トラストバンクLoGoフォームで発生した不正アクセス事件の概要
2025年7月、株式会社トラストバンクが提供する自治体向けノーコード電子申請システム「LoGoフォーム」において、深刻な不正アクセス事件が発生しました。
この事件は、現代のサイバー攻撃の典型的な手口である「リスト型攻撃」によるもので、399名の利用者の個人情報が第三者に閲覧された可能性があります。
事件の詳細タイムライン
- 2025年7月10日未明〜11日昼：不正アクセスが発生
- 7月11日21時50分以降：被害者399名に個別案内を送付
- 7月12日11時05分時点：被害規模の確定
攻撃者は大量のメールアドレスとパスワードの組み合わせを用いて、システムへの侵入を試みました。この手法は「リスト型攻撃」と呼ばれ、他のサービスから流出したアカウント情報を悪用する典型的なサイバー攻撃です。
被害を受けた個人情報の内容
今回の不正アクセスで閲覧された可能性のある個人情報は以下の通りです：
- 氏名
- 住所
- 電話番号
- 生年月日
- 性別
- メールアドレス
幸いなことに、申請内容などのアカウント登録情報以外へのアクセスは確認されておらず、提出済みの申請データが閲覧された事実はないとのことです。
リスト型攻撃とは？現役CSIRTが解説する手口
リスト型攻撃の仕組み
リスト型攻撃は、以下のような流れで実行されます：
- アカウント情報の収集：他のサービスから流出したメールアドレスとパスワードの組み合わせを入手
- 自動化ツールの使用：大量のアカウント情報を自動的に試行
- 成功したアカウントへの侵入：パスワードの使い回しがあるアカウントに不正ログイン
なぜリスト型攻撃が成功するのか
私がフォレンジック調査を担当した案件では、以下のような要因でリスト型攻撃が成功することが多いです：
- パスワードの使い回し：同じパスワードを複数のサービスで使用
- 弱いパスワード：「123456」「password」など推測しやすいパスワード
- 二段階認証の未設定：追加の認証手段がない
企業が取るべき緊急対応と恒久対策
トラストバンクの対応評価
今回のトラストバンクの対応は、以下の点で評価できます：
- 迅速な通信遮断：攻撃IPアドレスの通信経路を即座に遮断
- パスワードリセット：被害アカウントのパスワードを強制リセット
- 警察への届け出：適切な法的手続きを実施
- 透明性のある報告：被害状況を詳細に公表
個人・中小企業が学ぶべき対策
1. 多要素認証の導入
VPN
などのセキュリティツールを活用し、パスワードに加えて追加の認証要素を設定することで、不正アクセスのリスクを大幅に減らすことができます。
2. パスワード管理の徹底
- サービスごとに異なるパスワードを使用
- 定期的なパスワード変更
- パスワード管理ソフトの活用
3. セキュリティソフトの導入
アンチウイルスソフト
を導入することで、マルウェアや不正なアクセスからシステムを保護できます。特に、リアルタイムでの脅威検知機能は、このような攻撃の早期発見に有効です。
Webサイト運営者が知っておくべき脆弱性対策
定期的なセキュリティ診断の重要性
私が過去に調査した案件では、定期的なセキュリティ診断を実施していない企業で、同様の被害が拡大する傾向にありました。
Webサイト脆弱性診断サービス
を定期的に実施することで、以下のような脅威を事前に発見できます：
- 認証システムの脆弱性
- 不正アクセスの痕跡
- システムの設定不備
- 未知の脆弱性
中小企業の実際の被害事例
過去のフォレンジック調査で扱った中小企業の事例では：
- ECサイト運営企業：顧客情報2,000件が流出、売上が30%減少
- 士業事務所：機密文書が暗号化、業務停止が1週間継続
- 製造業：取引先情報が漏洩、取引停止となった案件が複数発生
これらの企業に共通していたのは、基本的なセキュリティ対策が不十分だったことです。
今後の対策と注意点
利用者が取るべき行動
LoGoフォームの利用者は以下の対策を実施してください：
- パスワードの即座変更：他のサービスでも同じパスワードを使用している場合は全て変更
- 不審な活動の監視：身に覚えのない取引や連絡がないか確認
- 二段階認証の設定：可能なサービスでは必ず設定
組織の継続的な対策
- 従業員教育：定期的なセキュリティ研修の実施
- インシデント対応計画：被害発生時の対応手順を明確化
- 定期的な見直し：セキュリティ対策の効果測定と改善
まとめ：サイバー攻撃から身を守るために
今回のトラストバンクLoGoフォームの不正アクセス事件は、現代のサイバー攻撃の典型的な事例です。リスト型攻撃は誰でも被害に遭う可能性があり、個人・企業問わず適切な対策が必要です。
特に重要なのは：
– パスワードの使い回しを避ける
– 多要素認証を必ず設定する
– 定期的なセキュリティ診断を実施する
これらの基本的な対策を実施することで、同様の被害を防ぐことができます。
