帳票の作成・発送を委託していたイセトーがランサムウェアに感染し、同行の顧客情報が盗まれました。イセトーは当初、同行の情報は漏れていないと説明していましたが、ダークウェブに載ったデータの中に含まれていたことが後で分かりました。第2報で、住所・氏名・取引情報・口座情報など254,659先の漏えいが確定したと公表しています。
この事故は、株式会社イセトーの事故で影響を受けたものです。共通の経緯は起点の事故のページにあります。
目次
事故の概要
- 組織
- 株式会社伊予銀行この組織の事故はほかに1件
- 漏えいした情報
- 取引日・取引金額・金利・口座情報、振込先など第三者の口座情報（口座名義カナを含む）、お客さま番号。項目は顧客により異なる。マイナンバー・メールアドレス・生年月日・電話番号は含まない
- 件数
- 254,659件2024年8月19日の第2報で254,659先
- 誰の情報か
- 利用者（会員・顧客）
- 対象となる方
- 伊予銀行のお客さまのうち、通知物等の作成・発送等業務の委託先から情報漏えいが確認された方
- 状態
- 確定
- 原因
- 委託先（委託先：株式会社イセトー）
- 業種
- 金融・保険
- ドメイン
- iyobank.co.jp
推奨される対応
株式会社伊予銀行からの案内があるときは、そちらを優先してください。そのうえで、この事故で漏えいした情報の種類から、ご自身でできる対応を悪用されやすい順に並べています。
- STEP 1
株式会社伊予銀行からの案内を確かめる
- 個別の連絡
漏えいが確認された方にお詫びとお知らせの文書を8月23日以降、順次発送する予定。個人を特定できない一部の方は公表をもって代える
問い合わせ窓口は、会社の発表でご確認ください。
株式会社伊予銀行の発表を開くリンク先：iyobank.co.jp
- STEP 2
ご自身でできる対応
- 1
口座が漏えいしたため
優先口座の入出金をご確認ください。不審な取引があれば、金融機関へご連絡ください。
- 2
住所が漏えいしたため
不審な電話や SMS、届いた覚えのない郵便物にご注意ください。
- STEP 3漏えいのお知らせが届いたら？メールや SMS が本物かの見分け方と、漏れた情報ごとの対応をまとめています。
お知らせが届いたら
経緯
- 検知5/27
- 初動対応—
- 公表7/3
- 調査結果8/19
- 再発防止策—
検知2024年5月27日
2024年5月27日、伊予銀行は、顧客向けの帳票の作成と発送を委託していたイセトー（京都市）から、同社がランサムウェアに感染したとの報告を受けました。
この時点では、伊予銀行の委託業務に関する情報の漏えいは起きていないとの説明でした。イセトーのネットワークと伊予銀行のネットワークはつながっていません。
出典業務委託先での不正アクセスによるお客さま情報の漏えいについてPDFwww.iyobank.co.jp
検知2024年6月25日
イセトーは2024年6月18日、同社が持っていた顧客情報などのデータがダークウェブに掲載されているのを確認し、同じ日のうちに削除されたことも確認していました。
6月25日、イセトーから伊予銀行に改めて報告があり、掲載されたデータに伊予銀行の顧客情報が含まれ、漏えいした事実が確認されたと伝えられました。5月27日の最初の報告では、漏えいは発生していないとの説明でした。
出典業務委託先での不正アクセスによるお客さま情報の漏えいについて（第２報）PDFwww.iyobank.co.jp
公表2024年7月3日
伊予銀行は、帳票の作成と発送を委託しているイセトーがランサムウェアに感染し、伊予銀行の顧客情報が漏えいしたと公表しました。5月27日の報告では漏えいはないとされていましたが、6月25日にイセトーから改めて漏えいが確認されたと説明を受けたものです。
漏えいはイセトー社内の受託業務の作業工程で起きたもので、漏えいした情報の特定に向け、同社が捜査機関や外部の専門家と調べています。悪用の報告はないものの、氏名、住所、電話番号、口座番号、取引金額などが漏れている可能性があるとしています。両社のネットワークはつながっておらず、銀行のネットワークへの影響はありません。
同行は、これらの情報を使った電話や郵便による勧誘や詐欺に注意し、不審に思えば窓口や警察に相談するよう呼びかけています。イセトーは安全を確認したうえで業務を再開しており、帳票の発送には影響がないとしています。
出典業務委託先での不正アクセスによるお客さま情報の漏えいについてPDFwww.iyobank.co.jp
調査結果2024年8月19日
伊予銀行は続報で、8月15日に漏えいした情報が確定し、対象は254,659先だったと公表しました。8月8日にイセトーから漏えいデータを受け取り、15日に詳しい報告を受けて新たな漏えいがないことを確かめ、行内での精査を終えています。
漏えいしたのは、住所、氏名、取引日、取引金額、金利、支店名や口座番号などの口座情報、取引の相手先の口座情報（銀行名・支店名・科目・口座番号・口座名義）、お客さま番号などで、人によって項目は異なります。7月の公表で可能性があるとしていた電話番号のほか、クレジットカード番号、暗証番号、マイナンバー、メールアドレス、生年月日は含まれていません。
原因について、イセトーは作業効率を上げるため、顧客情報を含む作業データを本来保管しないサーバーに置き、作業後も消していなかったと報告しています。同行は8月23日以降、対象者に順次おわびとお知らせの文書を送る予定で、個人を特定できない一部の人には今回の公表で代えるとしています。二次被害は確認されておらず、委託先の管理を強めるとしています。
出典業務委託先での不正アクセスによるお客さま情報の漏えいについて（第２報）PDFwww.iyobank.co.jp
起点の事故
この事故のもとになった、委託先・共通の仕組みの事故です。共通の経緯や原因は、こちらのページにあります。
出典
正しい情報については、リンク元の一次情報を必ず参照してください。
誤りや続報のご連絡
掲載内容の誤りや続報の情報は、お問い合わせフォームより受け付けております。内容によっては、回答までにお時間をいただく場合がございます。