事例・2023年
エムケイシステム「社労夢」ランサムウェア被害
エムケイシステム「社労夢」ランサムウェア被害（英語名 MK System "Syaroumu" ransomware attack）は、情報サービス（社会保険労務士向けクラウドシステムの提供）で起きた事例です。侵入口、決定的な失敗、被害の順に、公表資料の記載だけで図にしました。
- 認証
- 更新
- 検知
要点
- 侵入口 エムケイ社の報告によれば、同社のサーバが不正アクセスを受けた。
- 決定的な失敗 個人情報保護委員会は、エムケイ社について「ソフトウエアのセキュリティ更新が適切に行われておらず、深刻な脆弱性が残存されていただけでなく、ログの保管、管理及び監視が適切に実施されておらず、不正アクセスを迅速に検知するには至らなかった」として、技術的安全管理措置（個人情報保護法第23条）の不備を認定した
- 被害 個人情報保護委員会が2023年6月6日から2024年3月8日までに受領した漏えい等報告件数は3,067件（本人数計7,496,080人）。
攻撃の道筋
入口から、決定的な失敗を経て、被害に至るまで。図の番号は下の説明と対応します。図の文言は事例の記録からの引用です。
- 1侵入口管理者権限のパスワード
個人情報保護委員会の指導文書によれば、ユーザーのパスワードルールおよび管理者権限のパスワードが脆弱で類推可能だったため、アクセス者の識別と認証に問題があった。
- 2決定的な失敗ソフトウエアのセキュリティ更新
個人情報保護委員会は、エムケイ社について「ソフトウエアのセキュリティ更新が適切に行われておらず、深刻な脆弱性が残存されていただけでなく、ログの保管、管理及び監視が適切に実施されておらず、不正アクセスを迅速に検知するには至らなかった」として、技術的安全管理措置（個人情報保護法第23条）の不備を認定した。
- 3決定的な失敗ログの保管、管理及び監視
個人情報保護委員会は、エムケイ社について「ソフトウエアのセキュリティ更新が適切に行われておらず、深刻な脆弱性が残存されていただけでなく、ログの保管、管理及び監視が適切に実施されておらず、不正アクセスを迅速に検知するには至らなかった」として、技術的安全管理措置（個人情報保護法第23条）の不備を認定した。
- 4被害漏えい等報告件数
個人情報保護委員会が2023年6月6日から2024年3月8日までに受領した漏えい等報告件数は3,067件（本人数計7,496,080人）。
- 1侵入口管理者権限のパスワード
個人情報保護委員会の指導文書によれば、ユーザーのパスワードルールおよび管理者権限のパスワードが脆弱で類推可能だったため、アクセス者の識別と認証に問題があった。
- 2決定的な失敗ソフトウエアのセキュリティ更新
個人情報保護委員会は、エムケイ社について「ソフトウエアのセキュリティ更新が適切に行われておらず、深刻な脆弱性が残存されていただけでなく、ログの保管、管理及び監視が適切に実施されておらず、不正アクセスを迅速に検知するには至らなかった」として、技術的安全管理措置（個人情報保護法第23条）の不備を認定した。
- 3決定的な失敗ログの保管、管理及び監視
個人情報保護委員会は、エムケイ社について「ソフトウエアのセキュリティ更新が適切に行われておらず、深刻な脆弱性が残存されていただけでなく、ログの保管、管理及び監視が適切に実施されておらず、不正アクセスを迅速に検知するには至らなかった」として、技術的安全管理措置（個人情報保護法第23条）の不備を認定した。
- 4被害漏えい等報告件数
個人情報保護委員会が2023年6月6日から2024年3月8日までに受領した漏えい等報告件数は3,067件（本人数計7,496,080人）。
被害
個人情報保護委員会が2023年6月6日から2024年3月8日までに受領した漏えい等報告件数は3,067件（本人数計7,496,080人）。内訳は社労士事務所等2,459件（6,724,609人）、顧問先事業者404件（392,125人）、企業等204件（379,346人）。本件システムが管理する本人数は最大約2,242万人（2023年6月5日時点、エムケイ社報告）。エムケイ社によれば、情報窃取及びデータの外部転送等に関する痕跡は確認されていない
決定的な失敗
- 1個人情報保護委員会は、エムケイ社について「ソフトウエアのセキュリティ更新が適切に行われておらず、深刻な脆弱性が残存されていただけでなく、ログの保管、管理及び監視が適切に実施されておらず、不正アクセスを迅速に検知するには至らなかった」として、技術的安全管理措置（個人情報保護法第23条）の不備を認定した。
経過
2023年6月4日から327日間の記録。軸は日数の平方根で縮めています。
- 2023.06.040日目
ランサムウェアによる不正アクセス被害を受け、「社労夢シリーズ」のサービスを停止
- 2023.06.3026日目
新たなクラウド基盤での環境を構築し、順次サービスを再開
- 2023.07.3157日目
当社サーバーへの不正アクセスに関する調査結果を公表。情報窃取及び外部転送の痕跡は確認されなかったとした
- 2024.03.25295日目
個人情報保護委員会が個人情報保護法第147条に基づく指導、および同法第146条第1項に基づく報告徴収をエムケイ社に実施。クラウドサービス提供事業者が個人情報取扱事業者に該当する場合の留意点について注意喚起も公表
- 2024.03.26296日目
エムケイ社が個人情報保護委員会からの指導等について公表し、再発防止策の徹底を表明
- 2024.04.26327日目
再発防止策の実施状況について、個人情報保護委員会への報告期限
防げた手立て
番号は攻撃の道筋の図と対応します。
-
利用者・管理者双方のパスワードを推測困難なものにする運用の徹底
効く場所 1 -
ソフトウェアのセキュリティ更新の適時適用による既知脆弱性の解消
効く場所 2 -
ログの保管・管理・監視体制の強化による不正アクセスの迅速な検知
効く場所 3
関係するページ
手口、グループ、事例のつながりは、収録データの記録だけから引いています。
関係する手口
関係するグループ
収録データにはまだ出ていない
出典
- 当社サーバーへの不正アクセスに関する調査結果のご報告 株式会社エムケイシステム・2023-07-31
- ランサムウェア感染被害のお詫びと今後につきまして 株式会社エムケイシステム（代表取締役 三宅登、取引先宛て通知の転載）・2023-08-16
- 株式会社エムケイシステムに対する個人情報の保護に関する法律に基づく行政上の対応について 個人情報保護委員会・2024-03-25
- 当社に対する個人情報保護委員会からの指導等について 株式会社エムケイシステム・2024-03-26
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）