測量の委託先にランサムウェア、湯沢市と横手市で漏えいの恐れ

何が起きたのか

秋田県の湯沢市と横手市は、測量などを委託している柴田工事調査へのランサムウェア攻撃により、個人情報が漏えいした恐れがあると公表しました。湯沢市のページの更新日は11月4日、横手市は11月5日です。ランサムウェアはデータを暗号化して使えなくするウイルスです。

湯沢市のページによる経過は次のとおりです。

• 9月20日：同社が、第三者からランサムウェアによる攻撃を受けたと市に報告しました。このときは、個人情報や顧客データが外部へ流出したことは確認されていませんでした
• 11月4日：その後の同社の調査で、個人情報が漏えいした恐れがあると市に報告がありました

「流出は確認されていない」という9月の報告から、調査が進んで「漏えいの恐れがある」に変わった形です。横手市のページには、攻撃を受けた日や市への報告日は書かれていません。横手市は、同社にシステム障害の影響を聞き取る中で、漏えいの恐れがあるとの報告を受けました。件数は11月5日の同社の調査によるものです。

侵入の経路は公表されていません。

漏れた情報

湯沢市の分は延べ2,256件です。対象は令和3年度以降に委託した業務で、地籍調査業務や用地測量業務などです。項目は氏名、住所、電話番号です。

横手市の分は延べ約1,300人です。対象は令和3年度から令和8年度に発注した測量設計や地籍調査など12件の委託業務で、項目は土地所有者などの住所と氏名です。電話番号は項目に入っていません。

地籍調査は、土地の所有者や境界を調べて、地図と台帳を整える調査です。用地測量は、道路などの工事のために土地を取得するときの測量です。どちらの業務でも、土地の所有者の名前や住所を扱います。

市の対応

湯沢市は、詳細が分かり次第、必要な対応を取るとしています。横手市は、受注者から情報を集め続けていて、個人情報の不正利用は確認されていないとしています。対象の人への個別の案内の方法は、どちらのページにも書かれていません。

両市とも、次のことを呼びかけています。

• 不審なメール、SMS、電話、郵便物に注意する
• 身に覚えのないメールやSMSのURL、添付ファイルを開かない
• 不審なWebサイトに個人情報を入力しない

問い合わせは、湯沢市は財政課の検査班、横手市は財務部契約検査課の契約係で受けています。

中小企業が学べること

発注する側も受注する側も、終わった業務のデータをいつまで持つかを決めておく必要があります。この件では、令和3年度からの業務のデータが対象になっていて、5年以上前の仕事の名簿が今回の影響に入っています。契約書に、業務の完了後はデータを返すか消す、消したときは記録を渡す、と書いておくと、古いデータが残りません。

受注する側は、預かったデータを入れる場所を、日々の作業用のパソコンやサーバーから分けておくと、攻撃を受けたときに被害の範囲を絞れます。バックアップは書き換えられない場所にも置いておくと、暗号化されても元に戻せます。最初の1時間の動きはランサムウェアに遭ったら 最初の1時間にすることにまとめています。

発注する側は、受注者から第一報を受けた時点で、自分の組織のデータが入っているかを確かめる手順を決めておくと、今回のように、あとから漏えいの恐れが分かったときも、住民への説明に早く入れます。