追跡中
NEWS END｜結末
約308万人分の個人データが漏えい。国が指導し、止まっていた認証は再開。ネットワークの接続制限が元に戻ったかはまだ発表がない
自治体や金融機関の通知書を印刷・発送するイセトーがランサムウェアに感染し、約308万人分の個人データが漏えいした。2025年3月に国の個人情報保護委員会が原因を公表して指導を行った。止まっていた認証は2025年に再開され、4月に新しい役員体制へ移行した。
4コマでわかる
01
2024年5月26日、イセトーのサーバーやPCがランサムウェアで暗号化された
02
6月18日、盗まれた情報が攻撃者のサイトに出され、取引先の顧客の個人情報が含まれていた
03
2025年3月19日、個人情報保護委員会が「約308万人分が漏えい」と公表し、指導を行った
04
2025年2月にISO認証の停止が解除、3月にプライバシーマークが再開。4月に新しい社長の体制へ
タイムライン
- 2024年5月26日複数のサーバー・PCがランサムウェアで暗号化されていることを確認。全社対策本部を設置し、警察に連絡［1］
- 2024年5月29日被害の発生を公表。この時点では情報の漏えいは確認されていないとした［1］
- 2024年6月6日生産の遅れは徐々に回復。一部の取引先で個人情報が流出したおそれがあると報告［2］
- 2024年6月18日攻撃者グループのサイトに、盗まれたとみられる情報のダウンロード先が出た［3］
- 2024年7月3日出された情報はイセトーのサーバーから流出したもので、取引先の顧客の個人情報を含むと報告［3］
- 2024年9月2日審査機関から、ISO27001・ISO27017の認証を一時停止すると通知を受けたと報告［4］
- 2024年10月4日原因（VPNからの不正アクセス、扱ってはいけないサーバーにデータを置いていた）と再発防止策を報告［5］
- 2024年12月24日JIPDECから、プライバシーマークを3か月間一時停止すると通知を受けたと報告［6］
- 2025年2月10日審査機関の特別審査を受け、ISO27001・ISO27017の一時停止が解除されたと報告［10］
- 2025年3月19日個人情報保護委員会が、個人情報保護法第147条に基づく指導を行ったと公表［7］。同じ日、イセトーは4月1日付の新しい役員体制（代表取締役社長の交代）と、拠点の集約・人員配置の見直しを発表［11］
- 2025年3月24日「是正措置と再発防止策が有効に機能している」と認められ、3月25日からプライバシーマークの付与が再開されると報告［12］
- 2025年5月26日プライバシーマークの更新（期間 2024年10月23日〜2026年10月22日）を報告［13］
- 2025年8月26日ISO/IEC 27001の2022年版への移行審査を受け、認証を取得したと報告［8］
- 2026年9月25日プライバシーマークの付与適格決定を受けた（期間 2026年10月23日〜2028年10月22日）と報告［9］
確定していること
- 漏えいした個人データは合計3,076,477人分（うち民間からの委託分2,509,886人、行政機関などからの委託分566,561人。※この2つを足すと3,076,447人で、資料の合計と30人ずれている。数字は資料のまま）。このうち要配慮個人情報を含むものは13,150人分。ほかに従業者441人分［7］ 一次資料
- 影響を受けた委託元は41団体（民間32、行政機関など9）。再委託元まで含めると約100団体［7］ 一次資料
- 漏えいした項目は主に通知書の氏名・住所。通知書によって、確定拠出年金やローン残高などの金額、納税額などが含まれる［7］ 一次資料
- 侵入はVPN機器から。VPN機器は2021年4月以降アップデートされておらず、不正に使われた管理者アカウントは2017年2月から同じ、英小文字だけの11桁のパスワードだった。多要素認証は入れていなかった［7］ 一次資料
- 個人データは決まった区域だけで扱うルールだったが、明文化されておらず、56部署のうち3部署が守っていなかった。守られていれば漏えいは起きなかったと委員会は指摘［7］ 一次資料
- 盗まれたデータがダークウェブで公開されていたのは2024年6月18日の11時から22時30分の間。悪用などの二次被害の情報は寄せられていない（2025年3月19日時点）［7］ 一次資料
- 2025年4月1日付で代表取締役社長が交代。会社は「ガバナンスの再構築による事業再生」のためとした［11］ 一次資料
- 再発防止策として、VPNを使わない体制と認証の強化、データを区域外へ移せない環境、保管期限を決めて確実に消すこと、監査と研修を挙げた［5］ 一次資料
分かっていないこと
- VPN機器の認証をどうやって破られたかの詳細（ログが十分に取れておらず、確認できていない）［7］
- 攻撃者が誰か、捕まったか（公表された資料には書かれていない）
- イセトーが委託元に損害を払ったかどうか（公表された資料には書かれていない）
- 外部ネットワークとの接続制限が解除され、通常の形に戻ったか（発表が見当たらない）
今の復旧状況
止まっていた認証は再開・更新され（ISO27001・ISO27017は2025年2月に停止解除、2025年8月に2022年版へ移行。プライバシーマークは2025年3月に再開、2026年9月に次の期間の更新）、業務を続けている［8］［9］［10］［12］。
ただし、2024年10月の発表で「環境ができるまで外部ネットワークとの接続を制限して業務を行う」とした点が、通常に戻ったという発表は見当たらない［5］。
残っている点
- 外部ネットワークとの接続制限が解除され、業務が通常の形に戻ったことの公式の確認
出典
- イセトー「ランサムウェア被害の発生について」2024年5月29日（https://www.iseto.co.jp/news/news_202405.html）
- イセトー「ランサムウェア被害の発生について（続報）」2024年6月6日（https://www.iseto.co.jp/news/news_202406.html）
- イセトー「ランサムウェア被害の発生について（続報2）」2024年7月3日（https://www.iseto.co.jp/news/news_202407.html）
- イセトー「ISO27001認証及びISO27017認証の一時停止について」2024年9月2日（https://www.iseto.co.jp/news/news_202409.html）
- イセトー「不正アクセスによる個人情報漏えいに関するお詫びとご報告」2024年10月4日（https://www.iseto.co.jp/news/news_202410.html）
- イセトー「プライバシーマーク付与の一時停止について」2024年12月24日（https://www.iseto.co.jp/news/news_202412.html）
- 個人情報保護委員会「株式会社イセトーに対する個人情報の保護に関する法律に基づく行政上の対応について」2025年3月19日（https://www.ppc.go.jp/files/pdf/250319_houdou.pdf）
- イセトー「『ISO/IEC 27001:2022版』への移行審査完了のお知らせ」2025年8月26日（https://www.iseto.co.jp/news/news_202508-1.html）
- イセトー「プライバシーマーク付与の更新について」2026年9月25日（https://www.iseto.co.jp/news/news_202609-6.html）
- イセトー「ISO27001認証及びISO27017認証の一時停止解除について」2025年2月10日（https://www.iseto.co.jp/news/news_202502.html）
- イセトー「役員体制のお知らせ」2025年3月19日（https://www.iseto.co.jp/news/news_202503.html）
- イセトー「プライバシーマーク付与の再開について」2025年3月24日（https://www.iseto.co.jp/news/news_202503-1.html）
- イセトー「プライバシーマーク付与の更新について」2025年5月26日（https://www.iseto.co.jp/news/news_202505.html）
END LOG（更新履歴）
- 2026-10-29 初版公開（AIが執筆、別のAI2体が出典を検査し、指摘を直して公開。結末かどうかは検査役の意見が分かれたため、慎重に追跡中とした）。次回確認：2026-11-29