震度2
フラワー長井線
山形鉄道株式会社
個人情報1アカウント
漏えい確定パスワード / 多要素認証シードフィッシング · 封じ込め済
監視モニターでこの事案を見る ▶- 公表
- 2025/03/12
- 確度
- 漏えい確定
- 種別
- フィッシング
- 状況
- 封じ込め済
- 対策投資
- 未調査
- 補償
- 発表なし・未定
漏えいした情報
連絡先従業員のメールアドレス（電話で聞き出された）
認証情報ID、パスワード、ワンタイムパスワード
規模
- 不正送金に使われた法人向けインターネットバンキング 1アカウント
対象者
- 同社従業員（電話・メールで認証情報を入力）
原因
「山形銀行」等を名乗る自動音声電話で契約更新が必要と告げられ、銀行員を装う人物にメールアドレスを聞き出された。届いたフィッシングメールの偽ログインページにID・パスワードを入力し、電話でワンタイムパスワードも聞き出され、不正送金された
時系列
- 午前に自動音声電話を受け、同日に不正送金
- 夕方に山形県へ報告
- 県議会で被害が明らかに
あなたがすべきこと
- このサービスと、同じパスワードを使っている全サービスを今すぐ変更。可能ならパスキーに切り替える
- この会社を名乗るメールのリンクは開かない。お詫びメールそのものが偽物のことがある
- あなた宛ての人事・面接連絡を装った標的型メールに注意する
- 会社からの通知メール・公式発表で、自分が対象か確認する
事業者への教訓
- 全アカウントをパスキーかMFAに。漏れた認証情報の監視と、APIキーの定期ローテーション
- 個人情報保護委員会へ速報（3〜5日）と確報（30日、不正目的は60日）
- レッドチーム演習とAIによる防御強化を行い、その投資額を公表する