県政一般・報道提供資料

鳥取県環境家計簿webサイトの登録情報漏えいについて(最終報)

2018年07月13日提供 資料提供


提供機関

提供課等:生活環境部環境立県推進課   担当/係名:次世代エネルギー推進室 
電話番号:0857-26-7205  FAX番号:0857-26-8194

内容

鳥取県環境家計簿webサイトの登録情報の漏えいについて、疑いが判明した時点から、当サイトを停止し、事実関係と発生原因に関する調査を進めてまいりました。
この調査結果や県の対応について、下記のとおりお知らせします。

1 調査結果

(1)調査結果の概要
・当サイトのアクセス解析を行った結果、当サイトが不正アクセスされ、当サイト利用者の登録情報が漏えいした事実を確認した。
・当サイト利用者の登録情報については、インターネット上への漏えいは調査時点では認められていない。

(2)新たに判明した事項
ア 不正アクセスの手口
・SQLインジェクションによるもの

  当サイト内の「お知らせ」画面において、URL欄に不正なリクエストが書き込まれ、
  「お知らせ」のページにリクエストされた情報を表示されことで、登録情報が漏えいした。

イ 漏えいの規模
・受託会社が保守管理していた6団体のサイトで7,977名(うち鳥取県のサイト利用者436名)の登録情報が漏えいした。

〔漏えいのあったサイト〕
  鳥取県、埼玉県、滋賀県、東京都小平市、京都府地球温暖化防止活動推進センター、
  公益財団法人地球環境戦略研究機関の環境家計簿等のサイト

ウ インターネット上への漏えい状況
・鳥取県のサイト利用者の登録情報については、インターネット上への漏えいは調査時点で認められていない。

  ・通報者(都内のITセキュリティ会社)が発見したリストとサイト利用者の登録情報を照合した
   が、鳥取県のサイト利用者の登録情報は含まれていなかった。
   (埼玉県、滋賀県、東京都小平市のサイト利用者5,064名の登録情報は含まれていた。)
  ・鳥取県のサイト利用者の登録情報は、他にインターネット上で確認されていない。

(3)発生原因
・当サイトのプログラム構築時において、URL欄に文字列を入力しても拒否する設定とすべきところ、受託会社のミスにより、文字列に反応しリクエストされた情報が表示される設定となっていたため、不正アクセスを受けた。

2 県の対応

(1)環境家計簿に係る対応
・現行の環境家計簿と同様の機能をもつファイルを県ホームページ「とりネット」上に公開し、個人情報を入力しなくてもダウンロードでき、各利用者がデータ管理する方式に改めた。
・利用者へメールをお送りし、改めての謝罪や不審メール等に対する注意喚起を行ったうえで、新たな方式による環境家計簿の活用を促した。

(2)全庁的な再発防止策
・県がインターネット公開するすべてのwebサイトについて、今回と同様な脆弱性を抱えていないか現在点検中。

参考

<参考1>事案の概要(6月26日付け資料提供の概要)
1 経緯
・6月25日(月)、都内のITセキュリティ会社から当サイト利用者の登録情報が漏えいしている可能性を指摘する通報があり、受託会社に調査を指示するとともに、当サイトを一時閉鎖した。
(通報者はインターネット上で当サイト利用者の登録情報と疑われるリストを発見し通報)
・6月26日(火)、受託会社からの報告で、平成30年3月に当サイトが不正アクセスを受けていたことが判明した。お詫びと注意喚起のため、登録者全員へのメール、県政記者室への資料提供、県ホームページへの掲載を行った。

2 不正アクセス・情報漏えいの状況
(1)日時
  平成30年3月19日15時9分から20日12時2分まで
(2)不正アクセスを受けたwebサーバー
  受託会社が民間データセンター内に設置したwebサーバー(県庁のネットワークではない)
(3)漏えいした登録情報
  当サイトの利用者436名の登録情報 
  ・氏名又はニックネーム
  ・メールアドレス
  ・ログインID(登録時にランダムに設定されるもの)
  ・パスワード(暗号化されているもの)
  ・市町村名、ガス・ガソリンの種類、太陽光発電の設置年
  ※月々の家計簿の記録(電気料金等)は漏えいの可能性なし。

<参考2>受託会社の概要
  社名  有限会社ひのでやエコライフ研究所
  所在地  京都市下京区葛籠屋(つづらや)町515-1
  事業内容 省エネルギー・省資源に関するコンサルティング、環境調査・解析の受託、
       情報処理システム開発、省エネルギー・省資源に関する機器の製造販売・リース
  電話  075-708-8152

<参考3>通報者の概要
  社名  株式会社ソリトンシステムズ
  所在地  東京都新宿区新宿 2-4-3
  事業内容 ITセキュリティ事業、映像コミュニケーション事業、エコ・デバイス事業


最後に本ページの担当課
   鳥取県令和新時代創造本部広報課
  住所  〒680-8570 鳥取県鳥取市東町1丁目220
  ※提供内容については、画面上部にある「提供機関」に直接お問い合わせください。