パスワードを忘れた? アカウント作成
15776274 story
お金

千葉南房総市の情シスにランサムウェア攻撃、身代金払わねば成績表公開と脅迫 73

ストーリー by nagazou
こんなところにまで 部門より
千葉県南房総市にある公立小中学校の児童生徒の情報を保管しているサーバーがランサムウェアに感染したそうだ。市内12校に通う約2000人分の成績、住所、氏名、保護者連絡先、身長や体重といった保健データなどが暗号化されたそうだ(ITmedia共同通信)。

ITmediaの記事によれば、サーバー管理を担当した委託業者が攻撃を確認したのは7月17日だった。攻撃者は「Lockbit」と呼ばれるグループとされ、交渉に応じなければ暗号化した情報を一般公開するとしている。Lockbitは療機関などを対象にランサムウェア攻撃を仕掛けているグループだという。南房総市教育委員会は金銭を払わず、自力で作業をして9月にも復旧させる方針。
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • by Anonymous Coward on 2022年09月02日 18時00分 (#4317904)

    LockBitが公開している脅迫ブログ(http://lockbitapt6vx57t3eeqjofwgcglmutr3a35nygvokja5uuccip4ykyd[.]onion/)には載っていないようだ。
    まあ本当にLockBitの仕業かどうかは脅迫文に書かれたメールアドレスや仮想通貨ウォレットのアドレスから断定できるだろう。
    #4317749の言う通り、定型文による脅迫文が自動表示されただけで、データを盗取・精査して具体的に脅迫したわけではないのかもしれない。
    ただランサムウェアにやられたのは事実なので、同時にデータが流出していてもおかしくない。
    南房総市教育委員会の公式発表を捜してみたが、そもそも夏休み前の7月19日に公表されていた案件だった。

    市内小中学校の校務ネットワークに対する不正アクセスについて | 南房総市ホームページ

     該当のサーバーは、教職員の人事に関すること、教育活動の記録をはじめ、学校業務全般で使用しており、児童・生徒の個人情報(住所・氏名・保護者連絡先・成績・出席情報など)も含まれています。現時点において具体的な情報流出の事実は確認されておりませんが、引き続き調査を継続します。

    これがなぜか夏休み明けの今頃になって「成績表公開と脅迫」という見出しで共同通信から配信されて、成績表に注目したコメントを多く見かけたけど、普通に個人情報ガッツリ含まれてるので、過小評価されてると思う。

  • by Anonymous Coward on 2022年09月02日 14時38分 (#4317685)

    平文で公開してくれるならそこから復旧すればいいじゃん(白目)

    • by Anonymous Coward

      クラッカー集団「ダウンロードはこちらからどうぞ」

      千葉県南房総市小学校データ.xlsm
      千葉県南房総市中学校データ.zip                 .exe

  • 情シス (スコア:2, 興味深い)

    by Anonymous Coward on 2022年09月02日 13時38分 (#4317611)

    世間で情シスといえば情報システム部のことを指してて、情報システムそのものを指すことはあまりないと思うのだが。

    情シスがフィッシングにでも引っかかってやらかしたのかと思ったけどそんなことは書いてなかった。

    • by Anonymous Coward

      「情シスに〜という脅迫(があった)」っていう文章なのでは?

  • 解決にならんやろ (スコア:2, すばらしい洞察)

    by Anonymous Coward on 2022年09月02日 13時48分 (#4317628)

    犯人側は盗んだ個人情報を世間にさらすと脅してるのに、暗号化されたデータを自力で戻しただけでそれで良しとするつもりか。

    • by Anonymous Coward

      7月に説明済みだから、被害者との間の話はそこで終わってるんでしょ。

      7~8月は対策に追われていたから、復旧が9月になったってことかな。
      えらいのんびりした対応だけど、そこはお役所仕事ってことか……。

      • by Anonymous Coward

        説明したから解決したと?関係者の処分は?

        • by nekopon (1483) on 2022年09月02日 14時47分 (#4317699) 日記
          丁寧な説明をすれば何でも解決さ(マテ
          親コメント
        • by Anonymous Coward

          覆水盆に返らずだから、解決なんぞ有り得ないでしょ。
          不可能なことをやるように迫ったところで何の意味もない。
          しかも部外者が。

        • by Anonymous Coward

          実害の出るような事態になればその当事者が損賠求めるのは当然としても、
          懲罰感情に駆られたどっかの無関係な誰かニーズに応える必要はないし、
          んなもん根本的な解決でもなんでもねえよっていう。

    • by Anonymous Coward

      そこはもう被害者としてはあきらめるしかないだろ。
      警察に期待するしかない。

    • by Anonymous Coward

      バックアップが戻せなくて死亡するシステムがニュースになって笑いを誘う中、戻せるような運用してただけでも大したもんだ。

      • by Anonymous Coward

        正直、紙の成績表を見てデータを打ち込み直しているんじゃないかと、ちょっと思ってる……。

    • by Anonymous Coward

      × 犯人側は盗んだ個人情報を世間にさらすと脅してる
      ○ 犯人側は盗んだ情報を世間にさらすと脅してる

      脅迫文は事前入力であって、恐らくデータの中身は認識して無いと思いますよ。

      だからまぁなんだかんだで情報は出回らないと思う。
      欧米の感覚だと、このデータはペドに餌や情報与えるような物だから、下手したらペド一味認定されて、グループ名名乗れなくなるかもしれないから。
      冤罪だろうと、急に人権剥奪の上、私刑制裁有りになるから怖いよな。

    • by Anonymous Coward

      犯人側は盗んだ個人情報を世間にさらすと脅してるのに、暗号化されたデータを自力で戻しただけでそれで良しとするつもりか。

      既に抜かれているので身代金払ったからといって晒されない保証はない
      今後の商売のためにも晒されないとは思うが闇に流して追加収入にはするでしょう
      既に起きている漏洩を金を払えばなかったことになるってのは無理がありますね

      「情報流出は今のところ確認されていないという」

      あれ?

      • by Anonymous Coward

        > 既に起きている漏洩を金を払えばなかったことになるってのは無理がありますね

        そんな主張は誰もしていないが、お前は何を言ってるんだw

    • by Anonymous Coward

      だが身代金の支出が議会を通るとも思えないし、業者をしばきまわして裏で身代金払わせても公開を止めてくれる保証なんかないし、サシで話付けに行こうにも多分国外犯だし、公開の危機に対しては今から教委に取れる手なんてないよね。

  • by Anonymous Coward on 2022年09月02日 13時51分 (#4317632)

    成績表なんて公開されてもいいけど体重だけは公開しないでほしいという人が出そうな予感。

    • by Anonymous Coward

      座高と身長のセットの方が致命的
      体重は努力でダイエットできるかもしれんけど、
      足の長さ(の比率)は、どう足掻いても、一生、変えられないんだぜ…。
      指の長さと同じく、女子が獲物を探し始めたときからチェックしている、
      隠しパラメータなんだよ…。

      • by Anonymous Coward

        座高って健康診断で測らなくなって久しいと聞きましたが。

        • by Anonymous Coward

          必須項目からの削除がH26からで(廃止必須ではないので各校次第)、
          校務NWでの保存期間は、最低5年だから(実際に廃棄しているかも各校次第)、
          そろそろ消えている頃合いかもしれませんね。

    • by Anonymous Coward

      小学生でも高学年の女子ならそういう子はいっぱいいるだろ
      そしてこれを読んでJSの身長体重公開してくれと期待してる奴もきっと同じくらい

  • by Anonymous Coward on 2022年09月02日 13時53分 (#4317636)

    !?!?!?!?

    • by Anonymous Coward

      ランサムウェア被害と、データー流出は、別の犯罪。

    • by Anonymous Coward

      多分インターネットへの公表は確認できていないという意味なんだろうけど、
      Lockbitが本当にデータを入手したのかわからない(ローカルで暗号化しただけで、
      アップロードはしていないかも知れない)ことを考えると、確認されていない
      で間違いではないと思う。

      • Lockbitの過去の実績を鑑みるに、少なくとも成績表データは本当に流出していると考えるのが妥当。
        その前提に立つと、アップロードの痕跡を見つけられていないというのがお粗末だし、見つけられていないとしても「情報流出は今のところ確認されていませんが、一部はすでに流出したものと考えております」と答えるのが筋だと思うんだよな。
        言葉の上では間違ってないかもしれないけど、情報流出しておらず安心であるかのような誤解を与える言い回しは広報として間違っていると思う。

        親コメント
    • by Anonymous Coward

      まあどうしても「知らんけど」の世界ではあるけど

      セキュリティを懸命に考えなきゃならん我々技術者とかにとっては
      「全ては最悪な方向に向かっている、に決まってる」という覚悟で
      色々なものに向き合わなきゃならんわな。それが当たり前。
      だから「情報流出は確認できてない」とか言われても、そりゃ「!?!?!?」となるわな。

      一方、報道としては「未確定なものは、つまり確定していないという事です」という小泉構文で伝える必要がある。
      「本当のマジの本当にどうかは確認してないですが、犯人も〝成績公開するわ〟とか言ってる事だし
      どうせ全部データ盗まれたに決まってます。知らんけど」なんて報道しちゃいかんのじゃないか・・・と思う。

    • by Anonymous Coward

      ログがないんじゃないのかな。
      ログがなければ犯人がデータをキープしてるという証拠はないし(証拠があるのはデータが暗号化されてしまったというところまで)ぐぐってヒットしなければ、そういう結論になる。

  • by Anonymous Coward on 2022年09月02日 14時34分 (#4317684)

    公共機関に他人の情報を流出させるって脅迫は意味あんのかな?
    被害当事者じゃ無いし、サービス側の信用低下なんて、公共サービスには競合が居ないから意味が無いし。
    金銭的要求ってのは、それ以上の見返りが無いと成立しないんだけど、その辺まで考えて行動してるのかな。

    • by Anonymous Coward

      被害者のうち1%でも支払う間抜けがいればペイするって話でしょ
      spamと同じ構造

      • by Anonymous Coward

        > Lockbitは療機関などを対象にランサムウェア攻撃を仕掛けているグループ

        そうは言っても、わざわざ相手を選んでるんだよ?
        選ぶ以上何らかの意図があるわけで、経験上、公共機関が割と穴場だったって事なのかね。

        • by Anonymous Coward

          純粋に金銭のみの動機ではなく、例えば相手国に不安を撒き散らすために報道に載り易いターゲットを選んでいるといった推測も可能ですね。

    • by Anonymous Coward

      公共サービスは法的に提供が義務付けられているものが多いからでしょう
      加えて言えば、揺すれば身代金が無限に出てくるのでとりっぱぐれも少ない

  • by Anonymous Coward on 2022年09月02日 16時09分 (#4317778)

    サーバー管理を担当した委託業者も学校もいい加減な管理してるからこういう状況になる
    いくらニュースでやってもセキュリティーを確認しない
    日本人特有の「うちは大丈夫!」的ないい加減な人種

    >南房総市教育委員会は金銭を払わず、自力で作業をして9月にも復旧させる方針
    ワロタ
    技術的にもど素人の委託先にまた任せるのかな?
    どこまでアホな連中なのだろうか?

    この南房総市教育委員会とやらもハッキングされて全滅すれば良い教訓になると思う!

  • by Anonymous Coward on 2022年09月02日 16時20分 (#4317798)

    どんなことかと調べたら総州1ミリも入ってないやん

typodupeerror

「毎々お世話になっております。仕様書を頂きたく。」「拝承」 -- ある会社の日常

読み込み中...