富士通：プロジェクト情報共有ツール「ProjectWEB」が不正アクセスを受け、顧客から預かった情報が盗まれ、内閣官房、国土交通省、外務省、成田国際空港の情報が流出

1. 2021-05-06

   富士通が、ProjectWEBが不正アクセスを受けた可能性に気づいた。外務省にも同日、最初の報告があった。 [5] [10]

2. 2021-05-14

   国土交通省に、富士通から最初の報告が夕方に入った。 [9]

3. 2021-05-17

   富士通が、心当たりのないアクセスログを見つけた。成田国際空港の運航情報管理システムの情報が流出した可能性が高いとして、同日、同社に報告した。 [6]

4. 2021-05-20

   成田国際空港が、情報が流出した可能性があると公表した。 [4] [6]

5. 2021-05-24

   内閣サイバーセキュリティセンターが、政府機関や重要インフラ事業者に、同種のツールの利用状況を確かめるよう注意喚起した。 [7]

6. 2021-05-25

   富士通が公表し、ProjectWEBのすべてのプロジェクトを止めた。 [1] [4] [5]

7. 2021-05-26

   国土交通省と外務省が、富士通から報告を受けた情報の流出を公表した。内閣サイバーセキュリティセンターも、一部システムの情報が流出したと明らかにした。 [2] [3] [8] [9]

8. 2021-05-27

   官房長官が会見で、公表済みの3機関以外に政府情報の流出は確認していないと説明した。 [11]

9. 2021-06-03

   内閣サイバーセキュリティセンター（NISC）が、流出した情報に、同センターが実施した情報共有の訓練の参加者の氏名や役職などが含まれていたと明らかにした。行政機関や民間事業者の90組織、約170人分。重大な支障を与える情報は含まれないとし、関係者には連絡した。調査は終わっていない。 [12]

10. 2021-06-16

    富士通が過去のログをさかのぼって調べ、総務省が委託する情報システムの関連情報が流出したと同省に報告した。職員の氏名、電話番号、メールアドレスも含まれる。5月下旬には流出なしと報告を受けていた。 [13] [14]

11. 2021-06-28

    国立印刷局が、情報システムの業務を情報共有する他の機関を通じて、同局が提供した資料を含む情報が流出したと公表した。銀行券の製造や偽造防止に関わる情報は含まれないことを確認し、悪用による被害は確認されていない。 [15]

12. 2021-08-11

    調査と分析の結果、129のお客様の、本ツールに保存されていた情報の一部が不正に閲覧またはダウンロードされたと公表した。システムの機器の情報やプロジェクト運営の資料などで、一部にお客様と関係者の氏名とメールアドレスが含まれていた。第三者は正規のIDとパスワードで正常に認証して入っており、本ツールの何らかの脆弱性を悪用された可能性が高いとした。外部の有識者による検証委員会を置く。 [16] [17]

13. 2021-09-24

    第三報を公表した。10月1日付で専任のCISOとCISO補佐を任命し、情報セキュリティの体制を作り直すとした。原因と対応を調べる、外部有識者による検証委員会も置いている。 [18]

14. 2021-12-09

    第四報を公表し、ProjectWEBの提供を終えて別のツールに移すとした。 [19] [20]

15. 2022-02-17

    新たに13の顧客で情報流出を確認した。 [22]

16. 2022-03-07

    第五報を公表し、被害を受けた顧客は129から142になったとした。 [21] [22]

17. 2022-04-22

    第六報を公表した。3月28日に受け取った検証委員会の報告では、原因は情報保護の体制の不備、ProjectWEBのリソース不足、即時の検知の欠如、テナント管理を利用者の管理者に任せていたことなど。社長と副社長は月額報酬の10%を1か月自主返納した。 [23]

富士通が、社内、グループ会社、協力会社、顧客の間でシステム開発などのプロジェクトを進めるために使うオンラインツール。工程、ソース、タスクの管理に使われる。使うプロジェクトの数や顧客数は明らかにされていない。日本経済新聞は、情報流出が確認された顧客は10社ほどと伝えた。 [4] [5]

不正アクセスの原因と、流出したデータの内容は、富士通の公表時点では調査中だった。 [1] [5]

• 国土交通省：システムを構成する機器の情報、職員のメールアドレス、省外の登録者もいるメーリングリストの登録情報など、少なくとも約7万6000件分のメールアドレスなどが含まれた。機器の情報が流出した省のシステムへの不正アクセスは確認されていない。 [2] [9]
• 外務省：デジタルガバメントの実現に向けた検討資料が流出し、一部職員と外部関係者63人の個人情報が含まれた。稼働中のシステムの情報は含まれない。不正アクセスは4月末ごろとみられる。 [3] [10]
• 内閣サイバーセキュリティセンター（内閣官房）：一部システムに関する情報が流出した。同センターのシステム自体への不正アクセスは確認されていない。 [8]
• 成田国際空港：運航情報管理システムの仕様や運用に関する資料がダウンロードされた。同システムはインターネットに接続しておらず、不正アクセスの形跡は確認されていない。 [4] [6]

第五報で、情報が流出した顧客は129から142に増えた。新たに増えた13の顧客は2022年2月17日に判明した。 [21] [22]

ProjectWEBには複数の脆弱性があったが、悪用されたものは特定できなかった。第三者が正規のIDとパスワードを入手して外部からアクセスしており、多要素認証はなく、検知の仕組みも弱かった。富士通はProjectWEBの利用を終え、外部のソフトウェアに移す。 [19] [20]