2021 年 7 月 9 日
各位
株式会社 PR TIMES
取締役 経営管理本部長 三島映拓

PR TIMES 発表前情報への不正アクセスに関するお詫びとご報告
平素より PR TIMES をご利用いただきまして、誠にありがとうございます。
この度、PR TIMES で会員企業様による適切なタイミングでの発表を目的に、あらかじめ下書き保存登録いただくプレスリリース情報のうち、画像ファイルとドキュメントファイル（PDF）について、外部の特定 IP アドレスから 2021 年 5 月 4 日～7 月 6 日の間に、発表前（当時）の段階で不正に取得されていたことが発覚いたしました。
弊社が確認している特定 IP アドレスによって画像データの不正取得のアクセスログが確認されたのは、会員企業様 13 社 14 アカウントのプレスリリース 230 件に紐づく画像の zip ファイル 230 点です。同様に、特定 IP アドレスによってドキュメントファイルの不正取得のアクセスログが確認されたのは、前述の 13 社に含まれる会員企業 4 社のプレスリリース 28 件に紐づくドキュメントの PDF ファイル 28 点です。
これらの不正取得につきまして、該当する会員企業様へ個別にお詫びと経過報告をご連絡させていただいております。
現在、前述の特定 IP アドレスによる不正取得以外にも不正取得が行われていたかの調査を進めており、画像ファイルとドキュメントファイルの取得アクセスログは特定できていますが、その中には正規の取得ログも多く存在するため、不正取得にあたるログが他にもあるか否かについて精査を続けております。
現時点までに判明した事実についてご報告するとともに、今後新たな事実が判明した場合には速やかにお知らせいたします。
今回の事故は、発表前情報の取り扱いにおける機能面でのセキュリティホールにより許してしまった不正取得です。本件の対応に関しては、原因箇所である画像一括ダウンロード機能とドキュメントファイル（PDF）ダウンロード機能について、セキュリティ強度を高めるシステム改修を実行済みです。詳細に関しては後述いたします。
また、特定 IP アドレスの不正行為についてプロバイダへ申告いたしました。もし今後の継続調査により新たに過去の不正取得が判明した場合には申告するとともに、不正行為については会員企業様と連携して断固たる措置をとる考えです。
会員企業様、会員メディア様、ユーザーの皆様ならびに関係各所の方々へ、多大なるご迷惑とご心配をお掛けし、誠に申し訳ございません。発表前の重要情報をお預かりするプラットフォーム運営企業として、発表前の段階で情報流出にあたる事故を起こしたことを厳粛に受け止めており、心よりお詫び申し上げます。セキュリティ強化により再発防止を図り、信頼回復に誠心誠意努めてまいります。
つきましては、後述の通り経緯と原因、対策についてご報告申し上げます。
1． 内容
弊社が運営するプレスリリース配信サービス「PR TIMES」において、会員企業様にあらかじめ下書き保存登録いただくプレスリリース情報のうち、画像ファイルとドキュメントファイル（PDF）について、外部の特定 IP アドレスから 2021 年 5 月 4 日～7 月 6 日の間に、会員企業様 13 社 14 アカウン
トのプレスリリース 230 件に紐づく画像の zip ファイル 230 点と、前述の 13 社に含まれる会員企業4 社のプレスリリース 28 件に紐づくドキュメントの PDF ファイル 28 点が、発表前に不正に取得されていたことが発覚いたしました。

2． 不正アクセスにより流出した情報
弊社調査により、以下の情報流出が確認されました。
・件数：
会員企業様 13 社 14 アカウントのプレスリリース 230 件に紐づく画像（JPG／PNG／GIF）を内包した zip ファイル 230 点、前述の 13 社に含まれる会員企業 4 社のプレスリリース 28 件に紐づくドキュメントの PDF ファイル
28 点（※）
・内容：
プレスリリースに紐づく発表前（当時）の情報※金融商品取引法上の重要事実に該当するものは現在まで確認されていません。引き続き調査と確認を進めて、今後新たな事実が判明した場合には速やかにお知らせいたします。
3． 経緯≫2021 年 7 月 5 日（月）11:00 頃 会員企業様から発表前情報が SNS 投稿されている事象報告を受け、流出元調査への協力依頼を頂く。弊社にて調査を開始。
≫2021 年 7 月 6 日（火）11:33
調査の過程で、画像一括ダウンロード機能において、プレスリリースの公開状態に関わらず（非公開、下書き含む）、URL ロジックを推測および解析することでダウンロードが可能な状態になっている仕様を確認
12:35
画像一括ダウンロード機能に紐づくプレスリリースの公開状態を確認し、公開状態でない場合は画像一括ダウンロード不可の仕様へ緊急改修
13:21
アクセスログの調査により、会員企業様にご報告いただいた当該プレスリリースにおいて、画像一括ダウンロードへのアクセスが行われ、画像ファイルを不正にダウンロードされていた履歴を 1 件確認。特定された IP アドレスの調査を引き続き実施
18:03
特定 IP によるアクセスログ履歴を抽出し、影響範囲を特定。事象報告を受けた企業様を含む同業種会員 13 社 14 アカウントへも同 IP アドレスからロジック解析によるアクセスが実施されていたことを確認。総計 230 件の画像一括ダウンロード機能へのアクセスログを確認。画像一括ダウンロードのアクセスログ履歴のあった会員企業様毎の調査を実施
19:59
画像一括ダウンロードのアクセスログ履歴のあった会員企業様毎にご連絡を開始≫2021 年 7 月 8 日（木）20:22
調査の過程で、ドキュメントファイル（PDF）ダウンロード機能において、プレスリリースの公開状態に関わらず（非公開、下書き含む）、URL ロジックを推測および解析することでダウンロードが可能な状態になっている仕様を確認≫2021 年 7 月 9 日（金）10:47
ドキュメントファイル(PDF)ダウンロード機能において発行される URL を予測困難なロジックへ変更する緊急改修を実施
4． 本件の対応原因である画像一括ダウンロード機能とドキュメントファイル（PDF）ダウンロード機能を、公開時のみダウンロードできるように変更したことで、下書きおよび非公開時にはアクセスができない状態へ変更いたしました。本対応は一時的な対応であり、今後はセキュリティ強化した上で利便性も高める機能へ刷新いたします。
また、特定 IP アドレスの不正行為についてプロバイダへ申告いたしました。
5． 原因・再発防止策
システム開発段階では想定しなかった画像一括ダウンロード機能とドキュメントファイル（PDF）ダウンロード機能の不正利用により、発表前情報の取得が行われたものであり、今後は、一連の開発体制において人員を増強し、仕様設計およびコードレビュー、QA 等を漏れなく実行し、セキュリティホールの存在を迅速に発見できる体制へと強化いたします。

また、開発管理のログ強化を行い、機能実装から時間経過している機能についても定期的に見直しをして、更なるセキュリティ強化を行う体制へ変更いたします。
会員企業様、会員メディア様、ユーザーの皆様ならびに関係各所の方々へ、多大なるご迷惑とご心配をお掛けし、誠に申し訳ございません。発表前の重要情報をお預かりするプラットフォーム運営企業として、発表前の段階で情報流出にあたる事故を起こしたことを厳粛に受け止めており、心よりお詫び申し上げます。セキュリティ強化により再発防止を図り、発表前情報の管理を改めて徹底すると共に信頼回復に誠心誠意努めてまいります。
今後もどうか「PR TIMES」を引き続きご愛顧いただけますよう何卒よろしくお願い申し上げます。
PR TIMES：https://prtimes.jp/
以上