別記様式第一（第八条第三項関係）
受付日

年月日

受付番号

報告書
個人情報の保護に関する法律第 26 条第１項の規定により、次のとおり報告します。
令和●年６月 17 日
個人情報保護委員会

殿

報告者の氏名又は名称●●●●合同会社
住所又は居所〇〇都△△区×－×－×〇〇ビル 1102
１．報告種別（該当する□に印を付けること。）
新規又は続報の別：□ 新規 ☑ 続報 前回報告：令和●年５月７日
速報又は確報の別：□ 速報 ☑ 確報
２．報告をする個人情報取扱事業者（以下「報告者」という。）の概要
報告者の氏名又は名称
法人番号（13 桁）
業種・業種番号
報告者の住所又は居所代表者の氏名（報告者が法人等の場合に限る。）（フリガナ）●●●●（ド●●●●合同会社
●

●

●

●

●

●

●

●●●●業

●

●

●

●

●

●

●

●

●

〇〇都△△区×－×－×〇〇ビル 1102（フリガナ）コジョウイ

サブロウ

代表取締役
個情委 三郎（フリガナ）●●●●（ド事務連絡者の氏名

●〇〇カ

ホゴホウ

●●●●合同会社
所属部署 ●●課 保護法 四郎
電話●●●●（ ●● ）E-mail●●●●＠●●.jp

シロウ

●●●●

３．報告事項（１）事態の概要（該当する□に印を付けること。）
発生日：令和●年５月２日
発覚日：令和●年５月２日
発生事案：☑ 漏えい□ 漏えいのおそれ □ 滅失
□ 滅失のおそれ □ 毀損
□ 毀損のおそれ発見者：☑ 自社/委託先□ 取引先 □ 顧客/会員□ カード会社/決済代行会社□ その他（）規則第７条各号該当性：□ 第１号（要配慮個人情報）□ 第２号（財産的被害）☑ 第３号（不正の目的）□ 第４号（千人超）□ 非該当（上記に該当しない場合の報告）
報告者に個人データの取扱いを委託した者（委託元）の有無：□ 有（名称：）
（住所：）
（電話：）
☑ 無
報告者から個人データの取扱いの委託を受けた者（委託先）の有無：☑ 有（名称：株式会社 Ａ）（住所：●●県●●市●●区×－×－×）（電話：●●●-●●●-●●●●）
□ 無
事実経過：
概要：
当社 HP の構築・保守運用を委託している株式会社 A（以下「A 社」と記す）より、当社 HP が不正アクセスを受けた旨の報告を受けたもの。
発覚の経緯・発覚後の事実経過（時系列）：
Ｒ●年５月２日 A 社より、当社のサイトの改ざんが行われた旨の連絡があった。
不正アクセスを疑い、すぐに HP をネットワーク環境から遮断しサイトを停止するとともに、A 社に調査を依頼した。
R●年５月５日 A 社から、以前から不正アクセスを受けており、当社 HP の●●予約システムを利用した顧客情報が流出したおそれがある旨の一報を受けた。

R●年６月 10 日 A 社の調査の結果、R●年４月 30 日に、●●予約システムにSQL インジェクション攻撃を受け、顧客情報が流出したことが判明した。
外部機関による調査の実施状況（規則第７条第３号に該当する場合のみ記載）：☑ 実施済（実施中）【依頼日：令和●年５月２日】□ 実施予定【依頼予定日： 年 月 日】
□ 検討中
□ 予定なし（詳細：）（２）漏えい等が発生し、又は発生したおそれがある個人データの項目（該当する□に印を付けること。）
媒体：□ 紙☑ 電子媒体□ その他（）種類：☑ 顧客情報□ 従業員情報□ その他（）項目：☑ 氏名□ 生年月日□ 性別☑ 住所☑ 電話番号☑ メールアドレス□ クレジットカード情報□ パスワード□ その他（）（３）漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数（ 425 ）人
うちクレジットカード情報含む（ 0 ）人
（４）発生原因（該当する□に印を付けること。）
主体：☑ 報告者□ 委託先□ 不明
原因：☑ 不正アクセス（攻撃箇所：（ ●●予約システム））（攻撃手法：（ ＳＱＬインジェクション攻撃））□ 誤交付□ 誤送付（メール含む。）
□ 誤廃棄
□ 紛失
□ 盗難
□ 従業員不正□ その他（）
詳細：●●予約システムに使用していたオープンソースの EC サイト構築用プログラム（※製品名等を補記ください）について、バージョンアップを行っておらず、システムに脆弱性が残っており不正アクセスを受けた。
ホームページ等の保守運用等を担当している A 社は、システムの脆弱性を認識していたが、弊社との契約においてセキュリティ保守業務が含まれていないため、継続的にセキュリティパッチを当てる等の対応をしていなかった。

（５）二次被害又はそのおそれの有無及びその内容（該当する□に印を付けること。）
有無：□ 有□ 無☑ 不明
詳細：
二次被害のおそれは否定できないが、これまでのところ不正使用等の被害が発生した事実は報告されていない。
（６）本人への対応の実施状況（該当する□に印を付けること。）
本人への対応（通知を含む。）：☑ 対応済（対応中）□ 対応予定□ 予定なし詳細（予定なしの場合は、理由を記載）：
漏えいの事実関係等について HP に掲載するとともに、情報漏えいの対象となった顧客には電話やメール等で連絡済。
その他に、顧客相談窓口を設置する。
（７）公表の実施状況（該当する□に印を付けること。）
事案の公表：☑ 実施済【公表日：令和●年５月７日】□ 実施予定【公表予定日： 年 月 日】
□ 検討中
□ 予定なし公表の方法：☑ ホームページに掲載□ 記者会見
□ 報道機関等への資料配布□ その他（）公表文：
お客様各位
弊社が運営するホームページに対する不正アクセスにより、弊社ホームページの改ざん及びお客様の個人情報の流出のおそれがあることを確認いたしましたので、お知らせいたします。
弊社は今回の事案を重く受け止め、お客様をはじめ多くのご関係先にご迷惑とご心配をおかけしておりますことを、深くお詫び申し上げます。
今後は社内の個人情報保護対策を強化し、再発防止策の徹底に努めてまいります。

【対象のお客様】
弊社 HP 内の●●予約システムを利用したことがあるお客様【流出した個人情報】
氏名、住所、電話番号、メールアドレス【流出した人数】
425 人 （内クレジットカード情報を含む方は 0 人）
この件で個人情報が流出した可能性のあるお客様へは、随時個別にメール又は電話にてご報告をいたしております。
現在までに、二次被害は確認されておりませんが、登録されたメールアドレスに不審なメールが届きましたら、開封せずに削除をするなどのご対応をお願い申し上げます。
その他、不明な点がございましたら末尾に記載のコールセンターにお問い合わせいただくようお願いいたします。
【弊社問い合わせ先】
・電話番号：0120－〇〇－〇〇〇〇 （フリーダイヤル）・受付時間：〇曜日～〇曜日 午前〇時～午後〇時（土日祝日も受付）（８）再発防止のための措置
実施済の措置：・情報漏えいが生じた●●予約システムの利用を停止した。
・ホームページの保守運用等を担当しているＡ社との契約内容を見直し、継続的にセキュリティパッチを当てるなどの保守業務が行われる環境を整備した。
今後実施予定の措置（長期的に講ずる措置を含む。
）及び完了予定時期：
・定期的にセキュリティ会社による脆弱性診断を実施する。
（９）その他参考となる事項：
・A 社に依頼したセキュリティ調査に係るフォレンジックレポートについては、別途メールにて送付予定。

記載要領
１．最上段の受付日及び受付番号の欄には記載しないこと。
２．続報として提出の際には、前回報告から記載を変更した箇所に下線を引くこと。
３．２．の「法人番号」とは行政手続における特定の個人を識別するための番号の利用等に関する法律（平成 25 年法律第 27 号）第２条第 15 項に規定する「法人番号」を指す。なお、法人番号を記載する欄に、同条第５項に規定する「個人番号」を記載しないこと。
４．２．の「業種」・「業種番号」（４桁）は、日本標準産業分類から記載すること。
５．２．の「事務連絡者の氏名」の「電話」には、代表電話番号ではなく、当該事務連絡者の直通電話番号を記載すること。
６．２．の「法人等」には、法人格を有しない団体等も含まれる。
７．３．（７）の「公表文」には、公表を予定している場合、公表予定の文案を記載又は添付すること。
８．用紙の大きさは、日本産業規格Ａ４とすること。