2023年10月30日
東京都港区新橋5-1-3新正堂第一ビル5階
株式会社仕事旅行社

不正アクセスに関するご報告（顛末書）
既報にて各対象者へのご通知及びホームページへの掲載をさせて頂きました通り、弊社サーバが不正アクセスを受け、個人情報を含む情報が不正に収奪及び利用されたこと、及びサービス運営に必要な情報全てが削除されるといった事案が生じております（以下「本件」といいます。）。

調査結果及び再発防止に向けた取り組みについての報告書を作成いたしましたので、ご報告申し上げます。
お客様をはじめ、関係者の方々に多大なご迷惑をお掛けしておりますことを、改めて深くお詫び申し上げます。
記
1. 対応の経緯
当社関係者より、当社に関わる不審なメールが2通届いているとの連絡を2023年9月4日 受け、弊社サーバへの不正アクセスの疑いが浮上。ホームページを閉鎖し被害状況の把握に着手
不正アクセスの原因が弊社サーバ内に設置していた外部メールソフトのセ
2023年9月5日 キュリティホールであることが判明。同時に弊社のサーバデータが不正に削除されているのを確認
2023年9月5日 個人情報および一部の企業情報の流出を確認
2023年9月5日

弁護士、所轄の警察署及び警視庁サイバー犯罪対策課 、個人情報保護委員会に報告

2023年9月5日 「【重要】弊社に関する虚偽情報にご注意ください」公表
2023年9月6日 「【重要】弊社サーバへの不正アクセスのご報告と今後の対応」公表
2023年9月6日 弊社ホームページのトップページのみを限定して復旧
2023年9月8日

2023年9月8日

弊社関係者に対して、犯人と思われる人物より3通目のメール配信
情報の流出および流出可能性について調査を継続「【重要】不正アクセスに関するご報告（続報）」公表
愛宕警察署及び警視庁サイバー犯罪対策課へ情報を共有

2023年9月11日 セキュリティ専門企業へ原因究明調査を打診
2023年9月11日 問い合わせフォームを復旧。一般からの問い合わせ受付開始
2023年9月13日

セキュリティ会社にホームページセキュリティの脆弱性チェックの検討開始

2023年9月15日 弊社関係者に対して、犯人と思われる人物より4通目のメール配信
2023年9月15日 愛宕警察署及び警視庁サイバー犯罪対策課へ情報を共有
2023年9月15日 「【重要】不審メールに関するご連絡」公表

2023年9月15日 「【重要】不正アクセスに関するご報告（続報）」公表
不正アクセスを⾏ったと思われる者により、会員様の名称を不正に名乗り、他の会員様のメールアドレスやオンラインの掲⽰板などに「爆破予告」
2023年9月19日「殺害予告」といった犯罪⾏為を⽰唆し、かつ閲覧者の不安を煽る内容の⽂⾔が送信されているのを確認
2023年9月19日 「【重要】不正アクセス者による情報の不正利用について」公表
2023年9月19日 愛宕警察署及び警視庁サイバー犯罪対策課へ情報を共有
2023年9月19日 セキュリティ会社に弊社サーバの脆弱性チェックを依頼（現在進行中）
他の会員様のメールアドレスやオンラインの掲⽰板などに「爆破予告」「殺2023年9月20日 害予告」といった犯罪⾏為を⽰唆し、かつ閲覧者の不安を煽る内容の⽂⾔が送信されるなど二次被害を確認
2023年9月20日 「【重要】不正アクセス者による情報の不正利用について」公表
2023年9月4日〜 弊社関係者に対して、犯人と思われる人物より多数のメール配信
2023年10月2日 「【重要】10月1日・2日の不審メールに関するご連絡」通知
2023年10月12日

外部セキュリティ会社への不正アクセス診断（プラットフォーム診断、アプリケーション脆弱性診断）を依頼

2023年10月16日 プラットフォーム診断の開始
2023年10月18日 1回目のアプリケーション脆弱性診断の開始
2023年10月23日 2回目のアプリケーション脆弱性診断の開始
2023年10月30日 外部セキュリティ会社より上記診断結果が完了した報告書を受領
2023年11月1日 個人情報保護委員会に対し、最終報告書を提出
2023年11月6日 弊社ホームページを復旧（予定）2. 被害の原因および影響範囲【情報流失の原因・影響について】
外部専門家及び当社システムエンジニアと共に、不正アクセスを受けた弊社サーバの通信ログを調査した結果、本件の概要は以下の通りであることが判明しました。
2023年9月4日（月）深夜、弊社サーバにアップされていた外部メルマガ管理システムがサイバー攻撃を受け、弊社サーバが不正なアクセスを受けました。当社では2021年頃から当該メルマガ管理システムの使用しておりませんでしたが、弊社サーバ上で保管していたため攻撃の対象となりました。なお、当該システムは現在弊社サーバ上から完全に削除されており、今後は別サーバで管理された他社のメルマガ配信システムを使用します。
上記不正アクセスおよび不当に取得した個人情報に対し、特定の弁護士名を名乗る犯人より多数送信されている一斉メールは、その送信範囲から、不正アクセス時に不当に取得された個人情報に対して送られたものであると判断しております。
また上記に加え、不正アクセスを行ったと思われる者により、無関係の個人の名称を不正に名乗り、他の個人のメールアドレスやオンラインの掲示板などに「爆破予告」「殺害予告」「個人情報の公表」といった犯罪⾏為を⽰唆し、かつ閲覧者の不安を煽る内容の文言の送信も確認されております。

【情報滅失の原因・影響について】
弊社サーバの通信ログを解析した結果、弊社が利用していた外部メルマガ管理システムを起点に、不正アクセスをした者によってサーバ内のデータ（SQLデータ）を全て削除されたと判断しております。また、弊社Webシステムからアップロードされた画像も削除されたと判断しております。
情報流出・滅失いずれのケースにつきましても、個人情報保護委員会に報告を実施した他、弊社の所轄の警察署及び警視庁のサイバー犯罪対策課と連携を進めており、警察からは、既に調査を開始しているとの連絡を受けています。
3. 漏えい等したデータの内容(1)流出の規模 「弊社サーバ」に保管されていた情報となります。 2011 年 2 ⽉から 2023 年 9月5日までに入力された情報となります。
(2)流出した主な情報 ·⽒名（ふりがな）【個人利用】
項目：氏名、生年月日、住所、電話番号、メールアドレス、生年月日、職 業／業種／職種【求⼈応募をされた⽅のみ】
最終学歴、職務経歴【法人利用】
項目：氏名、年齢、住所（都道府県のみ）、電話番号、メールアドレス、職業／業種／ 職種(3)漏洩した件数 33,670 件（2023 年 10 月 30 日現在）
※9 月 5 日時点で退会済みの顧客データも含まれます。
既報の通り、当社のサービス販売などの決済は全て外部委託先のシステムを利用しておりますため、当社では決済情報は一切保有しておりません。そのため、クレジットカード情報等の流出はございません。
また、当社サイトにログインする際に設定いただきましたパスワードに関しましても、ハッシュ化（二重暗号化）を行なっておりますため、流出はございません。

情報の流出に関連する皆様に向け、新たにお問い合わせ窓口を設置しております。個別の確認などは下記の問い合わせフォームにご連絡ください。
仕事旅行社情報流出に関するお問合わせ窓口
URL：https://www.shigoto-ryokou.com/information/contact

4. 再発防止に向けたセキュリティ強化策
2023年10月30日現在で対策済みの事項および今後の対策予定に分けてそれぞれご説明いたします。
【対策済】(1) 被害拡⼤防⽌等のため実施した内容
1.

当社Web サーバの遮断

2.

対象者に緊急の注意喚起メールの送信

3.

サイトでの注意喚起の公表

4.

サーバに関連するパスワードの変更

5.

外部専門家との事実関係調査

6.

外部の専門家による脆弱性診断およびプラットフォーム診断の実施

7.

WAF（Web Application Firewall）の調査と導入（ドメイン設定と共に実施予定）(2) ⾏政等との連携及び報告のため実施した内容
1.

管轄の警察署および警視庁サイバー犯罪対策課への報告

2.

·個⼈情報保護委員会への報告

3.

外部のセキュリティ対策専門家への相談【定期対策】
1.

社内でのOWASPZIP（脆弱性診断ツール）での定期的な診断（機能追加更新毎に実施）

2.

各種ツールのバージョン管理の定期化（6ヶ月1回のメンテナンスを実施）

3.

外部セキュリティ会社へのアプリケーション診断（1年に1回実施）

4.

個人情報関連の取り扱い強化としてファイヤーウォールによるIP制限

5.

脆弱性情報の収集と対策を行うための体制を構築
1. 脆弱性情報を収集するためのツールを導入（年内に検討）
2. セキュリティ専門家との業務委託の実施（来季に向けて準備）【その他（捜査の状況及び今後のご報告方法について）】弊社において把握している、警察の捜査により判明していることをお伝えいたします。
今回の一連の犯行は弊社や弊社関係者に対する恨みを持つ者ではなく、特定の弁護士を貶めようとする愉快犯によるものと考えられております。
犯人がインターネット上で素性を隠すツールを用いているため、捜査は長期戦になると報告を受けております。大変心苦しいですが、不審なメール等は今後も送信される可能性がございます。
一方で、犯人が愉快犯であるという点より、静観を貫くことが一番の対策であると警察側から指示を受けております。
弊社としても、これまで犯人の動きがある都度、警察に情報共有を行うほか、弊社ホームページ上で公表を行なってきました。
一方で被害拡大防止の観点から、公表することが却って犯罪行為の長期化に繋がる可能性がございますため、今後についてはホームページの公表ではなく、メールにてご報告を行っていく予定です。

5. 復旧に関して外部のセキュリティ対策専門家への相談をもとに、セキュリティの安全性を確保したのち、2023年11月6日に再開します。

本件の状況、犯行状況につきましては、今後におきましても引き続きご案内申し上げます。
2023年10月30日現在でのご報告とご案内は以上のとおりでございます。
この度は、皆様には多大なるご迷惑とご心配をおかけしておりますこと、重ねてお詫び申し上げます。

以上