Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Proself」にゼロデイ攻撃、関係者情報が流出 - 日本学術振興会

日本学術振興会は、ファイル転送に利用していたソフトウェア「Proself」が不正アクセスを受け、国内外の関係者に関する個人情報が流出したことを明らかにした。

同法人によれば、「Proself」にて構築されたクラウドストレージが8月29日から9月20日にかけて不正アクセスを受け、同ソフトウェア上に保存されていたファイルが流出したもの。

当時、開発元であるノースグリッドも把握していなかった「XML外部実体参照(XXE)」の脆弱性「CVE-2023-45727」を悪用するゼロデイ攻撃を受けた。10月5日に同社より脆弱性について連絡があり、同社へ調査を依頼したところ、何者かによって一部ファイルを取得されたことが10月25日に判明したという。

取得されたファイルを確認したところ、海外との研究者交流事業の関係者391人に関する氏名、所属、役職、略歴、連絡先、活動計画、推薦理由が記載されていた。また国内外の学術振興に関する行事や会議の参加者569人に関する氏名、所属、役職、略歴のほか、同法人役職員312人の氏名とメールアドレスなども含まれる。

同法人では、同ソフトウェアのアップデートを実施し、問題の脆弱性を解消した。対象となる関係者に対してメールで事態を報告している。二次被害などは確認されていない。個人情報保護委員会へ10月27日に報告したほか、10月30日に警察へ相談を行った。

今後の捜査に影響を与える可能性があるとして、一連の攻撃を通じて流出したファイル数などは明らかにしていない。流出したデータにおいて、個人情報以外に知的財産をはじめとする機密情報などが含まれていたかについてもコメントを避けた。

(Security NEXT - 2023/11/24 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

ランサムリークサイト、年間約4000件の投稿 - 身代金支払うも約2割で反古
ランサムウェア被害のイズミ、完全復旧目標は5月1日
イズミ、ランサム被害で宅配など一部サービスを停止 - 新店舗オープンを延期
サイクリングイベント申込フォームでミス、個人情報が流出 - 倉敷市
コンテスト入賞作品を撤収中に紛失、その後返還 - 鳥取県
事務連絡メールに7468人分の個人情報含む送付先一覧を誤添付 - 大阪市
受講システムで受講者の情報閲覧権限に設定ミス - ラック
行政文書ファイル1冊が所在不明、匿名通報で発覚 - 関東財務局
転職による年収アップ、「セキュリティエンジニア」がトップ
クラウド管理製品「VMware Aria Operations」に権限昇格の脆弱性