卒業アルバム作成のイシクラ、5月に発生したサイバー攻撃により約7.4万件の個人情報漏洩の可能性|セキュリティニュース

投稿日時: 2025年03月05日更新日時: 2025年03月12日

卒業アルバム作成のや印刷業を行う株式会社イシクラは、2024年5月に発生した同社が提供するレイアウトシステム「WebLAYLA」へのランサムウェアによるサイバー攻撃と不正アクセスにより約7.4万件の個人情報漏洩の可能性を発表しました。

不正アクセスの概要

「WebLAYLA」は、同社が写真館や卒業アルバム制作担当者向けの画像アップロードおよび紙面レイアウト指示を行うクラウドサービス。

2024年、WebLAYLAのサーバー保守を行っている委託会社が外部機器の交換を別の企業へ依頼したところ、機器交換を実施した会社の設定に不備がありその脆弱性からサイバー攻撃を受ける。

イシクラ社は、このシステムを通じてアルバム制作に必要なデータを受領し、制作業務を進めている。

今回の被害は、卒業アルバムの入稿データのうち約9%が「WebLAYLA」を利用していたため、限定的な影響にとどまる可能性があると同社は説明しています。

アルバム作成や政策データのバックアップはWebLAYLAとは別環境の為、サイバー攻撃による影響はなし

システム会社の調査により、データの抜き取り（持ち出し）は確認されていないが、外部から閲覧された可能性があり以下件数の個人情報が漏洩した可能性。

件数：漏えい等のおそれ 7万4238件（2025年2月24日時点）

漏洩した可能性のある個人情報の項目は以下

2024年5月18日までに WebLAYLA 上にアップロードされた画像データ（スナップ、個人写真）、氏名

※前述の通り WebLAYLA サーバーは卒業アルバムの紙面レイアウトツールでもあるため、いわゆる個人写真データにおいても、紙面レイアウト指示の作成で当サーバーを利用していた場合、氏名も漏えいのおそれのある情報に該当するとのこと

WebLAYLA サーバーの保守管理を行なう、システム会社から委託された修理業者が外部機器を交換した際、外部機器の閉鎖設定がされず脆弱性が生じ、不正アクセスの被害を受け。
同社内部ルールでは、WebLAYLA のデータ保管期間を「制作期間終了から1年（納品から1年）」とする規定があったが、保管期限を過ぎたデータの削除が徹底できず、弊社規定より古いデータも一部が WebLAYLA サーバーに残された状態になっていたこと。