認証）及びクラウドセキュリティ認証（ISO27017認証）を一時停止する旨の通知を受けた事を発表しました。

ランサムウェア感染によるISOの認証審査停止はあまりない事例でしたので、同社の動きを注視する必要があります。

引用

ランサムウェア被害の発生について

ランサムウェア被害の発生について（続報）

ランサムウェア被害の発生について（続報2）

ISO27001認証及びISO27017認証の一時停止について

イセトーの小谷達雄会長が謝罪

ランサムウエア（身代金要求型ウイルス）の攻撃で個人情報が流出したイセトー（京都市）の小谷達雄会長は7月23日、京都商工会議所の総会で「私どもの不手際もあり情報流出した。ご迷惑をおかけして申し訳ない」と謝罪しました。

引用

情報流出のイセトー｢我々の不手際｣　小谷達雄会長が謝罪

イセトーがフォレンジック調査完了の報告

2024年5月26日、悪意のある攻撃者による不正アクセスを受け、当社の情報処理センター及び全国営業拠点の端末やサーバがランサムウェアによって暗号化された事を確認。

2024年6月18日には攻撃者グループのリークサイトで、攻撃者が窃取したとされる情報を公開するためのダウンロード用URLが掲載される。

ダウンロード用URLから公開された情報は調査の結果、同社のサーバから流出したものであり、一部の取引先様の顧客に関する個人情報が含まれている事が判明。

ダウンロードファイルは2024年10月4日現在消失しており、ダウンロードができないことを確認しております。

参照

不正アクセスによる個人情報漏えいに関するお詫びとご報告

イセトーへのランサムウェア 攻撃は「8Base」が関与

ランサムウェアグループの「8Base」は自身のリークサイトで、株式会社イセトーとニデックのグループ会社「ニデックインスツルメンツ株式会社」への不正アクセスとランサムウェア攻撃を行ったとする主張を発表しています。

各報道機関と同社の報道からイセトーへのサイバー攻撃とランサムウェア攻撃は8Base（エイトベース）が実行した事がほぼ確定となります。

イセトー社の個人情報漏えいに関しての問題点

イセトー社が各自治体との契約に違反し、

・消去したと報告した個人情報が消去されていない

・本来、個人情報を取り扱ってはならないネットワークへ個人情報を保存していた

今のところ上記が問題になっています。

上記の解説や問題点の通り、イセトー社の個人情報漏洩インシデントは2024年時点で、KADOKAWAのランサムウェアによる個人情報漏洩と並ぶ個人情報漏洩の事例となります。

イセトーのランサムウェア感染の原因はVPN

VPNからの不正アクセスにより当社ネットワークに侵入した攻撃者によって、一部のお取引先様の受託業務の作業工程で発生した帳票データや検証物の一部の情報が窃取されました。

当該情報を取り扱ってはならないサーバに作業の効率を図るため便宜的に保管し、また業務終了後には速やかに削除すべきデータを削除することができておらず、個人情報が漏洩してしまいました。

愛知県　豊田市約14万人の個人情報が漏洩

豊田市は7月4日、納税通知書などの印刷を委託していたイセトー（京都市）がサイバー攻撃を受け、市民延べ約42万人の氏名や住所、税額などの個人情報が漏えいしたと発表しました。

2024年8月20日の追加調査で漏洩した個人情報は約14万人であったことを発表しました。

引用

豊田市民42万人の個人情報漏えい　サイバー攻撃で

委託業者サーバー等のランサムウェア感染に伴う個人情報の流出について

東京都教育委員会(教育庁) 個人情報漏洩の可能性を発表

2024年6月17日　東京都教育委員会(教育庁)が、就学支援金受給資格認定審査等に係る運用業務委託を受託している事業者の再委託先の株式会社イセトーから、自社のサーバーがランサムウェアに感染し、個人情報流出の恐れがある事案が発生した事を発表しました。

関連記事

東京都教育委員会 就学支援金受給資格認定審査等に係る運用業務委託を委託していたイセトーがランサムウェア感染により個人情報漏洩の可能性を発表

東京都大田区 個人情報漏洩の可能性を発表

がん検診等ご案内帳票類の印刷、封入及び発送業務を株式会社イセトーが業務委託していました。

イセトーがランサムウェア被害を受けたサーバーへ、大田区の令和6年度がん検診受診券の画像データ（対象者の氏名、住所等）　46名分が保存されており、個人情報漏洩の可能性を発表していましたが、

2024年8月28日の追加調査で大田区は個人情報漏洩は「無かった」と発表しました。

京都府が個人情報 漏洩を発表

京都府は、自動車税の納税通知書作成業務を再委託している「イセトー」のサーバーなどがランサムウェアに感染した影響で、159人分の氏名と車のナンバーが漏えいしたと発表しました。

引用：【速報】京都府でも159人分の個人情報漏えい　「イセトー」ランサムウェア被害　自動車税の納税義務者の氏名や車両番号などウェブ上に公開

京都商工会議所 約4万人の個人情報が漏洩

　京都商工会議所は管理している企業情報、延べ約4万件超が情報漏えいしたと発表しました。委託先の「イセトー」でのランサムウェア被害による影響だということです。

　情報の漏えいが確認されたのは、京都商工会議所に登録している企業の「会社名・屋号」「代表者の氏名・役職」「会費の口座情報の一部」などで、約4万1819件です。

引用：【速報】京都商工会議所で延べ4万件の企業情報漏えい　委託先「イセトー」でランサムウェア感染　被害が拡大

広島県 個人情報 漏洩の可能性を発表

広島県は個人事業税等の納税通知書などの印刷業務を委託している事業者（株式会社イセトー広島支店）から、コンピュータウィルスであるランサムウェアの攻撃により、個人情報流出の事案が発生した事を発表しました。

山口県 個人情報 漏洩の可能性を発表

山口県は自動車税種別割の納税通知書の印刷等業務を委託している事業者（株式会社イセトー（京都市））から、サイバー攻撃によりコンピュータウイルスに感染し、個人情報の流出事案が発生したとの報告がありました。

和歌山県 15万人の個人情報が漏洩

　和歌山市は３日、市税・県民税の税額決定通知に関する業務を委託していた業者がサイバー攻撃を受け、１５万件の個人情報が漏えいしたと発表しました。

　和歌山市によりますと、情報の漏えいが確認されたのは、２０２３年度分の「市・県民税特別徴収税額決定通知書」に記載された課税情報や氏名・住所の個人情報１５万１４２１件です。

引用：【速報】和歌山市で税通知書の約15万件の個人情報漏えい　業務委託先「イセトー」のウイルス感染影響　クボタ子会社や金融機関など影響拡大

和歌山県がイセトーを1年間指名停止

和歌山市から納税通知書の印刷業務などを委託されていた業者がサイバー攻撃を受けて個人情報が漏えいした問題で、和歌山市は2024年7月16日の記者会見でイセトーを１年間の指名停止としたことを発表しました。

徳島県 約20万人以上の個人情報漏洩の可能性を発表

徳島県が納税通知書の作成業務を委託していた、株式会社イセトーがランサムウェアに感染し、住所や氏名などの個人情報が漏洩した可能性を発表しました。

関連記事

徳島県が印刷業務を委託していたイセトーがランサムウェア感染により約20万人分の個人情報漏洩の可能性を発表

愛知県 豊橋市個人情報漏洩の可能性を発表

豊橋市は2023年度高齢者インフルエンザ予防接種の予診票作成業務などの委託業者がコンピューターウイルス「ランサムウェア」の攻撃を受け、市民34人の個人情報が流出した可能性があると発表しました。

引用：https://www.chunichi.co.jp/article/909991

神奈川県茅ヶ崎市 個人情報漏洩の可能性を発表

茅ヶ崎市 が2023年4月の統一地方選挙で投票所の入場整理券の作成業務を委託していた、株式会社イセトーがランサムウェアに感染し、整理券の宛名にある住所や氏名などの個人情報が漏洩した可能性を発表しました。

関連記事

神奈川県茅ヶ崎市 選挙の入場整理券の作成業務を委託していたイセトーがランサムウェア感染により個人情報漏洩の可能性を発表

大阪府岸和田市 個人情報漏洩の可能性を発表

岸和田市は、2023年年4月23日執行　岸和田市議会議員一般選挙に伴う「投票所入場整理券・封筒の印刷及び封入封緘業務」の受託事業者・株式会社イセトーがランサムウェア攻撃の被害を受け、個人情報漏洩の可能性を発表しました。

関連記事

大阪府岸和田市が業務委託先（イセトー）のランサムウェア被害で個人情報漏洩の可能性

大阪府 東大阪市

大阪府東大阪市はイセトーのランサムウェア被害により個人情報が漏洩した事を公表しました。

以下漏洩した個人情報

介護保険料帳票封入等委託業務における個人情報(氏名・住所等)が含まれる画面スクリーンショット  対象者数75名

引用：委託事業者におけるランサムウェア被害の発生について

神奈川県横浜市　個人情報漏洩の可能性を発表

横浜市 軽自動車税種別割の納税通知書の印刷等業務を委託していたイセトーがランサムウェア感染により個人情報漏洩の可能性を発表

関連記事

神奈川県横浜市 軽自動車税種別割の納税通知書の印刷等業務を委託していたイセトーがランサムウェア感染により個人情報漏洩の可能性を発表

神奈川県平塚市　個人情報漏洩の可能性を発表

平塚市が、市民税・県民税および固定資産税・都市計画税（土地・家屋）の納税通知書の作成を業務委託している株式会社イセトーから、サイバー攻撃により自社のサーバーなどがコンピューターウイルスに感染し、個人情報流出の恐れがある事案が発生した事を発表しました。

関連記事

神奈川県平塚市 納税通知書の作成業務を委託していたイセトーがランサムウェア感染により個人情報漏洩の可能性を発表

神奈川県横須賀市 個人情報漏洩の可能性を発表

令和5年執行統一地方選挙投票案内作成委託業務を委託していたイセトーが

18名分の画像データの漏洩の可能性

引用：公式リリース

茨城県後期高齢者医療広域連合 個人情報漏洩の可能性を発表

医療費通知書（住所、氏名、被保険者番号、受診医療機関名、医療費の額）　３２件が漏洩した可能性がある事を発表しました。

引用：公式リリース

愛媛県　個人情報漏洩の可能性を発表

自動車税種別割の納税通知書の印刷等業務を委託している事業者である、イセトーから

令和5年度の自動車税種別割納税通知書の画像データ（住所、氏名等　80件）データが漏洩した可能性を公表しました。

引用：公式リリース

兵庫県西宮市 個人情報漏洩の可能性を発表

西宮市が固定資産税・都市計画税納税通知書の封入封緘業務を委託していたイセトーのランサムウェア攻撃を受けたサーバへ、固定資産税・都市計画税納税通知書の宛名情報７８件（住所、氏名、課
税情報等）が保存されていたことが判明。

流出は確認できていないが、調査中

引用：公式リリース

神奈川県藤沢市

2024年6月7日　藤沢市が、市民税・県民税および固定資産税・都市計画税（土地・家屋）業務を委託している株式会社イセトーから、サイバー攻撃により自社のサーバーなどがランサムウェアに感染した事を発表しました。

関連記事

神奈川県藤沢市 投票所入場整理券作成発送業務を委託していたイセトーがランサムウェア感染により個人情報漏洩の可能性を発表

香川県 高松市

高松市は７月３日、市民１６０５人分の個人情報がインターネット上に流出し、ダウンロード可能な状態になっていたことがわかったと発表しました。

今回、流出がわかったのは個別避難計画に関する２０２２年度分のデータのうち名前や住所など１５９５人分と、２０２３年度の予防接種予診票に関するデータのうち名前など１０人分のあわせて１６０５人分です。流出した情報が悪用されたり、被害の報告は今のところ入っていないということです。

引用：委託先企業のサーバー「ランサムウェア」感染　高松市民１６０５人分個人情報流出　他府県でも流出【香川】

KUMONを運営する公文教育研究会　約75万件の個人情報漏洩の可能性

2024年6月29日　KUMONを運営する株式会社 公文教育研究会が業務委託先である株式会社イセトーが、ランサムウェアによるサーバー攻撃を受けて個人情報が漏洩が発生し 攻撃を受けたサーバーに公文教育研究会が委託している個人情報が含まれることが、6月28日（金）に発覚いたしましたことを発表しました。

2024年8月20日追加調査で約75万人分の個人情報漏洩の可能を発表しました。

モンベルが運営する「モンベル クラブ」が業務委託先のイセトーのランサムウェア被害により個人情報漏洩|ランサムウェア 事例

2024年7月10日　株式会社モンベルは同社が運営する「モンベル クラブ」の発送等業務を委託していた、委託先のイセトーが、サイバー攻撃によりマルウェアに感染し、個人情報の漏洩が発生した事を発表しました。

オフィス機器販売のムラテックフロンティアが業務委託先のイセトーのランサムウェア被害により個人情報漏洩|ランサムウェア 事例

オフィス機器販売のムラテックフロンティアが請求書発送業務を委託していた、委託先のイセトーが、サイバー攻撃によりマルウェアに感染し、個人情報の漏洩が発生した事を発表しました。

学習塾 運営の京進が業務委託先のイセトーのランサムウェア被害により個人情報漏洩|ランサムウェア 事例

2024年7月8日　学習塾 運営の京進は請求書通知業務を委託していた、委託先のイセトーが、サイバー攻撃によりマルウェアに感染し、個人情報の漏洩が発生した事を発表しました。

イセトーのランサムウェア 感染の影響|銀行や保険の帳票輸送サービスの停止 及び個人情報漏洩の可能性発表

同社と繋がりのあると思われる金融機関が帳票郵送サービスの停止や個人情報漏洩の可能性を発表しています。

三井住友信託銀行が個人情報漏えいについて発表

2024 年7月4日三井住友信託銀行がイセトーから個人情報が漏洩している事を発表しました。

現在、詳細確認中の為、件数や項目などは不明です。

引用：業務委託先における個人情報の流出に関するお知らせ

マニュライフ生命が個人情報漏えいについて発表

2024年7月2日　マニュライフ生命は顧客への送付物の印刷・発送等業務を委託しているイセトーが、サイバー攻撃によりマルウェアに感染し、個人情報の漏洩が発生したと発表しました。

日本生命保険相互会社が個人情報漏えいについて発表

2024年7月2日　日本生命保険相互会社が業務委託先である株式会社イセトーが、ランサムウェアによるサーバー攻撃を受けて個人情報が漏洩した事を発表しました。

ローソン銀行

株式会社ローソン銀行が帳票等の印刷や発送等を委託していた株式会社イセトーがランサムウェア攻撃の被害にあった事を公表しました。現段階では個人情報漏洩は発生していないとのこと。

関連記事

ローソン銀行が委託先(イセトー)のランサムウェア被害を公表

伊予銀

伊予銀は2024年7月3日イセトーのランサムウェア攻撃とサイバー攻撃により、個人情報漏洩の可能性を発表し、2024年8月19日の調査により、漏洩した個人情報は約25万件であったことを発表しました。

ソニー損保が個人情報 漏洩を発表

2024年7月4日 ソニー損害保険株式会社はイセトーのランサムウェア被害により、以下個人情報が漏洩した事を発表しました。　

＜情報漏えいが確認された対象＞
・「郵便番号」「住所」「氏名」「顧客番号」：当社ご契約者1名分
・「証券番号」：当社ご契約者、および、過去のご契約者18名分

引用：【お詫び】当社の委託会社における個人情報の漏えいについて

三菱UFJ信託銀行　個人情報漏洩の可能性を発表

三菱UFJ信託銀行から再委託先としてイセトーが業務に関わっていたと思われます。

公式リリース文では

三菱UFJ信託銀行の確定拠出年金にかかる記録関連業務の委託先である、日本レコード・キーピング・ネットワーク株式会社（NRK）から帳票等の印刷・発送業務を委託しております株式会社イセトーが関わっており、

当初、情報漏洩の被害は確認されていないとの報告を受けておりましたが、イセトーで調査を進めたところ、暗号化され、窃取された疑いのあるデータの一部に、

三菱UFJ信託銀行の顧客情報（主に郵便番号、住所、氏名）が含まれていたとのこと

なお、マイナンバーは含まれていません。

引用：公式リリース

クボタ クボタクレジットの業務委託先のイセトーのランサムウェア 被害により約6万人の個人情報漏洩｜ランサムウェア 事例

2024年7月1日 株式会社クボタはクボタクレジットの利用明細の印刷・発送を委託しているイセトーのランサムウェア被害により個人情報が漏洩した事を発表しました。

2024年9月9日　株式会社クボタと株式会社クボタクレジットは、イセトーのランサムウェア感染により発生した個人情報漏洩に関しての調査結果と再発防止策を公表しました。

パナソニック健康保険組合がイセトーのランサムウェア 被害で個人情報漏洩とダークサイト（ダークウェブ）へのアップロードを発表

2024年6月27日 パナソニック健康保険組合が業務委託先のイセトーがランサムウェアに感染し情報漏洩の可能性と個人情報漏洩と漏洩した個人情報がダークサイト（ダークウェブ）へのアップロードの可能性を発表しました。

関連記事

パナソニック健康保険組合がイセトーのランサムウェア 被害で個人情報漏洩とダークサイト（ダークウェブ）へのアップロードを発表

島田掛川信用金庫が業務委託先のイセトーのランサムウェア被害により個人情報漏洩|ランサムウェア 事例

島田掛川信用金庫は顧客の帳票印刷・発送等業務を委託していた、株式会社東海信金ビジネスの再委託先のイセトーが、サイバー攻撃によりマルウェアに感染し、個人情報の漏洩が発生したと発表しました。

静清信用金庫が業務委託先のイセトーのランサムウェア被害により個人情報漏洩

2024年7月4日　静清信用金庫は顧客へのダイレクトメールの印刷・発送等業務を委託していた、株式会社東海信金ビジネスの再委託先のイセトーが、サイバー攻撃によりマルウェアに感染し、個人情報の漏洩が発生したと発表しました。

東濃信用金庫が業務委託先のイセトーのランサムウェア被害により個人情報漏洩|ランサムウェア 事例

東濃信用金庫は顧客の帳票印刷・発送等業務を委託していた、株式会社東海信金ビジネスの再委託先のイセトーが、サイバー攻撃によりマルウェアに感染し、個人情報の漏洩が発生したと発表しました。

知多信用金庫が業務委託先のイセトーのランサムウェア被害により個人情報漏洩|ランサムウェア 事例

2024年7月5日　知多(ちた)信用金庫は顧客の帳票印刷・発送等業務を委託していた、株式会社東海信金ビジネスの再委託先のイセトーが、サイバー攻撃によりマルウェアに感染し、個人情報の漏洩が発生したと発表しました。

蒲郡信用金庫が業務委託先のイセトーのランサムウェア被害により個人情報漏洩

蒲郡信用金庫が業務委託先のイセトーのランサムウェア被害により3,717 件の個人情報漏洩が漏洩した可能性を発表しました。

埼玉縣信用金庫が業務委託先のイセトーのランサムウェア被害により個人情報漏洩

埼玉縣信用金庫が業務委託先のイセトーのランサムウェア被害により個人情報漏洩が漏洩した可能性を発表しました。

浜松いわた信用金庫が業務委託先のイセトーのランサムウェア被害により個人情報漏洩

浜松いわた信用金庫が業務委託先のイセトーのランサムウェア被害により個人情報漏洩が漏洩した可能性を発表しました。

岡崎信用金庫

業務委託先の東海信金ビジネスから再委託しちえたイセトー社のランサムウェア被害を公表

7 月 4 日時点で、岡崎信用金庫の顧客の個人情報漏えいの被害は確認
されていないとのこと

引用：当金庫の再委託業者におけるランサムウェア被害について

備前日生信用金庫

2024年7月1日　備前日生信用金庫が、業務委託先である株式会社イセトーのランサムウェアによるサイバー攻撃を受けて個人情報が漏洩が発生した事を発表しました。

沼津信用金庫

沼津信用金庫がイセトーのランサムウェア被害により個人情報漏洩の可能性を発表しました。

関連記事

沼津信用金庫がイセトーのランサムウェア被害により個人情報漏洩の可能性

阿波銀行

阿波銀行はマネロンの関するアンケートの発送業務をイセトーへ依頼しており、ランサムウェア被害を公表しています。

なお、同社のデータ流出や漏洩はないとのことです。

引用：公式リリース

三井住友海上あいおい生命保険　個人情報漏洩の可能性を発表

2024年6月7日　三井住友海上あいおい生命保険株式会社の業務委託先（イセトー）がランサムウェア攻撃の被害にあった事と個人情報漏洩の可能性を公表しました。

関連記事

三井住友海上あいおい生命保険が業務委託先（イセトー）のランサムウェア被害を公表

西京信用金庫

2024年6月26日　西京信用金庫が、出資配当金支払通知書の作成・発送業務を委託している株式会社しんきん情報サービスの当該業務の再委託先である株式会社イセトーのウイルス感染（ランサムウェア感染）で個人情報漏洩の可能性を発表しました。

関連記事

西京信用金庫がイセトーのウイルス感染（ランサムウェア感染）で個人情報漏洩の可能性

香川銀行

2024年6月11日　株式会社香川銀行はマネロンに関するアンケートの業務を委託していたイセトーがランサムウェア攻撃の被害にあった事を公表しました。

関連記事

香川銀行が業務委託先（イセトー）のランサムウェア被害を公表

高知銀行

高知銀行は業務委託先（イセトー）のパソコンにウイルスが感染した事を報告しています。

関連記事

高知銀行が業務委託先（イセトー）のパソコンにウイルスが感染した事を報告

ＳＯＭＰＯひまわり生命保険　

イセトーの記載はないですが、業務委託先がサイバー攻撃により帳票郵送遅延を発表としており、イセトー社のインシデントに関連する可能性が高いです。

山陰合同銀行

株式会社山陰合同銀行が、各種ご案内帳票の作成・発送業務を委託している会社のパソコンでコンピュータウイルスの感染が確認され、28 日以降、ご案内帳票の郵送、ならびに電子帳票交付サービスへの掲載が出来ない事を発表しました。

こちらもイセトー社の明言はないですが、本インシデントに該当する可能性があります。

いちい信用金庫

いちい信用金庫はDMの発送業務を委託していた、イセトー社のランサムウェア被害により、1,717 件の個人情報が漏洩した可能性を発表しました。

 

知ると面白い記事

サポート詐欺とは 手口や電話してしまった場合の対応を解説

ランサムウェア 事例|被害の内容をランサムウェアの種類や企業別に解説

能動的サイバー防御とは 専門家が解説

脅威インテリジェンスとは 定義や分類を解説

セキュリティクリアランスとは 日本の法案も交えて専門家が解説