D4/100
情報漏えい · 高
日商ネット試験で最大約98万人分の受験者情報が漏えいの可能性
ティアD · 参考情報 – 知っておくと良い
影響を受ける人： 日商簿記など8種類のネット試験の受験者
ティアDの理由： 開発者に影響しない
影響範囲
攻撃
被害
修正
悪用確認済み
要点
- 日本商工会議所は11月10日、商工会議所ネット試験管理システムへの不正アクセスにより、最大約98万人分（約197万件）の受験者情報が漏えいした可能性があると発表した
- 漏えいが疑われる情報は氏名、フリガナ、性別、生年月日、合否結果、試験得点に加え、任意で入力したメールアドレス、電話番号、住所である
- 対象は日商簿記検定など8種類のネット試験で、2022年4月以降の受験者が含まれる。現時点で漏えいや不正利用の事実は確認されていない
なぜ重要か
試験管理システムが外部サーバで運用されていたため、受験者情報を扱うシステムを外部委託する際の開発者による権限管理やアクセス監視の重要性が改めて示された。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中1項目が「はい」
| いいえ | 開発者に影響 | 開発者向けではなく受験者向けの試験管理システムであり、開発に使われるものではない。 |
| いいえ | 基幹インフラ | 広く使われる基幹ソフトウェアではなく、日本商工会議所の試験管理システムに限られる。 |
| いいえ | 人気ツール | 一般的な開発ツールやフレームワークではなく、特定団体の試験システムである。 |
| はい | 悪用確認済み | サイバーセキュリティ.com: 試験管理システムが不正アクセスを受けたと日本商工会議所が発表したと報じている。 |
| いいえ | 公開エクスプロイト | ソースにエクスプロイトや概念実証が公開されたという記述はない。 |
| いいえ | 認証不要のリモート攻撃 | ソースに攻撃経路や必要な認証の条件は示されていない。 |
| いいえ | 完全な乗っ取り | ソースはコード実行や管理者権限の取得について言及していない。 |
| いいえ | シークレットの流出 | impress: 実際に情報が漏えいした事実は確認されていないと報じられ、漏えいは可能性にとどまる。 |
| いいえ | サプライチェーン | 正規ソフトウェアの配布経路や署名鍵などが侵害された記述はない。 |
| いいえ | 修正なし | ソースは修正版の有無や修正状況について言及していない。 |
タイムライン
すべての報道 · ソース4件
- 3時間前 ↗
feed.japan.cnet.com
日商ネット試験、最大約98万人の受験者情報が漏えいした可能性--簿記など8試験 - 10時間前 ↗
サイバーセキュリティ.com
日本商工会議所のネット試験で不正アクセス、最大約98万人分の受験者情報漏えいのおそれ - 12時間前 ↗
ITmedia NEWS 最新記事一覧
簿記などの受験者情報最大98万人分漏えいか 合否や得点も 日商ネット試験に不正アクセス - 1日前 ↗
watch.impress.co.jp
日商簿記などの受験者情報、最大98万人分が漏えいの可能性