職員用システムに脆弱性、管理者パスワード奪われる - 西宮市

兵庫県西宮市は、職員などが利用するシステムが不正アクセスを受け、管理者パスワードなどが流出し、フィッシングメールの送信に悪用されたことを明らかにした。過去に外部の脆弱性診断を受けたが、その際に脆弱性の指摘は受けなかったという。

不正アクセスを受けたのは、職員などが利用するグループウェア。同市によれば、メールなど閲覧できるよう外部からもアクセスできる環境で運用していたが、同システムに対して12月5日15時過ぎに脆弱性を突く不正アクセスが行われたという。

グループウェアの議会行事予定ページに対する国内のIPアドレスを発信元としたSQLインジェクション攻撃で、複数のデータベースに対してアクセスが試行され、管理者権限のパスワードを窃取された。

以降、6日16時過ぎにかけて断続的に管理画面へ不正アクセスが行われ、職員3人のIDとパスワードなども流出。

そのうち職員1人のアカウント情報を悪用され、グループウェアのメールシステムより外部に対して4件のメール送信が試行され、1件が実際に送信された。さらに庁内のメールアドレス730件に対して7件のなりすましメールが送られた。

（Security NEXT - 2021/12/09 ）ツイート