2023年8月8日

関係各位
社会保険電子申請用システムのランサムウェア感染被害に関するご報告
　

さわだ労務管理事務所（以下「弊所」といいます。）ご契約会社様、従業員様および過去に従業員であった皆様へ

この度、弊所で社会保険の電子申請に利用しているクラウドシステム「社労夢」ならびにマイナンバー利用用システム「MYNABOX」（以下「本件システム」といいます。）のサーバーがランサムウェアによる第三者からの不正アクセスを受けたことをお知らせいたします。

以下に、概要と影響範囲についてご報告いたします。


１．概要

弊所では、社会保険の電子申請用に本件システムを利用しております。この度、本件システムを提供している株式会社エムケイシステム（以下「エムケイシステム社」といいます。）のサーバーがランサムウェアによる第三者からの不正アクセスを受けたとの同社による公表を受け、本件システムに保存されていた個人情報に漏えいのおそれがあることが判明しました。


２．影響範囲

《対象者》
・弊所と現ご契約会社様の従業員様および過去に従業員であった方

対象範囲は、弊所での本件システム利用開始後の2015年4月以降在籍の方となります。

弊所とのご契約が2015年4月以降の場合は、ご契約以降在籍の方となります。

《登録個人情報の項目》
　■社会保険加入全従業員様

氏名、生年月日、性別、住所、電話番号、賃金・報酬、被保険者番号、事由発生日/対象期間、基礎年金番号

　■社会保険手続きを行った従業員様　※手続きごとに個別情報となります
　　①入退社情報（入退社日、賃金・報酬額、退職理由）
　　②被扶養者情報（氏名、生年月日、住所、扶養追加日もしくは削除日）
　　③賞与額および変更後の報酬月額情報
　　④産前産後休業および育児休業情報（事由発生日および期間、給付金支給期間、賃金額、子の名前、口座情報）
　　⑤定年再雇用情報（事由発生日および期間、給付金支給期間、賃金額、口座情報）
　　⑥介護休業情報（事由発生日および期間、給付金支給期間、賃金額、口座情報）
　　⑦労災情報（事由発生日および期間、賃金額、労災内容、口座情報）


３．情報保護委員会への報告について

上記の通り個人情報漏えいは現時点で確認は取れておりませんが、個人情報漏えいの可能性は否定できないため、個人情報保護法第26条1項及び個人情報保護法施行規則第8条並びに特定の個人を識別するための番号の利用等に関する法律第29条の4第1項の規定に基づき、2023年6月12日、個人情報保護委員会への報告を行っております。


４．情報漏洩の有無について

7月19日エムケイシステム社より下記のとおり調査および情報漏洩の有無について報告されております。

  • フォレンジック調査により判明した事実
    • 外部の第三者による侵入経路の特定
    • 不正アクセスの影響を受けたサーバ機器の特定
    • 侵害状況及び流出の恐れがある情報範囲の特定
  • 情報漏洩の有無について
    調査の結果、本事案がランサムウェアによる侵害であることから、何らかのデータが攻撃者によって窃取された可能性は完全には否定できませんが、情報窃取及びデータの外部転送等に関する痕跡は確認されませんでした。また、現時点において、当社情報がダークウェブ等に掲載されていないか調査を実施してきましたが、当社情報の掲載や公開は確認されませんでした。
    以上、調査の結果、情報漏洩の事実が確認されていないことをご報告申し上げます。

また、 「マイナンバーについては高度な暗号化処理を施しており、今回の流出の恐れがある情報範囲には含まれておりません。」との報告も受けております。


５．お問い合わせ

本件に関する弊所へのお問い合わせは、以下までご連絡ください。お問合せの際は、会社名（本件に係わる会社名）をお知らせいただきますようお願い申し上げます。

繰り返しとなりますが、現時点で本件システムがサービス停止により利用できず登録内容等詳細を確認することができないため、ご回答できる事項が限られることを予めご了承ください。

また、お問合せいただく内容によっては、エムケイシステム社への確認およびエムケイシステム社による公式発表を待っての回答になるため、一定期間のお時間を要することも予めご了承ください。

さわだ労務管理事務所　専用メールアドレス
　sawadaroumu@sawada-labor-management-office.com

この度は、ご心配またご迷惑をおかけし誠に申し訳ございません。深くお詫び申し上げます。

引続きエムケイシステム社より新たな発表がありましたらご報告させていただきます。 今後とも何卒どうぞよろしくお願い申し上げます。


さわだ労務管理事務所　　社会保険労務士　澤田　睦