ネットセキュリティニュース

◆朝日航洋、車上荒らしで4市の固定資産情報96万6千件を含むHDD盗難（2006/06/30）

　航空測量の大手「朝日航洋」（本社：東京都豊島区）の社員が車上荒らしにあい、4市の固定資産情報96万6千件を含む外付けハードディスクドライブ（HDD）が盗まれた。同社と4市は27～28日、HP上にお詫び文を掲載した。

　固定資産の課税業務では、登記された土地や家屋の現況を調査し、地図や課税資料を作成する。盗まれたHDDに入っていたのは、岐阜県関市、同可児市、滋賀県東近江市、兵庫県加東市が同社に委託した同業務用のデータで、4市の土地や家屋の情報約96万6千件と、延べ約20万1千人分の所有者情報が含まれていた。

　同社などによると、当該社員が26日午後2時過ぎ、東近江市内のショッピングセンターの駐車場に車を止めて昼食をとっていたところ、車の窓ガラスが割られ、車内に置いてあったパソコンやHDDを入れたカバンが盗まれた。HDDには、暗号化やパスワード保護などのセキュリティ対策は施されていなかった。

（2006/06/30 ネットセキュリティニュース）

■【お詫び】弊社受託業務における個人情報の盗難について（朝日航洋）
http://www.aeroasahi.co.jp/topics/spa_20060628.html
■個人情報の盗難についてお詫び（関市）
http://www.city.seki.gifu.jp/info2/view.cfm?id=560
■委託業者による個人情報盗難について（可児市）
http://kaniwww3.city.kani.gifu.jp/wnew.nsf/0/A3846630D2BA54BC4925719A003A06EF
■本市業務委託業者による個人情報の盗難についてお詫び（東近江市）
http://www.city.higashiomi.shiga.jp/subpage.php?p=7837&t=1151555981
■本市業務委託業者による個人情報の盗難についてのお詫び（加東市）
http://www.city.kato.lg.jp/news/index.html

◆CDDB ActiveXコントロールに深刻な脆弱性：ソニー、KDDI au製品に影響（2006/06/30）

　米グレースノートは27日、同社が提供する「CDDB ActiveXコントロール」の一部のバージョンに深刻な脆弱性が見つかったと発表した。

　今回発見された脆弱性は、当該コントロールに長いオプションを渡すとバッファオーバフローが発生し、クラッシュやコード実行の恐れがあるというもの。フランスのFrSIRTは最大の深刻度「Critical」で、デンマークのSecuniaは5段階の上から2番目「Highly critical」で警告している。

　当該コントロールは、アプリケーションがデータベースからCDの収録曲情報を取得する機能を提供するもので、ソニーのVAIOやウォークマンに付属する「CONNECT Player」「SonicStage Ver.3.3/3.4」「SonicStage Mastering Studio Ver.2.1/2.2」「Do VAIO Ver.1.6」、KDDIの音楽サービス「au LISTEN MOBILE SERVICE」用の「au Music Port Ver.1.00～Ver.2.02」で使用されている。ActiveXコントロールとして提供されているため、細工されたWebページやHTMLメールで同脆弱性が悪用され、任意のプログラムを実行される可能性がある。

　ソニー製品は、下記の対象製品を参照の上、アップデートプログラムを適用。KDDIの「au Music Port」は、同脆弱性の修正を含む最新版「Ver.2.1」が用意されている。

（2006/06/30 ネットセキュリティニュース）

■ソニー製品
・VAIO対象製品
http://vcl.vaio.sony.co.jp/notices/security/info210.html
・ウォークマン対象製品
http://www.sony.jp/support/p-audio/contents/information/info_060628.html
・アップデートプログラム
http://www.gracenote.com/sec062706/SonySecurityNotification_jp.html

■KDDI「au Music Port」のアップデート
http://www.au.kddi.com/news/information/au_info_20060628.html
【脆弱性情報】
・セキュリティに関する重要なお知らせ（グレースノート）
http://www.gracenote.com/gn_japan/corporate/FAQs.html/faqset=security/page=0
・JVNVU#701121：Gracenote CDDB ActiveX コントロールにおけるバッファオーバーフローの脆弱性（JVN）
http://jvn.jp/cert/JVNVU%23701121/index.html
・Gracenote CDDBControl ActiveX Control Buffer Overflow[英文]（Secunia）
http://secunia.com/advisories/20861/
・Sony Products Gracenote CDDB ActiveX Control Remote Buffer Overflow Vulnerability[英文]（FrSIRT）
http://www.frsirt.com/english/advisories/2006/2562
・VU#701121：Gracenote CDDB ActiveX control buffer overflow[英文]（US-CERT）
http://www.kb.cert.org/vuls/id/701121

◆東京都、ネット上の医薬品や健康食品などの広告監視指導を全国規模で実施（2006/06/29）

　東京都福祉保健局は28日、医薬品や健康食品などのインターネット上の広告に対する監視指導を全国規模で実施すると発表した。本年度は7月と11月に予定しており、1回目の実施は7月3日から1か月程度を予定している。

　「インターネット上の広告監視指導」は、インターネット上に掲載されている薬事法に抵触する不適切な広告や表示に対し、メールによる警告を行い改善を指導。その後の改善状況をチェックし、未改善であれば別途改善指導を行うもの。インターネット上では、同じ製品を複数の事業者が取り扱っているケースが多いため、2003年には全国初の試みとして、プロバイダーやショッピングモールを運営しているインターネット関連企業とも連携。当該製品の広告を行う他の事業者に対して、協力企業を通じた啓発・注意喚起を併せて実施した。

　今回行うのは、これを全国規模に拡大したもので、広告主に対する監視指導を所管地の都道府県が実施。都は、都道府県を代表して、当該製品の広告情報などを協力企業に提供する。広告監視の対象製品は、医薬品、医薬部外品、化粧品、医療機器、健康食品、健康・美容器具など。協力企業は、Excite、goo、オーバーチュア、au Shopping Mall、アラジン、So-net、ビッダーズ、BIGLOBE、＠nifty、Yahoo! JAPAN、楽天市場の11社。

（2006/06/29 ネットセキュリティニュース）

■インターネット広告監視事業を初の全国規模で実施（東京都）
http://www.metro.tokyo.jp/INET/OSHIRASE/2006/06/20g6s600.htm

【参考サイト】
・東京都福祉保健局
http://www.fukushihoken.metro.tokyo.jp/
・医薬品等の広告規制について（薬事法）（東京都福祉保健局）
http://www.fukushihoken.metro.tokyo.jp/yakuji/kansi/cm/top.html
・東京薬事インデックス（東京都福祉保健局）
http://www.fukushihoken.metro.tokyo.jp/yakuji/index.html
・健康食品ナビ（東京都福祉保健局）
http://www.fukushihoken.metro.tokyo.jp/anzen/supply/index.html

【関連記事：ネットセキュリティニュース】
・東京都の健康食品試買調査、ネット販売の９割に法令違反（2005/10/12）
・ネット販売の「ホスピタルダイエット」でまた健康被害、都内の女性が入院（2005/09/27）
・ネット販売のダイエット薬服用で20代の女性死亡、厚生省注意呼びかけ（2005/09/02）
・違法ダイエット食品「天天素」ネット販売で初の逮捕者（2005/08/22）
・ネット個人輸入の危険～死亡例が出て無法地帯の実態明るみに（newstopics：2005/09/21）

◆アップル、複数の深刻な脆弱性を修正した「Mac OS X 10.4.7」を公開（2006/06/28）

　アップルコンピュータは27日（米時間）、Mac OS X 10.4（Tiger）の最新版「Mac OS X 10.4.7」を公開した。5件の脆弱性を修正するセキュリティアップデートのほか多数の機能強化が含まれており、同社は対象となる全てのユーザーに適用を推奨している。

　アップデートは、アップルメニューの「ソフトウェア・アップデート」による自動インストール、または、同社サイトの「ソフトウェアアップデート」ページからのダウンロード。ダウンロード版には、サーバ用、PowerPC版クライアント用、Intel版クライアント用のパッケージがあり、それぞれ「10.4.6」用の「Delta」と、すべての「10.4」に適用できる「Combo」が用意されている。

【セキュリティアップデートの内容】
AFP：アクセス権の無いファイル名/フォルダ名が漏えいする脆弱性
ClamAV（Clam AntiVirus）：コード実行の脆弱性
ImageIOのTIFF画像処理：クラッシュ/コード実行の脆弱性
launchd：ローカルユーザーの特権昇格の脆弱性
OpenLDAP：DoSの脆弱性

（2006/06/28 ネットセキュリティニュース）

■ソフトウェアアップデート（アップル）
http://www.apple.com/jp/ftp-info/index.html
■security-announce Mailing List（APPLE-SA-2006-06-27 Mac OS X v10.4.7）[英文]（アップル）
http://lists.apple.com/archives/security-announce/2006/Jun/msg00000.html

◆北九州市消防局、Winnyのウイルス感染で被災者ら287名分の個人情報流出（2006/06/27）

　北九州市消防局は22日、30代の男性職員が自宅で使用している私有パソコンがファイル共有ソフトWinny（ウィニー）のウイルスに感染し、火災などの被災者ら287名の個人情報がインターネット上に流出したと発表した。

　流出したのは住所、氏名、電話番号などが記載された火災などの被害者情報37名分、地域住民情報182名分、研修受講者情報48名分、本人が居住するマンションの住居者情報20名分の個人情報など。ほかに、テロやNBC災害（注1）に対処する消防訓練に関する資料など、1,000件を越える業務情報も流出していた。

　同局によると、当該職員は自宅で事務処理を行うために、職場のパソコンから業務情報を無許可でフロッピーディスクなどにコピーし、持ち帰っていた。自宅のパソコンで事務作業を行っていたところ、今年１月ごろに同パソコンがウイルスに感染し、保存していた私的な文書とともに業務情報が流出。今月19日夕方、総務省地域情報政策室からの通報で発覚した。

　同局は、該当者に対し早急に状況説明と謝罪を行うといい、全職員に対し所属長による口頭指示を行うとともに、私有パソコンの業務利用禁止、業務情報の持ち出し禁止などを改めて文書で通知。これまで以上に適正な情報セキュリティを確保し、再発防止に努めるとしている。

【注1】NBC災害：核物質（Nuclear）、生物剤（Biological）、化学剤（Chemical）が使用される災害。

（2006/06/27 ネットセキュリティニュース）

■個人情報の流出について[PDF]（北九州市）
http://www.city.kitakyushu.jp/file/03010200/happyou/060622firepribeto.pdf

【過去記事：消防関連からの個人情報流出】
・2006/06/05 大阪府／貝塚市消防本部：独居老人名簿41名、職員名簿80名
・2006/05/30 大阪府／枚方寝屋川消防組合：市民59名、職員32名の住所録
・2006/05/02 岐阜県／可茂消防事務組合：救助隊の訓練記録（職員23名）
・2006/03/22 群馬県／伊勢崎市消防本部：火災調査報告書など（2名）
・2006/02/24 愛知県／名古屋市消防局：業務資料1,980件（法人7社、職員8名）
・2006/02/13 岐阜県／各務原市消防署：調査関係書類2,309名、職員など1,300名
・2006/02/13 群馬県／前橋市消防本部：火災調査書（個人47名）
・2006/02/13 岡山県／倉敷市消防局：火災調査書（被災者6名）、職員の連絡網118名
・2006/01/20 北海道／南渡島消防事務組合：搬送患者2名
・2005/12/19 栃木県／佐野地区広域消防組合：市民と職員211名
・2005/10/11 秋田県／由利本荘市消防本部：高齢者世帯名簿など592件・503名
・2005/04/06 宮城県／仙台市消防局：火災情報（個人2名）

◆オンラインゲーム「Xenepic Online」でユーザー情報30万件流出（2006/06/27）

　NHN Japan（本社：東京都渋谷区）とゲームガーデン（本社：東京都中央区）は27日、DNC Entertainment（本社：韓国ソウル）が開発し共同で運営するMMORPG（多人数同時参加型ロールプレイングゲーム）「Xenepic Online（ゼネピック・オンライン）」の管理ミスで、29万7,805件のユーザー情報を流出したと発表した。

　NHN Japanなどによると、DNC Entertainmentとゲームガーデンが共同で運営管理するダウンロード用のサーバーの一部に、誤ってユーザー情報を格納。URLを指定してアクセスすれば、ユーザーが自由に閲覧・入手できる状態にあった。

　閲覧・入手可能だったデータは、Xenepic Online用のゲームIDと登録メールアドレス29万7,805件。アイテムの購入やチャットの履歴などが記録された、ゲームサーバーのログファイル。Xenepic Onlineゲーム参加用に自動生成されるパスワード。ユーザーが設定したパスワードやクレジットカード番号などの決済情報に関するデータは含まれない。

　ゲームガーデンは26日、NHN Japan社からの要請を受けて流出の事実を確認。同日15時30分までに流出した全てのデータを削除するとともに緊急メンテナンスを実施し、権限をもたない者がサーバーにアクセスできないようにした。同社は今後、DNC Entertainmentとともに、発生時およびその後のデータ流出状況を詳しく調査し、必要な情報は随時開示していくとしている。

（2006/06/27 ネットセキュリティニュース）

■「Xenepic Online」お客様情報流出に関しまして[PDF]（NHN Japan）
http://www.nhncorp.jp/press/files/PRESS_20060627082539.pdf
■お客様情報の流出に関するご報告とお詫び（ゲームガーデン）
http://www.gamegarden.jp/news/20060627news.html
■お客様情報の流出に関するご報告とお詫び（ハンゲーム）
http://www.hangame.co.jp/publish/xo/news_whatsnew.asp?id=305

【過去記事：オンラインゲームの情報流出】
・オンラインゲームサーバーのHDD 30台紛失、ユーザー情報6万4千名分流出か（2006/05/29）
・オンラインゲーム「Master of Epic」ユーザー情報1,373名分がFTPから流出（2006/02/22）
・「ハンゲーム」の顧客情報163件流出でNHN Japan契約社員と私大生逮捕（2005/11/17）

◆オンラインゲーム「Xenepic Online」でユーザー情報30万件流出（2006/06/27）

　NHN Japan（本社：東京都渋谷区）とゲームガーデン（本社：東京都中央区）は27日、DNC Entertainment（本社：韓国ソウル）が開発し共同で運営するMMORPG（多人数同時参加型ロールプレイングゲーム）「Xenepic Online（ゼネピック・オンライン）」の管理ミスで、29万7,805件のユーザー情報を流出したと発表した。

　NHN Japanなどによると、DNC Entertainmentとゲームガーデンが共同で運営管理するダウンロード用のサーバーの一部に、誤ってユーザー情報を格納。URLを指定してアクセスすれば、ユーザーが自由に閲覧・入手できる状態にあった。

　閲覧・入手可能だったデータは、Xenepic Online用のゲームIDと登録メールアドレス29万7,805件。アイテムの購入やチャットの履歴などが記録された、ゲームサーバーのログファイル。Xenepic Onlineゲーム参加用に自動生成されるパスワード。ユーザーが設定したパスワードやクレジットカード番号などの決済情報に関するデータは含まれない。

　ゲームガーデンは26日、NHN Japan社からの要請を受けて流出の事実を確認。同日15時30分までに流出した全てのデータを削除するとともに緊急メンテナンスを実施し、権限をもたない者がサーバーにアクセスできないようにした。同社は今後、DNC Entertainmentとともに、発生時およびその後のデータ流出状況を詳しく調査し、必要な情報は随時開示していくとしている。

（2006/06/27 ネットセキュリティニュース）

■「Xenepic Online」お客様情報流出に関しまして[PDF]（NHN Japan）
http://www.nhncorp.jp/press/files/PRESS_20060627082539.pdf
■お客様情報の流出に関するご報告とお詫び（ゲームガーデン）
http://www.gamegarden.jp/news/20060627news.html
■お客様情報の流出に関するご報告とお詫び（ハンゲーム）
http://www.hangame.co.jp/publish/xo/news_whatsnew.asp?id=305

【過去記事：オンラインゲームの情報流出】
・オンラインゲームサーバーのHDD 30台紛失、ユーザー情報6万4千名分流出か（2006/05/29）
・オンラインゲーム「Master of Epic」ユーザー情報1,373名分がFTPから流出（2006/02/22）
・「ハンゲーム」の顧客情報163件流出でNHN Japan契約社員と私大生逮捕（2005/11/17）

◆山田の次は原田、Winny/Shareで感染を広げる新型ウイルス「Haradong」（2006/06/23）

　シマンテックは19日（米国時間）、ダウンロードされたファイルを表示している間にローカルファイルを削除するトロイの木馬「Trojan.Haradong」について警告した。また、駆除の方法や、予防策を公開している。

　同社はこのウイルスの危険度を１(ほとんど影響なし)、ダメージを「中」と評価している。また、このウイルスは日本のいくつかのP2P（ピアツーピア）ファイル共有ネットワークで見つかっており、映画のファイルとして偽装している可能性があるとしている。

　同ウイルスは、インターネットの掲示板などで話題になっている通称「原田ウイルス」の一種。Winny（ウィニー）やShare（シェア）で感染を広げており、感染すると「原田」と名乗る男性の画像が表示されるため、この名称で呼ばれている。

　同社によると、このウイルスは、感染したパソコンのCドライブ内に２つのテキストファイルを作成。１つは、「おまえはもう死んでいる。京都府宇治市（以下略）」という文を含む。もう一方のファイルはパソコンのマシン名とIPアドレスを含んでおり、このファイルは外部のFTPサーバー宛てに送信される。また、FTPサーバーから「HARADA.avi」というファイルをダウンロードし、Media Playerで再生する。さらに、カレントディレクトリ内から、「wmv」「mpg」「mp3」など15種類の拡張子をもつファイルを削除。Internet Explorerや、Mozilla Firefox、Norton AntiVirusの実行ファイル等も削除する。

（2006/06/23 ネットセキュリティニュース）

■Trojan.Haradong（シマンテック）
http://www.symantec.com/region/jp/avcenter/venc/data/jp-trojan.haradong.html

◆【ゼロデイ攻撃】Microsoft Excel：新たに2件の脆弱性～コード実行の恐れ（2006/06/23）

　米国時間12日にMicrosoft Excelに未修正の脆弱性が見つかったが、セキュリティベンダー各社は20日以降、新たに発見された2件の脆弱性について警告した。「hlink.dllのメモリ境界エラーに関する脆弱性」と、「Shockwave Flashオブジェクトに関する脆弱性」の２件である。

　「hlink.dllのメモリ境界エラーに関する脆弱性」では、Excelドキュメント内のハイパーリンクの長いURLをクリックすると、バッファオーバーフローを起こす。hlink.dllはExcelだけではなく、Office内のすべてのリンクに対して機能するため、Excel以外のOfficeドキュメントでも警戒が必要となる。対象となるのはExcel viewre 2003とExcel2003/2002/2000のほか、Office2000/2003/XP。

　「Shockwave Flashオブジェクトに関する脆弱性」では、Excelのスプレッドシートに埋め込まれたShockwave Flashオブジェクトで、セキュリティが回避される。このため、不正なFlashファイル(JavaScriptを含む)が同オブジェクトとして埋め込まれているExcelファイルを開いただけで、悪意あるコードが実行される。対象となるのはOffice2003。

　いずれも実証コードが出回っているが、現時点で悪質な攻撃コードは報告されていな
い。修正パッチは未公開。マイクロソフトとベンダー各社は、「信頼できないOfficeドキュメントを開かない」「Officeドキュメントでリンクをクリックしない」など、引き続き注意を呼びかけている。

（2006/06/23 ネットセキュリティニュース）

【脆弱性およびウイルス情報】
■hlink.dllのメモリ境界エラーに関する脆弱性
・Information on Proof of Concept posting about hlink.dll[英文]（MicrosoftSecurity Response Center Blog!）
http://blogs.technet.com/msrc/archive/2006/06/20/437826.aspx
・New Excel 0day (Are we evolving or going in circles?)[英文]（SANS Institute）
http://isc.sans.org/diary.php?storyid=1431&rss
・Microsoft Office Hyperlink Library Long Link Handling Buffer Overflow Vulnerability[英文]（FrSIRT）
http://www.frsirt.com/english/advisories/2006/2431
・Microsoft Office Long Link Buffer Overflow Vulnerability[英文]（Secunia）
http://secunia.com/advisories/20748/
・CVE-2006-3086[英文]（CVE-2006-3086）
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-3086
・TROJ_URXCEL.A[英文]（TrendMicro）
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=TROJ%5FURXCEL%2EA

■Shockwave Flashオブジェクトに関する脆弱性
・Microsoft Office Embedded Shockwave Flash Object Security Bypass Weakness[英文]（SecurityFocus）
http://www.securityfocus.com/bid/18583
・CVE-2006-3014[英文]（CVE-2006-3014）
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-3014
・Trojan.Flemex[英文]（Symantec）
http://securityresponse.symantec.com/avcenter/venc/data/trojan.flemex.html

【参照記事：ネットセキュリティニュース】
・【ゼロデイ攻撃】Microsoft Excel：未知の脆弱性を突くウイルス出回る（2006/06/19 ）

◆NTTカード「ネットキャッシュ」のID約8万個流出、不正利用による被害発生（2006/06/22）

　NTTカードソリューション(本社：東京都港区)は20日、同社が運営する電子マネーサービス「ネットキャッシュ」を管理するサーバーが外部から不正アクセスを受け、同サービスのID ８万1,105個が流出した可能性があると発表した。流出IDはすでに不正利用されており、327万円の被害が確認されている。
　「ネットキャッシュ」は16ケタのIDを使用したプリペイド式の電子決済サービスで、オンラインショッピングやゲームなどで利用できる。

　同社によると、９日に顧客から「購入したネットキャッシュが利用できない」との連絡を受けてアクセスログを解析。システムの脆弱性を突いた外部からの不正アクセスがあったことを13日に確認した。さらにIDの不正ダウンロードがあったことが16日までに判明。流出したIDの不正利用も明らかになり、19日の時点で販売前のIDで316万円、販売済みのIDで11万円の被害を把握した。

　同社はシステムを修正した上で、流出した可能性があるIDのうち、販売前の５万419個について販売および利用を停止した。販売済みの３万686個については、未使用の2,286個は利用を停止して新しいIDと交換し、使用中・使用済みの２万8,400個は不正利用が確認された場合、正しい残高の新IDと交換する。

　また、当該ID以外のIDについても不正に利用される可能性があるとして、残高を確認するよう呼びかけている。不正利用が発覚した場合、専用窓口を通じて正しい残高の新IDへの交換に応じるという。

（2006/06/22 ネットセキュリティニュース）

■不正アクセスによる「ネットキャッシュ」IDの流出に関するお詫びについて(NTTカードソリューション)
http://www.ntt-card.co.jp/news/details/39.html
■不正アクセスによる「ネットキャッシュID」の流出に関するお詫びとお客様へのお願い(NET CASH)
http://net-cash.jp/news/20060619_systemerror.html

■関連コラム
・続発する不正アクセス事件　～ユーザーとして可能な自衛策とは？

◆雇用・能力開発機構宮城センター、職業訓練受講生55名分の書類紛失（2006/06/20）

　職業訓練などを行う独立行政法人雇用・能力開発機構宮城センター（宮城県多賀城市）は19日、職業訓練受講生55名分の書類を紛失したと発表した。

　同センターによると、紛失した書類は、氏名、住所、電話番号、受講期間、訓練受講職種、通所方法などが記載された「公共職業訓練等通所届」8名分と、5月分の訓練受講状況や受講職種、氏名、就労・収入等の有無などが記載された「公共職業訓練等受講証明書」47名分。今月9日に塩釜公共職業安定所（同県塩釜市）宛てに送ったところ、翌10日、配送業者が安定所の郵便受けと間違って「求人情報提供ボックス」に入れてしまったという。このため、求職者が誤って持ち帰った可能性が高いと見ているが確認できていない。

　同センターは、該当する受講生に事情を説明するとともに、今後は持参または受領確認のできる送付方法に改めるとしている。

（2006/06/20 ネットセキュリティニュース）

■公共職業訓練等受講証明書等の紛失について[PDF]（雇用・能力開発機構宮城センター）
http://www.ehdo.go.jp/miyagi/oshirase.pdf

◆愛媛県警捜査情報流出：「調査結果報告書」公表、流出元警部は停職3か月（2006/06/19）

　愛媛県警察本部捜査第一課の警部（42歳）の私有パソコンがファイル交換ソフトWinny（ウィニー）のウイルスに感染し、被疑者や被害者らの個人情報を含む捜査資料がインターネット上に流出した問題で、県警は16日、「調査結果報告書」を公表。同日付で警部を停職３か月の懲戒処分に、流出当時の上司である刑事部参事官を「本部長訓戒」にするなど、計７名の関係者に対し処分を実施した。

　報告書によると、外部に流出したことが確認されたファイルは、1984年頃から2003年末頃までに作成された合計約3,500ファイル。全ファイルの内容を精査した結果、当初約4,200人としていた個人情報は、約6,200人に及ぶものと判明した。

　3,500ファイルのうち2,050ファイルは、県警内部でも管理していた被疑者や被害者らの供述調書や捜査報告書などの資料。これらの中には、その後の報道で問題視されたNシステム（自動車ナンバー自動読み取り装置）で取得した車両データや、捜査対象者の車にGPS（全地球測位システム）を取り付けて行動を監視していた捜査資料などが含まれていたが、報告書ではこれらを、捜査として許容される範囲内とした。

　残り1,450ファイルは警部の個人資料で、報道で問題視された取調べ要領や捜査協力者への謝礼交付に関するものなどが含まれていた。
　取調べ要領には、違法な取調べを示唆する記述があったが、時間をかけて被疑者の頑なな心を開かせることの重要性を伝えようとしたベテラン捜査官からのメモだといい、違法な取調べ手法を肯定する趣旨ではないとした。謝礼交付を記載した「捜査報告書」と題する文書では、記載された複数の協力者に協力や謝礼受領の事実がないことが指摘されたが、実在する人物を便宜上仮名として記載したり、謝礼交付を前提に作成したものの交付には至らなかったメモが消去されずに残っていたとし、捜査費の不適正使用はないと結論付けた。

（2006/06/19 ネットセキュリティニュース）

■捜査資料流出事案に伴う調査結果について[PDF]（愛媛県警察）
http://www.police.pref.ehime.jp/soumu/ryusyutu_chousa.pdf

【参照記事：警察関係者からの情報流出】
・岡山県警察、再委託先から「交通規制管理システム」のデータ流出（2006/05/30）
・大阪府警から「捜査書類ひな型」、兵庫県警から「供述調書下書き」流出（2006/04/22）
・愛媛県警：警部の私有パソコンが感染、捜査の重要資料流出（2006/03/09）
・岡山県警倉敷署：巡査長の私有PCが感染、1,500人分の捜査資料が流出（2006/03/06）
・栃木県警：巡査の私有パソコンが感染、個人情報を含む捜査資料流出（2006/02/24）
・厚木署から空き巣の捜査資料流出（2006/02/02）
・広島県警の警察官住所録33名分がWinnyネットに流出（2005/11/28）
・愛知県警の捜査情報が流出、巡査私有PCのWinny感染で（2005/06/27）

◆【ゼロデイ攻撃】Microsoft Excel：未知の脆弱性を突くウイルス出回る（2006/06/19）

　Microsoft Excelに任意のコードが実行可能な脆弱性が見つかり、悪用するウイルスが出回っているとして、セキュリティベンダー各社が注意を呼びかけている。トレンドマイクロは12日（米時間、以下同じ）付、シマンテックは14日付のウイルス定義ファイルで同ウイルスの検出・駆除に対応。マイクロソフトは無料提供の「Windows Live Safety Center」のオンラインスキャン（Windows XP/2000/2003 Server）で対応した。

　シマンテックなどによると、細工されたExcelファイル（.XLS）がメールの添付ファイルとして届き、添付ファイルを開くだけでドキュメント内に埋め込まれたトロイの木馬が投下・実行されるという。先月発見され、先ごろ修正されたばかりのWordの脆弱性を突くウイルスとよく似たタイプだ。

　マイクロソフトは16日、MSRC（Microsoft Security Response Center）のブログで、顧客がExcelの新たな脆弱性を突く攻撃を受けたことを報告。同脆弱性に関しては現在調査を進めており、詳細がわかり次第、報告するという。SecuniaやFrSIRTは同日、脆弱性の対象をExcel 2000/2002/2003（Office 2000/XP/2003同梱）とし、ともに最大の深刻度で警告。信頼できないExcelファイルは開かないよう注意を呼びかけている。

　なお、Excelのドキュメントは他のOfficeドキュメント内に埋め込まれていることもあり、Officeドキュメントは、関連付けられていない無効な拡張子でも目的のアプリケーションを起動する。中身の不明なあらゆるファイルに対し、十分な注意が必要だ。

（2006/06/19 ネットセキュリティニュース）

【参照記事】
・Microsoft Wordの脆弱性を突くウイルス出回る～添付ファイルに注意（2006/05/23）

【MEMO】
　ゼロデイ攻撃（zero-day attack）：脆弱性が一般に公開され、修正パッチの提供などによるユーザー側の対策が調う前に始まる攻撃。または攻撃方法が作成され、攻撃される可能性のある状態。

◆ネットカフェでキーロガー被害相次ぐ：東京、岡山（2006/06/16）

　警視庁ハイテク犯罪対策総合センターは13日、キーボードの入力履歴を記録するソフト「キーロガー」を使って盗んだIDとパスワードを使い、オークションサイトに不正にアクセスしたとして、東京都在住の男（28歳）を不正アクセス禁止法違反の疑いで逮捕したと発表した。

　調べでは、男は昨年８月～今年１月、アルバイト先のインターネットカフェ（東京都江東区）のパソコン５台にキーロガーを仕掛け、オークションサイトなどで使うIDとパスワード84人分を不正に入手、それらを使ってオークションサイトに29回アクセスした疑い。男は商品を搾取する目的で、江東区内の女性（26歳）のIDを使用してヤフーオークションで商品を落札したが、落札を知らせるメールを受け取った女性がキャンセルの措置をとったため、搾取は未遂に終わった。

　先月26日には岡山でも、勤務していたネットカフェのパソコンにキーロガーを仕掛けた元従業員(26歳)が逮捕されている。元従業員は、客が操作したオンラインゲーム「リネージュ２」のIDとパスワードを搾取し、ゲーム内のアイテムや通貨を盗んでいた。

　ネットカフェなど不特定多数が使用するパソコンを経由して情報を盗まれ、悪用されるという事件は、これまでにも多数発生しており、ネットバンクの口座から多額の金を引き出されたケースもある。これらのパソコンを利用する時は、ID、パスワード、個人情報等の入力は控えるのが安全だ。

（2006/06/16 ネットセキュリティニュース）

■元インターネットカフェ従業員を不正アクセス行為で逮捕（警視庁）
http://www.keishicho.metro.tokyo.jp/jiken/kenkyo/jiken.htm
■岡山県警察
http://www.pref.okayama.jp/kenkei/kenkei.htm

◆マイクロソフト最新パッチの実証コードが次々公開：早急にパッチ適用を（2006/06/16）

　マイクロソフトは14日に６月度月例パッチをリリースしたが、同パッチが対応している脆弱性を悪用するコードが、次々公開されている。

　セキュリティベンダーの米SANS Insituteは現地時間14日、以下の脆弱性について実証コードが確認、または報告されていると発表した。

・Windows Media Player：リモートでコードが実行される脆弱性（MS06-024）
・ルーティングとリモートアクセス：リモートでコードが実行される脆弱性（MS06-025）
・Microsoft Word：リモートでコードが実行される脆弱性（MS06-027）
・サーバーメッセージブロック：特権が昇格される脆弱性（MS06-030）
・TCP/IP：リモートでコードが実行される脆弱性（MS06-032）

　Wordの脆弱性（MS06-027）を悪用するコードは、パッチリリース以前の５月の段階ですでに確認されている。またサーバーメッセージブロックの脆弱性（MS06-030）については、２件の実証コードが公開されている。その他の脆弱性の実証コードは、侵入テストを行うベンダーが顧客に提供するなどしたもので、広く公開されているわけではない。

　これらの実証コードが悪用されると、パッチ未適用のパソコンは、悪意をもった攻撃者によって不正なプログラムを実行されるなどの危険にさらされることになる。このため、月例パッチ未適用のユーザーは、同パッチを早急に適用する必要がある。

（2006/06/16 ネットセキュリティニュース）

■Exploits for most recent Microsoft Patches[英文]（SANS Institute）
http://isc.sans.org/diary.php?storyid=1415

◆セガトイズ、アンケート誤送信で顧客のメールアドレス1万2,639件分流出（2006/06/15）

　おもちゃメーカーのセガトイズ（本社：東京都台東区）は13日、アンケートメール送信時の誤操作により、顧客のメールアドレス1万2,639件が流出したと発表した。

　同社によると、12日19時ごろ、同社の担当者が「お茶犬」に関するアンケート依頼メールを配信する際、宛て先を「BCC」に指定すべきところ、誤って「CC」に指定して送信。さらに、誤送信に気づいた担当者が個人情報の流出を最小限にすべく「メッセージの取り消し」により削除を試みたところ、顧客に同様のメールを再度配信してしまったという。

　同社は、今後、外部の専門家を交えて再発防止に努めるとともに、アンケートメールの配信を一時停止し、システムのあり方についても見直しを行うとしている。

（2006/06/15 ネットセキュリティニュース）

■個人情報の流出に関するお詫びとお知らせ[PDF]（セガトイズ）
http://www.segatoys.co.jp/ir/libra/20060613ir.pdf

◆[Winny]情報流出：西日本プラント工業から火力発電所の点検手順書流出（2006/06/15）

　九州電力の子会社で、発電所の建設や保守を請け負う西日本プラント工業（福岡市中央区）は12日、同社社員の個人パソコンがWinnyのウイルスに感染し、九州電力苅田火力発電所（福岡県苅田町）の点検作業手順書の一部がWinnyネットワークへ流出したと発表した。流出した手順書様式は作成途中のもので、重要な技術情報や個人情報などは含まれていない。

　同社によると、当該社員は、2004年１月ごろに同社内のパソコンで個人用のUSBメモリーを使用したが、その際、同メモリーに業務情報が混入。自宅に持ち帰った同メモリーを経由して、個人パソコンから手順書様式が流出した。流出時期は、今年の１月25日以降だとみている。

　同社については、今年４月にも、Winnyのウイルス感染によって原発資料等が流出していたことが明らかとなっており、この件で九州電力は、原子力安全・保安院から４月17日付けで厳重注意を受けている。西日本プラント工業は、前回の情報流出以降、ファイル交換ソフトや個人パソコン内の業務情報を削除するよう全社員に求めるなど、再発防止策を推進してきたが、今回の流出は、その対策前の今年１月に発生したものだった。

（2006/06/15 ネットセキュリティニュース）

■火力発電設備に関する点検作業手順書様式の情報流出について（西日本プラント工業）
http://www.npc21.jp/press/press_20060612.html

■ セキュリティ関連ニュース
西日本プラント工業：社員の私有PCが感染、九電の原発情報など流出（2006/04/18）

　KDDI（本社：東京都千代田区）は13日、同社が運営するインターネット接続サービスの顧客約400万名分の情報が流出したと発表した。また同日、警視庁捜査1課は、同情報を入手してKDDIから現金を脅し取ろうとしたとして、川崎市在住の男（57歳）と東京都在住の男（47歳）を恐喝未遂容疑で逮捕した。

　KDDIの発表によると、流出した情報は、2003年12月18日までに「DION」ならびに旧KDDのサービス「NEWEB」に契約申し込みをしたことのある顧客全員にあたる399万6789名の氏名、住所、電話番号。そのうち一部については、性別、生年月日、メールアドレスも流出した。DIONのメールアドレス、パスワード、口座番号などの信用情報、通信記録は流出していない。

　同社によると、流出元と見られる保守用パソコンを操作できたのは、同社社員48名と委託先1社の社員177名のみ。同社は、該当顧客にメールや文書で謝罪するという。

（2006/06/14 ネットセキュリティニュース）

■お客様情報の流出に関するお知らせ（KDDI）
http://www.kddi.com/corporate/news_release/2006/0613/index.html

◆国民生活センター、個人情報に関する1年間の相談内容を発表（2006/06/13）

　国民生活センターは７日、「個人情報保護法施行後１年間の相談概要について」を発表した。昨年４月に個人情報保護法が全面施行されてから1年の間、同センターの相談窓口に寄せられた個人情報に関する相談事例や動向をまとめたもの。

　発表によると、2005年度の相談総件数は1万4,154件。苦情分類別では「不正な手段によって個人情報を取得しているのではないか」という相談が50％（6,433件）ともっとも多い。次いで「個人情報が外部に漏えいしている」という相談（3,293件）、個人情報を本人の同意を取らないで第三者に提供するなど「同意のない提供」に関する相談（1,928件）が多く寄せられている。

　「個人情報の漏えいを公表しない書籍販売サイト」や「カルテの紛失を公表しない病院」など漏えい事故後の対応に問題がある例、「マンションの賃貸借契約後に、大家から運転免許証と健康保険証のコピーを求められた」「利用したことのないヤミ金融からダイレクトメールが頻繁に届く」など、個人情報の利用目的や利用範囲に問題がある例などを具体的に紹介。現実に寄せられた相談事例から、個人情報保護法のより適切な運用のために問題点を指摘する内容となっている。

（2006/06/13 ネットセキュリティニュース）

■個人情報保護法施行後１年間の相談概要について[PDF]（国民生活センター）
http://www.kokusen.go.jp/pdf/n-20060607_1.pdf

◆ゲームポットHDD紛失、ユーザー補償と再発防止策などを発表（2006/06/13）

　オンラインゲーム運営会社のゲームポット（本社：東京都港区）は９日、ユーザーの個人情報が含まれた可能性のあるハードディスクが紛失した件について、ユーザー補償や再発防止策、社内処分について発表した。

　同社のこれまでの発表によると、今回の紛失によりのべ6万4,000名分の個人情報が流出した可能性があるが、これらの顧客に対し同社は、同社で利用できるゲーム内ポイント(ネットキャッシュ)500円相当分を送付する。

　また同社は、再発防止のため、サーバー管理委託先のアエリア（本社：東京都港区）に厳重注意および指導を行い、サーバーの管理業務を同社従業員が直接行う体制へ移行した。さらに、第三者による定期的なシステム監査を実施し、サーバー運用および監視担当者の増員および組織化を行うという。

　社内処分としては、安田代表取締役会長と植田代表取締役社長の月額報酬を２か月減額。関係する役職員への減給・訓告なども行われる。同社によると、ハードディスクが紛失した原因はまだ特定されておらず、盗難の可能性も視野に入れて調査が続けられている。

（2006/06/13 ネットセキュリティニュース）

■一部個人情報の紛失に関するお詫び、再発防止策実施および社内処分について[PDF]（ゲームポット）
http://www.gamepot.co.jp/pdf/ir_release/060609_privacy%203.pdf
■一部個人情報の紛失に関するご報告とお詫びについて[PDF]（ゲームポット）
http://www.gamepot.co.jp/pdf/ir_release/060602_privacy%202.pdf
■ハードディスク紛失の調査状況、再発防止策の実施状況及び社内処分について[PDF]（アエリア）
http://www.aeria.jp/aeria/ir/pdf/H180609tyousa.pdf

■参照記事（ネットセキュリティニュース）
・オンラインゲームサーバーのHDD 30台紛失、ユーザー情報6万4千名分流出か（2006/05/29）

◆[Share]情報流出：JAつるぎ郷、1,823件の顧客情報流出 ８割は貯金残高も（2006/06/12）

　鶴来郷農業協同組合（JAつるぎ郷、石川県白山市）は８日、同JAに貯金口座を持つ個人や法人の情報1,823件が、ファイル共有ソフトShare（シェア、シャレ）を通じて流出したと発表した。

　同JAによると、流出したのは顧客の住所、氏名、電話番号、生年月日、顧客番号で、約８割には昨年８月時点での貯金残高も含まれている。同JAに勤務する40代の男性職員が該当データをUSBメモリに入れて持ち出し、職員の自宅のパソコンからデータが流出した。同JAでは、個人情報の持ち帰りを禁じている。

　流出は、県を通じて農水省から指摘があったため発覚した。同JAでは、幹部職員が該当顧客を訪問し、謝罪するとしている。

（2006/06/12 ネットセキュリティニュース）

■ JAグループ石川
http://www.is-ja.jp/

◆Windows 98/98SE/Me、Windowsエクスプローラーの深刻な脆弱性は修正せず（2006/06/12）

　マイクロソフトは９日、Windowsエクスプローラーの深刻な脆弱性によってリモートでコードが実行される恐れがある問題について、Windows 98/98SE/Me用の修正パッチを提供しないことを明らかにした。Windows 2000/XP/Server2003用修正パッチはすでに４月に公開済みである。

　修正パッチを提供しない理由についてマイクロソフトは、98/98SE/Meでこの脆弱性を修正するには、オペレーティングシステムを大掛かりに再設計する必要があり、それによってアプリケーションが実行できなくなる恐れがあるためだとしている。

　このためマイクロソフトは、98/98SE/Meのユーザーに対し、本脆弱性を回避するために、TCP Port139と445をファイアーウォールでブロックするよう推奨している。

　Windows 98/98SE/Meについては、サポートが今年７月11日に終了することが以前より告知されている。同日で有償サポートが終了するとともに、以後、セキュリティアップデートは一切行われない。マイクロソフトは、98/98SE/Meのユーザーに対し、「できる限り早期に、Windows XPのようなより安全で最新のオペレーティングシステムにアップグレードを」と呼びかけている。

（2006/06/12 ネットセキュリティニュース）

■Windowsエクスプローラの脆弱性により、リモートでコードが実行される(908531)(MS06-015)（マイクロソフト）
http://www.microsoft.com/japan/technet/security/Bulletin/MS06-015.mspx
■Windows98、Windows98SEおよびWindowsMeのサポートが2006年7月11日に終了します（マイクロソフト）
http://support.microsoft.com/gp/lifean18

◆サッカーＷ杯チケット詐欺＞実体のない旅行会社がネットで観戦ツアー募集（2006/06/09）

　サッカー・ワールドカップ(Ｗ杯)ドイツ大会のチケット付観戦ツアーをインターネット上で募集していた旅行会社「ＷＣ-tours事務局」（運営:武南興産）が実在しないことが、７日までに明らかになった。同社のホームページは８日午後８時の時点で削除されていた。

　東京都観光部振興課によると、同社に関する問い合わせが７日までに８件あり、うち３件はすでに代金を振り込んでいた。問い合わせを受けて同課が調べたところ、同社がホームページに記載していた都知事登録旅行業の登録番号は1990年に廃業した業者のものだった。また、日本旅行業協会の調べでは、東京・銀座と記されていた住所に同社は存在しなかった。

　同社はホームページに企画ツアーを掲載し、約35～76万円で募集。すでに１次募集と２次募集で合計240人分を売り切り、企画中のツアー22本のうち16本は「完売」したとしていた。残るツアーも期限までに振り込まないとキャンセル扱いにするとし、振込みを急がせていた。東京都は大型詐欺の疑いもあるとして注意を呼びかけるとともに、国土交通省と警視庁に通報した。

　なお、Ｗ杯チケットはネットオークションや旅行代理店などを通じて高額で流通しているが、転売チケットは原則として認められていない。日本サッカー協会は高額で転売チケットを入手しても観戦できない可能性があるとして、注意を呼びかけている。

（2006/06/09 ネットセキュリティニュース）

■<ご注意！> ワールドカップツアーズ（株式会社武南興産）について(日本旅行業協会)
http://www.jata-net.or.jp/jata_n/060607/060607_wc-tours.htm
■ワールドカップ観戦ツアーに関連した登録番号のお問い合わせについて（東京都産業労働局観光部）
http://www.kanko.metro.tokyo.jp/public/soccer.html
■2006FIFAワールドカップチケット　参加国協会枠チケットの名義変更について(日本サッカー協会)
http://www.ticket-jfa.com/wcd/guide/release.html

◆ゲーム会社15社、オンラインゲームを安全に楽しむ「ガイドライン」策定（2006/06/08）

　フィッシング行為で中3男子が書類送検されるなどオンラインゲームをめぐるトラブルや犯罪が多発するなか、オンラインゲームフォーラム（OGF）は５日、オンラインゲームを安全に楽しむためのガイドラインを策定したと発表した。OGFは経済産業省関東経済産業局が推進する「首都圏情報ベンチャーフォーラム」の分科会で、オンラインゲーム運営会社15社が参加する任意団体。

　ガイドラインは、プレイヤーに注意・理解してほしい事項と、オンラインゲーム運営会社として望ましい基本的な考え方についてまとめた。マナーや料金の支払い、リアルマネートレード（RMT※1）、不正ツールやチート行為（※2）、健康上の注意など７項目で構成。オンラインゲームが他のプレイヤーとのコミュニケーションであり、現実社会と同様にルールとマナーを守る必要があることや、ID・パスワードの管理には十分に配慮すること、未成年者は料金支払いについて保護者に相談することなどを明記している。
　また、RMTについては、大半の運営会社が禁止しており、現在行われているサービス仲介などは、運営会社に関係のない場で関係のない事業者が提供しており、詐欺などのトラブルが発生する危険が高いと注意を喚起している。

（※1)RMT：オンラインゲーム内で使用するアイテムなどを有償取引すること
（※2)チート行為：ゲームを自分自身に都合よく操作するために、データやプログラムに変更を加えること

（2006/06/08 ネットセキュリティニュース）

■オンラインゲームガイドライン[PDF](オンラインゲームフォーラム)
 http://www.onlinegameforum.org/guideline060605.pdf
■オンラインゲームフォーラム
 http://www.onlinegameforum.org/

■参照記事（ネットセキュリティニュース）
・ハンゲーム装いフィッシング、名古屋の中3男子生徒を書類送検（2006/06/01）

◆総務省、９日にセキュリティ対策勧奨メールを一斉配信（2006/06/07）

　総務省は、インターネットセキュリティ対策を集中啓発するメールを９日に一斉配信すると発表した。社団法人日本インターネットプロバイダー協会(JAIPA、東京都渋谷区)の協力により、JAIPA会員であるインターネットサービスプロバイダー(以下、ISP)から各社の加入者に配信される。

　メールには、各ISPのホームページで公開される啓発文と動画のページへのリンクが記載される。同ページでは竹中平蔵総務大臣が、情報セキュリティ対策の見直しと、情報セキュリティ対策の基本３原則である「ソフトウェアの更新」「ウイルス対策サービス・ソフトの導入」「パーソナルファイアウォールの利用」をふまえた確実な対策の実施を勧める。同内容の文章と動画は、報道発表により直接アクセスするネット利用者に向けて、総務省とJAIPAのホームページでも公開される。

　総務省では、ウイルスに感染してコンピューター内の情報が漏えいした場合、その被害は本人だけでなくほかの人々に及ぶ場合があるとして、利用者各自が情報セキュリティ対策の重要性を認識し、適切な対策を行うことが必要であると呼びかけている。

（2006/06/07 ネットセキュリティニュース）

■「情報セキュリティ対策の集中啓発」の実施概要の公表（総務省）
http://www.soumu.go.jp/s-news/2006/060602_2.html
■日本インターネットプロバイダー協会
http://www.jaipa.or.jp/
■国民のための情報セキュリティサイト
http://www.soumu.go.jp/joho_tsusin/security/index.htm
■総務省
http://www.soumu.go.jp/index.html

◆ケーブルテレビのJ:COM、委託先から最大約1万5,400名分の顧客情報が流出（2006/06/07）

　ケーブルテレビ局を統括運営するジュピターテレコム（ブランド名J:COM/東京都港区）のグループ企業で九州に本社を置く３社は５日、業務委託先のパソコンレスＱ(北九州市)から最大約1万5,400名分の顧客情報がファイル交換ソフトWinny（ウィニー）のネットワーク上に流出したと発表した。３社は福岡市のケーブルビジョン21と福岡ケーブルネットワーク、北九州市のジェイコム北九州で、ともにパソコンレスＱに顧客のパソコン設定などを委託していた。

　発表によると、パソコンレスＱの顧客情報が最大約２万名分、Winnyネットワーク上に流出していることが３日、外部の指摘により判明。この流出情報のなかに、３社の顧客情報が含まれていた。内訳は、ケーブルビジョン21の顧客約1,900名分、福岡ケーブルネットワークの顧客約3,800名分、ジェイコム北九州の顧客約9,700名分。情報内容は顧客の氏名、住所、電話番号で、一部に性別や年齢層など。クレジットカード番号や銀行口座などは含まれていない。現在までに、流出情報の不正使用などの事実は確認されていない。

　流出経路は調査中だが、流出情報が2001年9月から2005年1月にかけた情報に限られていることから、パソコンレスQ社は何者かによる意図的な流出も考えられるとし、警察に届けを出すことを検討している。３社は流出判明後、事情説明と謝罪のため、当該顧客に個別に連絡するとともに、問い合わせ対応窓口を設置した。

（2006/06/07 ネットセキュリティニュース）

■お客様情報の流出についてのお詫びとご報告（ケーブルビジョン21）
http://www.jcom.co.jp/jcom/cablevision/newsreleases_detail.php?la=ja&code=298
■お客様情報の流出についてのお詫びとご報告（福岡ケーブルネットワーク）
http://www.jcom.co.jp/jcom/fukuoka/newsreleases_detail.php?la=ja&code=298
■お客様情報の流出についてのお詫びとご報告（ジェイコム北九州）
http://www.jcom.co.jp/jcom/kitakyushu/newsreleases_detail.php?la=ja&code=298
■お詫び（パソコンレスＱ）
http://www.mediakk.ne.jp/

◆損保ジャパン、12損保会社の顧客情報1万1,950名分を含むUSBメモリー紛失（2006/06/06）

　損害保険ジャパン(本社：東京都新宿区)は２日、1万1,950名分の顧客情報を含むUSBメモリーを社内移送中に紛失したと発表した。損保代理店である大分中央保険(大分県大分市)と取引のある損保12社の顧客情報で、損保ジャパンの顧客4,382名分を含む。情報内容は、契約者氏名、住所、電話番号、証券番号などで、口座情報、クレジットカード番号は含まれていない。

　4月25日、同代理店は、使用していた代理店システムに不具合が生じ、システムメンテナンス委託先である損保ジャパン・システムソリューション(SJS、東京都立川市)に相談。SJSは原因調査のため、データの送付を同代理店に依頼した。同代理店はデータを入れたUSBメモリーを同社大分総合支社に預け、同支社は4月27日に社内便でSJSに発送。5月17日、届かないことを不審に思ったSJSの連絡により紛失が発覚した。

　同社はただちに、社内誤送の可能性などを想定してあらゆる範囲を捜索したが、現時点までに発見に至っていない。同社の社内移送では専用便で送付するなど他の貨物と紛れないよう対策をとっているため、データが社外に流出した可能性は低いという。これまでのところ、流出情報の不正使用は確認されていない。

　同社では、当該顧客に対し謝罪文を送付して事情を説明するとともに、万が一、情報が漏えいして被害が発生した場合の連絡先を案内している。

（2006/06/06 ネットセキュリティニュース）

■お客様の情報の紛失について(損保ジャパン)
http://www.sompo-japan.co.jp/news/20060602-01/200606021132.html

◆インターネット協会、違法・有害情報の通報窓口「ホットライン」運用開始（2006/06/06）

　財産法人インターネット協会(IAjapan、東京都港区)は１日、児童ポルノや爆弾の作り方などといったインターネット上の違法・有害情報に関する通報を受け付ける「インターネット・ホットラインセンター」の運用を開始した。通報の窓口となるウェブサイトには、パソコンのほか携帯電話でもアクセスできる。また、匿名でも通報できる。

　同センターでは通報された情報を分析担当者が調査し、複数の弁護士で構成する法律アドバイザーが一定の基準に基づいて違法情報と有害情報に分類する。分類された内容により処理が異なり、警察への情報提供、プロバイダーや電子掲示板の管理者に対する対応依頼、関係機関などへの情報提供、国際連携による違法上の処理のいずれかを行う。

　通報者は、通報時にウェブページに表示される参照番号を入力すれば、通報された情報に関わる対応状況を確認できる。

　違法・有害情報に関してはこれまでも警察のサイバーパトロールなどで対応してきたが、インターネットの情報量が膨大であるため、警察庁の平成17年度総合セキュリティ対策会議でホットラインの導入が提言され、同協会で準備を進めていた。

（2006/06/06 ネットセキュリティニュース）

■「インターネット・ホットラインセンター」の運用開始（IAjapan）
http://www.iajapan.org/press/20060531press.html
■「インターネット・ホットラインセンター」
http://www.internethotline.jp

■参照記事（ネットセキュリティニュース）
・警察庁、ネットの違法・有害情報の通報窓口「ホットラインセンター」設立へ(2006/04/03)

◆有名組織を装ったウイルスメールに注意：IPAが警告（2006/06/05）

　情報処理推進機構（IPA）は２日、2006年５月の「コンピュータウイルス・不正アクセスの届出状況」を発表した。報告の中で、５月に防衛庁や日本経済新聞社などになりすましたウイルスメールが相次いで出現したことを受けて、差出人名を有名組織に偽装したメールについて警告している。

　メールの差出人名は簡単に詐称できるので、差出人名が信頼できる組織であっても、メールの添付ファイルを安易に開いてはいけない。また、今回の事件のように、送りつけられたウイルスが新種の場合、対策ソフトを最新状態にしていてもウイルスが検出されないことがある。対策として、メールの添付欄に表示されるファイル名を確認することを勧めている。ファイルの拡張子が「.exe」「.pif」「.scr」「.bat」「.com」である場合、ウイルスファイルの可能性がある。
　ファイルのアイコンが偽装されているケースもある。見破るには、ファイルを開かずにパソコンのフォルダに保存し、プロパティで「ファイルの種類」を確認する。たとえばファイルのアイコンが「文書ファイル」なのに、プロパティで「アプリケーション」と表示された場合、偽装とわかる。

　このほか、ワンクリック不正請求に関する相談が、統計を取り始めた昨年からの最高件数210件を記録した。寄せられる相談事例の中には、セキュリティ警告を無視して自分でスパイウェアを取り込んでしまう例が多いという。そのほかにも「セキュリティ警告は無視しても大丈夫」と偽って警告を無視する手順を表示し、ユーザーにスパイウェアを実行させる悪質なサイトが出現しており、IPAは警戒を呼びかけている。

（2006/06/05 ネットセキュリティニュース）

■コンピュータウイルス・不正アクセスの届出状況[5月分]について（IPA）
http://www.ipa.go.jp/security/txt/2006/06outline.html

■参照記事（ネットセキュリティニュース）
・日経新聞かたるウイルスメール出回る～ ウイルスのワクチンソフト公開（2006/05/26）
・航空自衛隊や防衛庁を装う「なりすましメール」に注意（2006/05/19）

◆[Share]情報流出：秋田県立高から卒業生情報、NEC子会社から顧客情報など（2006/06/05）

　ファイル共有ソフトのShare（シェア）を通じて、秋田県立横手高校の卒業生約380名分の個人情報が、NECの子会社から顧客企業社員などの個人情報約5,000名分が流出した。

■秋田県立横手高校、卒業生の個人情報約380名分が流出
　秋田県教育委員会は２日、同県立高校の男性教諭の自宅パソコンから、教諭の前任校であった同県立横手高校の卒業生など380名分の個人情報が流出したと発表した。流出情報は同校を2003年３月に卒業した生徒約310名分の氏名や受験大学、就職企業名などの進路情報と、1975年前後に同校の地理研究部に所属していた同窓生約70名の氏名や住所、電話番号など。教諭は同校の卒業生で、同研究部に所属していた。
　同教諭は学校に無断で当該データを持ち出し、2004年から自宅のパソコンに保存していた。今年４月中旬に同パソコンがShareのウイルスに感染し、流出したと見られる。文部科学省から指摘があり、発覚した。県教委は今年３月に学校および自宅のパソコンへのファイル共有ソフトのインストール禁止、個人情報の校外持ち出し禁止を通知していた。県教委は当該卒業生と保護者に文書で謝罪、教師に対し自宅パソコンの再点検を指示するなど再発防止を徹底するとしている。
・秋田県教育委員会
http://www.pref.akita.lg.jp/icity/browser?ActionCode=genlist&GenreID=1138697733525

■NEC子会社、顧客や社員の個人情報約5,000名分が流出
　NECの情報処理サービス子会社、KIS(本社：熊本県熊本市)は５月30日、取引先である13団体・企業の従業員など4,790名分と、同社社員283名分の個人情報が流出したと発表した。情報内容は氏名と所属、ユーザーIDなど。個人情報のほか、IPアドレスなどネットワーク情報942件も流出している。
　同社の社員が５月19日に当該ファイルを外付けハードディスクに入れて無断で持ち帰り私有パソコンに接続した際、同パソコンがShareウイルスに感染して流出した。同社では当該顧客に対して個別に連絡し、謝罪と説明を行うとしている。
　同社は顧客企業名を明らかにしていないが、熊本県立大学が学生や教職員3,428名分の個人情報が流出情報に含まれていると発表。同大学は、委託契約では情報の持ち出しが禁じられていることから、損害賠償請求も検討するとしている。
・お客様情報流出のお詫び[PDF]（KIS）
http://www.kis.co.jp/topics/image/Ryuusyutu.pdf

（2006/06/05 ネットセキュリティニュース）