当サイトではIE10未満のブラウザがご利用いただけません。Browsers with IE10 less can not be used on this site.
 メンテナンスのため、6月22日(土) 12時~22時の間に、約10分間程度とりネットを閲覧できない状態が、約5回発生します。

【お詫びとご報告】鳥取県環境家計簿の登録情報の漏えいについて

利用者の皆様 各位

このたび、鳥取県環境家計簿webサイトの登録情報の漏えいについて、利用者の皆様には、大変なご迷惑とご心配をおかけしていること、深くお詫び申し上げます。
 

県では、情報漏えいの疑いがある旨を6月26日にメールで皆様にご連絡し、事実関係や発生原因の調査を進めてまいりました。

この調査結果の概要、調査結果を踏まえてご注意していただきたい事項、新たな環境家計簿の導入につきまして、下記のとおりお知らせいたします。

なお、今後の情報漏えいを防止するため、当サイトを完全に閉鎖するとともに、当サイトの保守管理を受託している「(有)ひのでやエコライフ研究所」(以下「受託会社」)の保有する登録情報を全て県に引き継いだ上で削除することとしています。

また、当サイトに代わり、「EXCEL版環境家計簿」を県ホームページ「とりネット」で公開しました。
これからも環境家計簿を通じて環境にやさしい活動に取り組んでいただけると幸いです。

                         記

1 調査結果
(1)概要
 ・受託会社が民間のデータセンター内に設置・運営している当サイトが、受託会社のセキュリティ対策の不備により
  不正アクセスされ、当サイト利用者の皆様の登録情報が漏えいしました。(当サイトのアクセス解析により判明し
  ました。)
 ・当サイト利用者の皆様の登録情報については、インターネット上での漏えいは調査時点で認められていません。


(2)経緯
 ・6月25日(月)、都内のITセキュリティ会社から当サイト利用者の皆様の登録情報が漏えいしている可能性
  を指摘する通報があり、受託会社に調査を指示するとともに、当サイトを一時閉鎖しました。
  (通報者はインターネット上で当サイト利用者の皆様の登録情報と疑われるリストを発見し通報されました。)
 ・6月26日(火)、受託会社からの報告で、平成30年3月に当サイトが不正アクセスを受けていたことが判明
  しました。
  お詫びと注意喚起のため、当サイト利用者の皆様全員へのメール、県政記者室への資料提供、県ホームページへ
  の掲載を行いました。
 ・その後の調査結果を踏まえ、7月13日(金)、当サイトを完全閉鎖するとともに、当サイト利用者の皆様全員
  へのメール、県政記者室への資料提供、県ホームページへの掲載を行いました。


(3)不正アクセス・情報漏えいの状況
 ア 不正アクセスを受けた日時
    平成30年3月19日15時9分から20日12時2分まで
 イ 不正アクセスを受けたwebサーバー
    受託会社が民間データセンター内に設置したwebサーバー
 ウ 漏えいした登録情報
    436名の登録情報
         ・氏名又はニックネーム
   ・メールアドレス
   ・ログインID(登録時にランダムに設定されるもの)
   ・パスワード(暗号化されているもの)
   ・市町村名、ガス・ガソリンの種類、太陽光発電の設置年
   ※なお、受託会社によるアクセス解析の結果、月々の家計簿の記録
          (電気料金等)は漏えいの可能性はありません。
   ※本事案と同じwebサーバーを利用していた6団体分を合わせると計7,977名の登録情報が漏えい
    しました。
     〔漏えいのあったサイト〕
                   鳥取県、埼玉県、滋賀県、東京都小平市、京都府地球温暖化防止活動推進センター、
                   公益財団法人地球環境戦略研究機関の環境家計簿等のサイト
 エ 不正アクセスの手口
    SQLインジェクション
    ※当サイト内の「お知らせ」画面において、URL欄に不正なリクエストが書き込まれ、「お知らせ」
     のページにリクエストされた情報を表示されたことで、登録情報が漏えいしたことを当サイトのアク
     セス解析により判明しました。
 オ インターネット上への漏えい状況
   ・当サイト利用者の皆様の登録情報については、インターネット上での漏えいは調査時点で認められていません。
    ※通報者(都内のITセキュリティ会社)が発見したリストとサイト利用者の皆様の登録情報を照合し
     ましたが、鳥取県のサイト利用者の皆様の登録情報は含まれていませんでした。
     (埼玉県、滋賀県、東京都小平市のサイト利用者5,064名の登録情報は含まれていました。)
    ※鳥取県のサイト利用者の皆様の登録情報は、他にインターネット上で確認されていません。

(4)不正アクセスを受けた原因
   当サイトのプログラム構築時において、URL欄に文字列を入力しても拒否する設定とすべきところ、受託
  会社のミスにより、文字列に反応しリクエストされた情報が表示される設定となっていたため、不正アクセス
  を受けたものです。
  ※当サイトのプログラムを確認し判明しました。


2 ご注意いただきたいこと
 ・心当たりのないメールアドレスからのメールを開かないよう、ご注意をお願いします。
 ・当サイトと同じ組み合わせのメールアドレスとパスワードを当サイト以外の別サイトで使用されている場合は、
  念のため、パスワードを変更するなどの対応をご検討いただきますようお願いします。
  ※パスワードについては、暗号化されたものが漏えいしており、登録時に入力されたパスワードそのものが漏えい
   した可能性はありません。


3 新たな鳥取県環境家計簿の導入について
 利用者の皆様に環境家計簿を引き続き活用し、環境にやさしい活動の参考としていただけるよう、「EXCEL版環境家計簿」を県ホームページ「とりネット」で公開しました。
 お名前やメールアドレスを登録せず、ダウンロードしてご利用いただけます。
 これまでのweb版環境家計簿の登録データを提供することもできますので、希望される場合は本年9月末までに県担当者にご連絡ください。

  □新たな鳥取県環境家計簿の公開ページ(鳥取県ホームページ「とりネット」内)
      https://www.pref.tottori.lg.jp/278426.htm


鳥取県生活環境部環境立県推進課長  若松 紀樹
(担当:次世代エネルギー推進室 谷口、板倉 電話:0857-26-7874)


〔参考〕受託会社(鳥取県環境家計簿webサイト運営者)
   有限会社ひのでやエコライフ研究所 取締役 鈴木 靖文
      電話:075-708-8152
      メール:hinodeya@hinodeya-ecolife.com