2025年 第36週 セキュリティ事故レポート

ロッテカードがハッキング被害、顧客297万人の個人情報流出

297万被害: 顧客297万人の個人情報

ロッテカードのオンライン決済システムでハッキングの兆候とサーバーのマルウェア感染が確認され、その後、顧客297万人の個人情報流出が明らかになった。流出情報にはカード番号、CVC、住民登録番号などが含まれていた。ロッテカードは顧客保護措置と補償を実施し、その後、課徴金と業務停止の制裁、集団訴訟が続いた。

LGユープラス、サーバー・アカウント・従業員情報の流出疑惑

167被害: サーバー8938台の情報、アカウント4万2526件、従業員167人の情報の流出疑惑で、被害範囲は未確定

2025年9月、LGユープラスのサーバー8938台の情報、アカウント4万2526件、従業員167人の情報が流出したとの疑惑が浮上し、政府が調査に着手した。LGユープラスは自社調査で侵害の事実は確認されなかったとの立場を維持しつつ、10月にKISAへハッキングの兆候を届け出た。その後、侵害が疑われるサーバーの廃棄やOS再インストール、調査資料の提出をめぐり、警察の捜査や証拠保全の不備をめぐる論争が続いた。

KT、サーバーのマルウェア感染と事故の未届け出が判明

被害: サーバー43台のマルウェア感染を確認

KTは2024年3~7月にBPFDoorなどのマルウェアに感染したサーバー43台を発見しながら、届け出ずに自社で対処した。2025年9月の全社サーバー点検では侵害の痕跡と疑わしい状況を発見し、韓国インターネット振興院に届け出た。政府の調査でマルウェア感染と未届け出が明らかになり、KTは謝罪して統合監視体制を構築する方針を示した。その後もログ削除や資料提出をめぐる論争が続いた。

ネクソン『ブルーアーカイブ』CDN設定改ざんでコンテンツが異常表示

被害: 一部コンテンツの異常表示

外部の攻撃者がネクソンの『ブルーアーカイブ』のCDN環境設定にアクセスして設定を無断で変更し、一部コンテンツが異常に表示された。ネクソンは緊急メンテナンスを実施し、攻撃者のアクセスを遮断した。ユーザーアカウントやゲームデータ、決済情報への影響はなかったとしている。

済州の中学生、生徒約400人の個人情報を不正取得

400被害: 生徒約400人の個人情報と約200人の遂行評価成績

韓国・済州島の中学校の在校生が、初期パスワードを変更していなかった教師のGoogle Workspaceアカウントに不正アクセスした。生徒は約400人の生徒の個人情報と約200人の遂行評価成績をダウンロードした。学校は流出を届け出てデータ削除とパスワード変更の措置を取り、外部への拡散は確認されていない。

組合長職維持目的の個人情報流出疑惑

組合長の職を維持するために個人情報を流出させたとの疑惑が浮上した。該当する組合や関係者、流出規模、疑惑の真偽は確認されていない。

ジャガー・ランドローバー、サイバー攻撃で情報流出・生産停止

被害: 情報流出・長期間の生産停止、同社のコストは2億2000万ドル超

ジャガー・ランドローバーが2025年にサイバー攻撃を受け、情報が流出し、生産が長期間停止した。生産停止は部品供給や車両販売にも影響を及ぼし、同社の直接的なコストは2億2000万ドルを超えたと伝えられている。2025年11月に英国での生産再開が伝えられ、その後、ロシアのハッカーや国家支援型攻撃の可能性が指摘された。

Wealthsimple、サプライチェーン攻撃で顧客の個人情報流出

被害: 一部顧客の個人情報と社会保険番号

カナダの投資プラットフォームWealthsimpleでサプライチェーン攻撃により顧客の個人情報が流出し、一部の社会保険番号にも不正アクセスがあった。サードパーティー製ソフトウェアの脆弱性が侵害経路とされた。Wealthsimpleの経営陣は顧客に謝罪し、口座情報は悪用されていないと明らかにした。

ネイビー・フェデラル・クレジット・ユニオン、サーバー設定ミスで378GBのファイル露出

被害: ファイル378GB

ネイビー・フェデラル・クレジット・ユニオンのファイル378GBが、設定を誤ったサーバーを通じて露出した。露出した資料にはバックアップファイルが含まれ、発生時期や対応措置は確認されていない。

パロアルトネットワークス、顧客情報とサポート問い合わせ履歴が流出

被害: 顧客情報・サポート問い合わせ履歴

パロアルトネットワークスが、Salesforceを通じて顧客データへの不正アクセスがあったことを確認した。流出した情報には顧客情報とサポート問い合わせ履歴が含まれていた。被害規模や具体的な発生日は確認されていない。

Chess.com、ファイル転送アプリ経由の侵害で4500人の情報窃取

4500被害: 4500人の情報

Chess.comで2025年6月、ファイル転送アプリを通じたデータ侵害が発生した。Chess.comはこの事故で4500人の情報が窃取されたと公表した。