内閣府：職員が使うファイル共有ストレージ「FileZen」がゼロデイ攻撃を受け、231人分の非公開の個人情報が流出した可能性

1. 2021-04-22

   内閣府が公表した。1月中ごろに、内閣府のLANを運用する事業者が、ファイル共有ストレージへの不正アクセスを見つけていた。内閣府は機器をネットワークから切り離し、内閣サイバーセキュリティセンターの協力を得て調べていた。 [1] [2] [3]

2. 2021-04-26

   再発防止策をとったうえで、機器の利用を再開する予定とした。 [1] [2]

ソリトンシステムズのファイル送受信用機器「FileZen」の複数の脆弱性が悪用された。見つかった当時は、一部の脆弱性に修正プログラムがなく、いわゆるゼロデイ攻撃だった。3月に修正プログラムが出た「CVE-2021-20655」の悪用には管理者権限が必要で、パスワードを盗める「CVE-2020-5639」を使って管理者権限を得たとみられる。 [1]

機器は、インターネットから直接アクセスできる状態だった。内閣府は、内閣府のネットワークへの侵入はなかったとした。 [1] [3]

機器を使うのは、内閣府、内閣官房、復興庁、個人情報保護委員会の職員。ストレージ上のファイルは不正に操作されたが、アクセスログがなく、流出したかどうかは分からない。ファイルには、231人分の、公開されていない氏名、所属、連絡先などが入っていて、流出した可能性がある。秘密文書に当たる「機密性3情報」は、ふだんから機器に保存していないとした。 [1] [2] [3]

内閣府は、連絡先が分かった212人に経緯を説明して謝った。脆弱性を直し、WAFを置き、機器では取れていなかった外部からのアクセスのログを取るようにした。一部の報道にあった「数ギガバイト単位の流出」は、はっきり否定した。 [1] [2]