シーバイエス株式会社

外部の専門企業による調査が終わったとして第3報を出しました。7月16日夜に攻撃者が社内ネットワークに不正に侵入してサーバーと業務用PCを暗号化し、保有する情報の一部が窃取された可能性を否定できないと分かったとしています。身代金の要求には応じておらず、9月9日時点でデータがインターネット上に公開された事実はないと確認したとしています。

不正アクセスの対象になった個人データは、法人経由の個人の客と派遣社員の氏名・住所・電話番号、そのほかの客や取引先の本人確認書類・口座情報・健診結果など、企業年金受給者の年金支給額など、採用候補者の顔写真・職務経歴など、従業員と元従業員の給与情報・口座情報・マイナンバーなどです。情報漏洩を直接裏付ける痕跡は現時点で確認されていないとしています。9月10日に本人へ通知を送り、連絡先が分からない人には公表で通知に代えるとしました。

原因は、ネットワークに入るための認証情報が不正に入手され、業務システムにアクセスされたことと考えられるとしています。二要素認証の対象拡大、機器の脆弱性管理の強化、EDRの導入などを進める予定です。