事例・2024年
東京ガスエンジニアリングソリューションズ 不正アクセス
東京ガスエンジニアリングソリューションズ 不正アクセス（英語名 Tokyo Gas Engineering Solutions unauthorized access）は、エネルギー（都市ガス・電気等の業務受託）で起きた事例です。侵入口、決定的な失敗、被害の順に、公表資料の記載だけで図にしました。
- 委託
要点
- 侵入口 TGES自身は「TGESのネットワークへの不正アクセス」としか説明しておらず、具体的な侵入経路は公表していない。
- 決定的な失敗 具体的な失陥点（VPN装置の脆弱性の有無やパッチ適用状況、認証方式の不備等）はTGES・東京ガスのいずれからも公表されていない
- 被害 2024年7月17日の公表時点で、業務委託元から提供を受けた一般消費者の個人情報（氏名、住所、連絡先等。
攻撃の道筋
入口から、決定的な失敗を経て、被害に至るまで。図の番号は下の説明と対応します。図の文言は事例の記録からの引用です。
- 1侵入口従業員の情報
日経クロステックは、攻撃者がデータへのアクセス権限を持つ従業員の情報を窃取し、VPN装置を経由して社内サーバーに侵入したとみられると報じた。
- 2決定的な失敗VPN装置
具体的な失陥点（VPN装置の脆弱性の有無やパッチ適用状況、認証方式の不備等）はTGES・東京ガスのいずれからも公表されていない。
- 3被害一般消費者の個人情報
金融機関口座情報・クレジットカード情報は含まない）約416万人分、取引のある法人等所属者の個人情報（氏名・連絡先等、金融機関口座番号情報85件・マイナンバー情報5件を含む、件数調査中）、TGES従業員等の個人情報（氏名、住所、金融機関口座番号情報約1,000件、クレジットカード情報8件を含む）約3,000人分が流出した可能性があるとされた。
- 4被害業務委託元51事業者
日経クロステックによれば、416万件は業務委託元51事業者から預かった顧客情報だった。
- 1侵入口従業員の情報
日経クロステックは、攻撃者がデータへのアクセス権限を持つ従業員の情報を窃取し、VPN装置を経由して社内サーバーに侵入したとみられると報じた。
- 2決定的な失敗VPN装置
具体的な失陥点（VPN装置の脆弱性の有無やパッチ適用状況、認証方式の不備等）はTGES・東京ガスのいずれからも公表されていない。
- 3被害一般消費者の個人情報
金融機関口座情報・クレジットカード情報は含まない）約416万人分、取引のある法人等所属者の個人情報（氏名・連絡先等、金融機関口座番号情報85件・マイナンバー情報5件を含む、件数調査中）、TGES従業員等の個人情報（氏名、住所、金融機関口座番号情報約1,000件、クレジットカード情報8件を含む）約3,000人分が流出した可能性があるとされた。
- 4被害業務委託元51事業者
日経クロステックによれば、416万件は業務委託元51事業者から預かった顧客情報だった。
被害
2024年7月17日の公表時点で、業務委託元から提供を受けた一般消費者の個人情報（氏名、住所、連絡先等。金融機関口座情報・クレジットカード情報は含まない）約416万人分、取引のある法人等所属者の個人情報（氏名・連絡先等、金融機関口座番号情報85件・マイナンバー情報5件を含む、件数調査中）、TGES従業員等の個人情報（氏名、住所、金融機関口座番号情報約1,000件、クレジットカード情報8件を含む）約3,000人分が流出した可能性があるとされた。日経クロステックによれば、416万件は業務委託元51事業者から預かった顧客情報だった。2024年9月20日の続報では、警視庁・IPA・第三者専門機関の詳細調査の結果「個人情報が流出した痕跡は確認されませんでした」としつつ、流出の可能性を完全に否定できないとして対象者への個別通知を行うとした
決定的な失敗
- 1具体的な失陥点（VPN装置の脆弱性の有無やパッチ適用状況、認証方式の不備等）はTGES・東京ガスのいずれからも公表されていない。
経過
2024年7月9日から73日間の記録。軸は日数の平方根で縮めています。
- 2024.07.090日目
TGESのサーバーおよび東京ガスの法人事業分野のサーバーに保管された情報の流出の可能性が判明
- 2024.07.178日目
東京ガスとTGESが「不正アクセスによるお客さま等に関する情報流出の可能性についてお詫びとお知らせ」を公表し、個人情報保護委員会へ報告
- 2024.09.2073日目
TGESが続報を公表。詳細調査の結果、個人情報が流出した痕跡は確認されなかったが、流出の可能性を完全には否定できないとして対象者への個別通知を実施すると発表
防げた手立て
この事例の記録には、防げた手立ての記載がありません。
関係するページ
手口、グループ、事例のつながりは、収録データの記録だけから引いています。
関係する手口
収録データにはまだ出ていない
関係するグループ
収録データにはまだ出ていない
出典
- 不正アクセスによるお客さま等に関する情報流出の可能性についてお詫びとお知らせ 東京ガス株式会社・東京ガスエンジニアリングソリューションズ株式会社・2024-07-17
- 不正アクセスに関わるご本人への通知について 東京ガスエンジニアリングソリューションズ株式会社・2024-09-20
- 東京ガス子会社で個人情報416万件が漏洩した可能性、業務委託元の51事業者に飛び火 日経クロステック・2024-07-19
- 東京ガス子会社、個人情報約416万人分を漏えいか サーバへの不正アクセスを確認 ITmedia NEWS・2024-07-17
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）