埼玉県「渋沢MIX」の管理システムに不正アクセス。約2,200名の一覧が閲覧され、登録情報の改ざんでメール送信

01発表されている事実

1. 10月6日 18時30分頃

   渋沢MIXの管理システムから、何者かの関与によりメールが送信される

2. 10月6日（当日中）

   管理システムをインターネットから遮断。新規の会員登録申請と施設利用予約を停止

3. 10月7日

   公表。不正アクセスを受けたシステムを最新のバージョンに更新

埼玉県によると、原因は管理システムの脆弱性を攻撃されたものと考えられますが、詳細は調査中です。現時点では、データの窃取や不正利用、二次被害は確認されていないとしています。県は、情報を閲覧された会員にメールやホームページで謝罪し、詳細な情報を閲覧された3名には個別に説明するとしています。個人情報保護法第68条第1項に基づき、個人情報保護委員会へ報告します。

02読者への影響

渋沢MIXの会員や、会員申請をした人が対象です。今回の特徴は、見られただけでなく、登録情報が書き換えられ、その結果として本物のシステムからメールが送られたことです。本物の送信元から届いたメールは、ふだんの見分け方（差出人のアドレスを確かめる）では偽物と気づけません。10月6日夕方に渋沢MIXから届いた見覚えのないメールは、リンクを開かずに扱ってください。

会員管理や施設予約のシステムは、自治体や商工団体、コワーキングスペース、習い事の教室など、規模の小さな運営者も多く使っています。同じような仕組みを外部のパッケージで動かしている運営者にとって、ひとごとではありません。

03今すぐやること

1. 渋沢MIXの会員や会員申請をした人は、県からのメールやホームページのお知らせを確かめる
2. 10月6日夕方以降に渋沢MIXの名前で届いた見覚えのないメールは、リンクや添付を開かずに削除する。気になるときは県の担当（048-830-3787）に確かめる
3. 会員管理や予約のシステムを運営している団体・会社は、使っているソフトの版が最新か、管理画面がインターネットに出たままになっていないかを確かめる
4. システムから勝手にメールが送られていないか、送信の記録を見られるようにしておく

04予約・会員管理のシステムを守るには

今回、県は応急の対策としてシステムを最新のバージョンに更新しました。古い版のまま動いているシステムは、公開されている弱点を突かれやすくなります。保守を外部に任せている場合も、更新を誰がいつ行うかを契約で決めておくことが大切です。外から攻撃を受けやすいWebのシステムには、不正な通信を止めるWAFや、弱点を探す脆弱性診断が役に立ちます。図鑑では、これらのサービスを比べられます。

05今後の発表

埼玉県は、侵入経路などの調査・分析を続け、再発防止に努めるとしています。新規の会員登録申請と施設利用予約は停止したままです。