琉球銀行：口座開設などのWeb申込サイトの外部クラウドで設定不備があり、245件の顧客情報が第三者にアクセスされた。口座番号や暗号化された暗証番号を含む

1. 2021-06-07

   システムの保守会社が、外部クラウドの管理システムのログを調べ、お客様情報と申込情報に対して第三者の不正アクセスがあったと銀行に報告した。 [1]

2. 2021-06-18

   保守会社から、対象の顧客445先、アクセスを受けた情報の内容、想定される原因の報告を受けた。 [1]

3. 2021-06-21

   対象の顧客に、メール、郵送、電話で個別に連絡し始めた。 [1]

4. 2021-06-23

   原因の究明と対策のため、「来店予約サービス」を一時止めた。 [4]

5. 2021-06-24

   案内と注意喚起が一巡したとして公表し、「りゅうぎんWeb申込サイト」と「来店予約サービス」を一時止めた。 [1] [2] [3]

6. 2021-07-06

   「りゅうぎんWeb申込サイト」と「来店予約サービス」を再開した。 [4]

7. 2021-08-10

   最終報告を公表した。不正アクセスの対象は、6月24日に公表した445件ではなく、245件だった。不正アクセスが分かった6月7日から64日かかった。 [4]

2020年11月から2021年2月にかけて、外部の第三者から複数回、アクセスがあった。対象は、口座開設、インターネットバンキング、Visaデビットカードの申込でサイトを使った顧客で、姓名と登録メールアドレスは共通である。申込の内容によって、電話番号、生年月日、性別、住所、職業、職場の名称と電話番号、店名と店番、口座番号、暗号化されたキャッシュカードの暗証番号などが含まれる。取引が成立しなかった申込では、インターネットバンキングのログオンパスワード（2件）とVisaデビットカードの暗証番号（3件）、キャッシュカード暗証番号（1件）もあった。申込に至らず離れた人が途中まで入力した内容も保存されていて、アクセスを受けた可能性がある。 [1] [2]

本人確認書類の画像、取引履歴、Visaデビットカードの会員番号や有効期限、セキュリティコードなどへのアクセスは確認されていない。原因は、外部のクラウド型管理システムのセキュリティ設定の不備。琉球銀行の基幹システムなどへの影響はなく、顧客への被害も確認していない。この情報だけでは、不正な出金やインターネットバンキングへのログオンはできないとした。アクセスを受けた顧客が追加される可能性もあるとして調べている。 [1]

最終報告で、アクセスを受けた顧客は245件と分かった。不正アクセスが確認されたサービスは「りゅうぎんWeb申込サイト」だけで、同じ外部クラウドを使う「来店予約サービス」への不正アクセスは確認されなかった。全ての対象に共通なのは姓名と登録メールアドレスで、一部の顧客では、電話番号、生年月日、性別、住所、職業、勤務先、申込で入力した店舗名・店番・口座番号も含まれる。 [4]