事故から学ぶ

第三者による当社海外現地社員メールアカウントの不正利用に関するご報告とお詫び EIZO株式会社

事故概要

業種 民間企業
発生時期 2021/8/6
漏えい人数 3130
事故概要

東証1部上場企業のEIZO株式会社は8月18日、同社海外現地社員のメールアカウントが第三者に不正利用され、社内外への標的型攻撃メールの送信が判明したと発表した。
これは8月6日に、同社海外現地社員のメールアカウントからアカウント情報の窃取を目的としたフィッシングサイトに誘導する標的型攻撃メール1件が国内外620件の送付先(うち社外メールアドレス194件)への送信を確認したというもの。

同社によると、攻撃者は当該社員のアカウントを乗っ取った上で、当該アカウントで利用可能なメールアドレスリストをもとに標的型攻撃メールをランダムに送信したものと推測しており、当該社員への不正アクセスから当該アカウント停止までの約45分間、攻撃者は3,130件のメールアドレス(うち社外メールアドレス987件)と当該社員の送受信メール1,053件にアクセス可能であった。なお、当該情報がダウンロードされていないことは通信ログ解析にて確認済み。

同社では、標的型攻撃メールの送信を確認後、当該社員のアカウントの即時停止と、当該メールに記載されたフィッシングサイトURLへのアクセスをブロックしている。

また同社では、当該メールの社外送信先へ謝罪連絡を行うとともに、社内イントラにて同社社員へ注意喚起と対応策の周知を行った。

同社では今後、国内外すべてのグループ会社社員への情報セキュリティ教育を再徹底するとともに、情報セキュリティインシデントを未然に防止する技術的なセキュリティ対策を全社で一層強化するとのこと。

引用元 EIZO

■ 事故原因

事故の原因はチェックリストの下記項目が該当すると推察します。

20-1(第20条)安全管理措置 システム管理(不正アクセス防止)

チェックリストにある要求ルール:

システムに対する脅威や攻撃への防止策と監視体制を構築し、直ちに対抗策を構築していますか?
自社のシステムに対する新たな脅威や攻撃の手口を知り対策を社内共有し、対策行動の適格性と検証をする仕組みはできていますか?
常にOSや、アプリケーションソフトウェアを最新化して安全な状態にしていますか?
メールを介したウイルス感染防止として操作者教育と管理を徹底していますか?
パソコンにウイルス対策ソフトを入れていますか?さらにウイルス定義ファイル(コンピュータウイルスを検出するためのデータベースファイル「パターンファイル」とも呼ばれる)を自動更新するなど、パソコンをウイルスから守るための対策を行っていますか?
ログインIDにメールアドレス以外のIDを用意していますか?
ログイン時に2段階認証、2要素認証が可能な場合は設定していますか?
システム開発のテスト環境でウイルスチェックや不正侵入を防ぐセキュリティが甘くなっていませんか?
委託先にもまったく同じレベルで、個人情報の取扱い規則の周知徹底と監視監督をしていますか?

■ 推奨対策

対策:

海外子会社への標的型攻撃メールにひっかかり、結果として市フィッシングメールを送信する踏み台にされたものっである。東証一部上場企業の子会社は不正アクセスを行う者たちの格好のターゲットになっている。

具体例:

自分たちが攻撃の的になっていることを、まず子会社社員、特に現地社員に徹底教育を行う必要がある。無論、日本国内の本支店も無論である。
標的型攻撃メールは、巧妙に関係者を装ってくるのが、注意をすれば分かるレベルである。その微妙さを教育で徹底して学習し事故を防ぐ努力が必要である。

ご入会のお手続きはこちら

会費のお支払い方法は、クレジットカード払いと口座振替の2種類お選びいただけます。 (会費のお支払方法により、入会手続きが異なります。) 詳しくは、「ご入会の流れについて」をご確認ください。