子育てサポートシステムの会員情報が流出、設定ミスと不正アクセス - 横浜市
横浜子育てサポートシステム事業において、会員情報が第三者から閲覧可能な状態にあったことがわかった。またこれとは別に、不正アクセスによる会員情報の漏洩が発生していたことも判明した。
市の発表によれば、3月16日、システムの利用会員から運営委託先の横浜市社会福祉協議会に対し、ほかの会員の会員情報更新ページが閲覧できる状態になっているとの指摘があった。ページURLの末尾に並ぶ番号を違う番号に変えると、他人のページを閲覧できたという。
同協議会は事実確認の後、会員情報更新ページを停止して調査を実施。その結果、システム管理を委託している業者が3月5日にページの変更作業を行った際、第三者による閲覧を制限する機能を誤って削除していたことが判明した。これにより、会員の氏名や住所、電話番号、緊急連絡先、子供の名前などの個人情報が閲覧できる状態だった。
この不備を利用して実際に個人情報が閲覧されたのは、指摘した会員が不備を確認するために閲覧した16人分だけだったが、調査の過程で、3月5日以前に、閲覧経路の偽装やページの一部情報を取得するなど、5人の会員情報ページに不審なアクセスの痕跡が見つかった。システムに何らかの脆弱性があったと見られるため、調査を行っている。
同協議会では、個人情報漏洩の対象となった会員21人に対し個別に謝罪する。またシステムのセキュリティ対策を強化し、再発防止策を講じるまで会員情報更新ページの運用を停止するとしている。
(Security NEXT - 2014/04/03 )
ツイート
関連リンク
PR
関連記事
従業員メルアカに不正アクセス、スパム踏み台に - 組込機器メーカー
メールサーバがフィッシングメールの踏み台に - 広済堂HD子会社
サーバがランサム被害、UTMの設定不備を突かれる - CRESS TECH
公式Xアカウントが乗っ取り被害 - メガネの愛眼
第三者にメールを閲覧された痕跡、詳細を調査 - 東芝テック
計算用サーバが攻撃の踏み台に、テストアカを侵害 - お茶大
アイドルコンテストのX公式アカウントが乗っ取り被害
サイトに不正アクセス、テスト環境でPW窃取される - 日水コン
福井県の味噌蔵通販サイトに不正アクセス - 個人情報流出のおそれ
「UNIZONE EX Match」の来場者写真データが閲覧可能に - JeMO