東北工業大学、不正アクセスをうけ迷惑メールの踏み台に
| 会社名 | 東北工業大学 |
|---|---|
| 株式情報 | 非上場 |
| 漏洩種別 | 流出 |
| 漏洩対象 | メール |
| 漏洩場所 | 社外 |
| 漏洩内容 | 氏名/住所/メールアドレス/電話番号 |
| 漏洩件数 | 1,042件 |
| 漏洩日時 | 2021/2/24 |
| 発表日時 | 2021/6/30 |
東北工業大学にて不正アクセスをうけ迷惑メールの踏み台に。同大にて、客員研究員 1 名のメールアカウントが外部からの不正アクセスを受け、海外の不特定多数の宛先に迷惑メールが19,830 通送信され、また、当該アカウントのメールボックスに保存されていた送受信メールを閲覧された可能性があることが判明した。
同大で運用している情報システムにおいて、海外からの不審なアクセスを検知し調査を行った結果、本件が発覚。直ちに当該アカウントを停止し、迷惑メールは送信されていないことを確認したが、当該アカウントを停止するまでの間、当該メールアカウントにログイン可能な状態であり、メールボックスに保存されていた送受信メールが閲覧された可能性が否定できないことから、外部の専門家によるさらに詳しい調査を実施。調査の結果、同大のサーバーから当該アカウントの情報が漏洩した痕跡がないことが確認され、当該アカウントの所有者が外部のサービスにおいて、メールアドレスとパスワードの使いまわしをしていたことが判明したことから、不正アクセス者が何らかの手段で外部から得たアカウント情報を悪用し、当該アカウントになりすました可能性が高いことが考えられる。
また、同大では、クラウド認証サービスを導入し、情報システムにアクセスする際には、多要素認証が必要となるアクセス制御設定を行っていたが、特定の条件下でアクセスが行われた場合に、アクセス制御設定が機能せず、多要素認証を求めることなく認証されるという事象が確認されたため、アクセス制御設定が常に動作し、設定内容に従い必ず多要素認証を求めるように動作の変更を実施した。同大は、当該関係者にお詫びと説明を行うとともに、の教職員および学生に対し、不審メールに関する注意喚起および、ID・パスワードの使いまわし禁止について周知徹底し、個人情報管理及び情報セキュリティ対策についての指導、研修を強化することで、情報セキュリティ意識の向上に取り組むとしている。
