震度3
西鉄
西日本鉄道株式会社
個人情報3,019件
漏えいのおそれ住所 / 電話番号不正アクセス · 封じ込め済
監視モニターでこの事案を見る ▶- 公表
- 2025/05/15
- 検知
- 2025/05/07
- 検知から公表まで
- 8日
- 確度
- 漏えいのおそれ
- 種別
- 不正アクセス
- 状況
- 封じ込め済
- 対策投資
- 未調査
- 補償
- 発表なし・未定
漏えいした情報
法人・取引先法人名、担当者名
連絡先住所、電話番号、メールアドレス
勤務・人事部署
基本属性代表者名
規模
- 登録顧客（企業）情報 3,019件
対象者
- エコ企業定期券の登録企業
原因
サイト制作時に使用し、その後もサーバ内に残置していた開発用プログラムを経由して侵害された
時系列
- 侵入開始
- 登録企業からログインできないとの連絡で判明
- 外部からのアクセスを遮断し、開発用プログラムを削除
- Security NEXT報道日
対応
- 侵入経路遮断
- データ削除
- 本人通知
- サービス停止
サイトへの外部アクセスを遮断し開発用プログラムを削除。対象顧客に個別通知。セキュリティを全面的に見直すまでサイトは停止
あなたがすべきこと
- この会社を名乗るメールのリンクは開かない。お詫びメールそのものが偽物のことがある
- SMSや電話の「お詫び」「返金」は詐欺を疑う。折り返しは公式サイトの番号へ
- 身に覚えのない郵便物や請求書に注意。自宅住所は変えにくい
- 会社からの通知メール・公式発表で、自分が対象か確認する
事業者への教訓
- 外部公開サーバー・VPN・管理画面のパッチを最優先に。公開から悪用までは数日
- 把握した不具合を放置しない。変更は検証してから本番へ
- 個人情報保護委員会へ速報（3〜5日）と確報（30日、不正目的は60日）
- レッドチーム演習とAIによる防御強化を行い、その投資額を公表する
出典
- Security NEXT 報道 · 2025/05/15