玄海町は、町が独自に構築したふるさと納税特設サイトが不正アクセスを受け、寄附者の情報にアクセスされたと公表しました。2025年2月の発表で、メールアドレス等の利用者情報413,867人分が漏えいしたと結論づけられたとしています。原因は、レシピ紹介ページのプログラムにSQLインジェクションを受け付ける脆弱な箇所があったことです。
目次
事故の概要
推奨される対応
玄海町からの案内があるときは、そちらを優先してください。そのうえで、この事故で漏えいした情報の種類から、ご自身でできる対応を悪用されやすい順に並べています。
- STEP 1
玄海町からの案内を確かめる
- STEP 2
ご自身でできる対応
- 1
メールアドレスが漏えいしたため
この会社を名乗るメールのリンクは開かず、公式サイトから内容をご確認ください。
- 2
電話番号が漏えいしたため
不審な電話や SMS、届いた覚えのない郵便物にご注意ください。
- STEP 3漏えいのお知らせが届いたら？メールや SMS が本物かの見分け方と、漏れた情報ごとの対応をまとめています。
お知らせが届いたら
経緯
- 検知8/20
- 初動対応8/20
- 公表8/27
- 調査結果2/12
- 再発防止策2/12
検知2024年8月20日
8月20日、特設サイトと関連するふるさと納税管理システムの操作に時間がかかる事象が起きていたため、状況の確認を始めました。調査の結果、外部から不正アクセスを受けていることが判明しました。
初動対応2024年8月20日
同じ8月20日に、不正アクセスをしているアドレスからのアクセスをブロックし、攻撃手段の特定と、脆弱性のあるプログラムの修正を行いました。外部からのアクセスを遮断し、特設サイトの公開を停止しました。このほかの不正アクセスの可能性がないことも確認したとしています。
公表2024年8月27日
特設サイトが脆弱性を起因とした不正な攻撃を受け、寄附者の情報に対して不正アクセスがあったと公表しました。8月20日中に、原因となった脆弱性の修正と攻撃者からのアクセスの遮断を完了したとしています。被害の拡大を防ぐためサイトの公開を停止し、佐賀県警や個人情報保護委員会などと相談しているとしています。
被害の全容と影響の範囲の把握には時間がかかる見込みで、詳しい状況が分かり次第、改めて報告するとしています。
調査結果2025年2月12日
町と外部専門機関による調査が完了し、メールアドレス等の利用者情報413,867人分が漏えいしたことが判明したと公表しました。漏えいした情報は、町職員等のアカウント情報46件、返礼品提供企業のアカウント情報1件、寄附者等のメールアドレス413,818件、寄附者の電話番号33件、会員のログインID29件、ログインパスワード（暗号化された文字列）2,664件です。
原因は、2024年5月16日にレシピ紹介ページを改修した際、ページを作成するプログラムにSQLインジェクションを受け付ける脆弱な箇所があったことで、脆弱性の有無の確認漏れによるものとしています。クレジットカード情報の漏えいの可能性はないとしています。
再発防止策2025年2月12日
再発防止として、特設サイトのセキュリティ強化対策を実施したとしています。今後は、よりセキュリティの高いクラウドセキュリティ製品を採用し、脅威の検出・調査、検知や分析、対処を行う監視体制を運用するとしています。特設サイトの運用は2025年1月27日に再開したとしています。
寄附者には、迷惑メールや不審なメールのURLをクリックしないこと、不審な電話があれば窓口か警察に連絡すること、他のサイトを含めてパスワードを変更することを案内しています。
出典
正しい情報については、リンク元の一次情報を必ず参照してください。
- 一次情報www.town.genkai.lg.jp/soshiki/19/80320.html（現在は削除）
公表時のページの保存Internet Archive（2024年8月28日保存）
- 一次情報www.town.genkai.lg.jp/soshiki/19/83169.html（現在は削除）
公表時のページの保存Internet Archive（2025年2月12日保存）
- 一次情報www.town.genkai.lg.jp/uploaded/attachment/6838.pdf（現在は削除）
公表時のページの保存Internet Archive（2025年2月15日保存）
- 報道www.security-next.com/161212
誤りや続報のご連絡
掲載内容の誤りや続報の情報は、お問い合わせフォームより受け付けております。内容によっては、回答までにお時間をいただく場合がございます。