攻撃者がメール転送設定を変更、受信した個人情報が外部に - 立命館大

立命館大学が主催する国際研修の応募者に関する個人情報が外部に流出した。フィッシングメールによりアカウント情報が奪われ、受信メールが外部に転送されるよう設定が変更されたという。

歴史都市防災研究所が主催する2018年ユネスコチェア国際研修「文化遺産と危機管理」に、海外から応募した264人分の個人情報が外部へ流出したもの。氏名や所属組織の住所、電話番号、生年月日、性別、現職、学歴、職務経験、国籍などが含まれる。

同大によれば、研修への申し込みを受け付けるために用意したメールアカウントにおいて、4月24日に「未読メールが13通残っている」などと記載されたマイクロソフトの通知を装うフィッシングメールを受信。

同研究所の職員が誤ってメールに記載されたURLへアクセスし、誘導先の「Office365」を装ったページよりアカウント情報を入力してしまったという。

攻撃者は奪ったアカウント情報でログインし、同メールアカウントで受信したメールを外部に転送するよう設定を変更。期間中に、応募者の個人情報リストが添付されたメールや、応募者の参加申請書や履歴書などのメールを同アカウントで受信したことから外部へ不正に転送された。

さらに転送されたメールの一部には、参加申請書や履歴書を保管していたクラウドサービスにおける共有フォルダのURLを記載。パスワードなしに共有フォルダへアクセスできる状態だったため、応募者264人のうち、共有フォルダに保存されていた261人分の参加申請書や履歴書についても取得された可能性がある。

今回の問題を受け、同大では関係者に対して、メールで事情を説明し、謝罪を行った。

また問題のアカウントは、今回の研修用に用意したものであり、不正にログインされたものの、転送されたメール以外の情報漏洩はないと同大では説明。ログから不正なログインは1回のみであることも判明しており、スパムメールを送信するための踏み台などに悪用された形跡もなかったとしている。

（Security NEXT - 2018/05/18 ）ツイート