攻撃の対象になったのは、2022年8月まで使っていた管理部門のファイルサーバーでした。そこには、2001年からの約20年分の人事関連情報と、取引先に関する情報が含まれている可能性があります。利用を終えて約4年がたったサーバーで、ランサムウェア攻撃が確認されたことになります。
ジャパンタイムズとニューズ・ツー・ユーホールディングスは2026年10月16日、グループが管理するサーバーへの不正アクセスに関する第2報を公表し、9月18日にランサムウェアを用いたサイバー攻撃を確認していたと明らかにした。10月15日には、攻撃者がグループから窃取したと主張するデータが外部のウェブサイトで公開されていることを確認した。
対象は2022年8月まで使っていた管理部門用のファイルサーバーで、2001年から2022年8月までの人事関連情報と取引先の情報が含まれる可能性がある。電子版、購読者データベース、決済システムは独立したインフラで運用されている。
From: 
【第2報】当社グループ管理サーバーへの不正アクセスおよび情報漏えいの可能性に関するご報告
【編集部解説】
英字新聞を発行するジャパンタイムズのグループで起きたこの事案は、第1報と第2報を並べると輪郭がはっきりします。
グループが攻撃を確認したのは9月18日です。10月2日の第1報で、グループ会社が管理するサーバーの一部が不正アクセスを受けたと公表しました。10月15日、攻撃者が窃取したと主張するデータが外部のウェブサイトで公開されたことを確認し、翌16日の第2報で、攻撃がランサムウェアによるものだったことと、対象サーバーの用途や期間を明らかにしています。
第1報の本文は「不正アクセス」という言葉で事案を伝え、情報漏えいの有無や影響範囲は調査中としていました。第2報では、攻撃にランサムウェアが使われたことに加え、攻撃者がグループから窃取したと主張するデータが、外部のウェブサイトで公開されていることを確認したと説明しています。調査の進展に合わせて、公表の内容が具体的になっています。
今回の事案で目を引くのは、対象が2022年8月まで使われていた管理部門用のファイルサーバーだった点です。第2報によると、公開されたデータには、2001年から2022年8月までの約20年分の人事関連情報と、取引先に関する情報が含まれている可能性があります。2022年8月の利用終了から約4年後の2026年9月に、このサーバーがランサムウェア攻撃を受けたことが確認されました。利用終了後にどう保管されていたのか、公開されたデータに何が含まれているのかは、まだ明らかになっていません。
過去の利用や削除の手続きに関わる情報が、後になって漏えいの対象と分かる事例は、ほかにもあります。退会者の情報も対象になったタイムズカー、削除済みの画像に付随する情報が流出したGyazo（関連記事）、2018年の決済方式の変更でカード情報を削除した一方、カード情報を含む会費支払いのログが残っていたskyticketの第2報です。経緯はそれぞれ違いますが、どれも、保管する情報の範囲を問い直すきっかけになります。使わなくなったデータも、保管されている限り漏えいのリスクは残ります。消すときには、ログやバックアップといった複製まで含めて、確実に消えているかを確かめることが大切です。
一方で、電子版の「The Japan Times Online」、購読者データベース、決済システムは、対象サーバーとは独立したインフラで運用されていると、第1報の段階から説明されています。第1報の時点では、これらへの影響や安全上の問題は確認されておらず、新聞の発行やウェブサイトの提供も通常どおり続いているとしていました。業務部門のファイルと読者向けの仕組みを分けて運用していたことは、今回の公表から読み取れる大切な事実です。
攻撃者がデータを公開する場所は、一般に「リークサイト」と呼ばれます。身代金の支払いに応じない組織への圧力として、盗んだとするデータを掲げる手法です。ジャパンタイムズのグループは、公開されたデータを外部の専門機関と照合している最中で、含まれる情報の内容と範囲はまだ特定できていないとしています。
含まれている可能性があるのは、2001年から2022年8月までのグループの人事関連情報と、取引先に関する情報です。具体的な対象者や情報の範囲は、まだ特定されていません。グループは、公開データに情報が含まれていると分かった取引先や関係者に順次個別に連絡するとし、グループ側で連絡先を確認できない人からは専用の窓口で照会を受け付けるとしています。グループや関係者を装った不審なメールのURLや添付ファイルは開かないよう、呼びかけています。
10月16日には、日本経済新聞社も、システム開発に利用するクラウドサービスへの不正アクセスを公表しています。今回の事案は、報道機関のグループに残る過去の人事関連情報や取引先情報の扱いを考えるきっかけにもなります。何を残し、何をいつ消すのか。読者にサービスを届ける仕組みの安全を確かめながら、過去の記録の保管の目的と期間も見直していくことが、報道機関への信頼を支えていくはずです。
【関連記事】
【解説】タイムズカーやGyazo、退会・削除後の個人情報も漏えい｜残っていた情報の行方
退会した会員の情報や、削除した画像に付随する情報など、使い終えたはずのデータが漏えいの対象になった9月下旬の事案を整理した解説。
日経、開発用クラウドに不正アクセス 認証情報を盗まれ個人情報約183万件が漏えい
日本経済新聞社が10月16日に公表した、システム開発に使うクラウドサービスへの不正アクセスと約183万件の漏えいを伝えた。
skyticketに不正アクセス、約1,464万件の顧客情報が流出 経路の異なる3件を公表
アドベンチャーの10月9日の第1報を伝えた記事。管理機能、業務管理システム、バスの予約完了ページと、経路の異なる3件を整理した。
【解説】ニチレイ、攻撃者が「盗んだ」とするデータ公開─約10日で戻せた業務と、戻らない情報
攻撃者が「盗んだ」と主張するデータを公開したニチレイの事案を、約10日で戻せた業務と、戻らない情報とに分けて整理した解説。
【編集部後記】
10月2日の第1報を出したのは、ジャパンタイムズ1社でした。16日の第2報は、ニューズ・ツー・ユーホールディングスとの連名に変わり、問い合わせもホールディングスの専用窓口が受け付けています。
対象のサーバーは、グループの管理部門が使っていたものです。新聞の名前で報じられる事案でも、守るべき記録は、発行する会社の枠を越えてグループ全体に広がっています。連名という形は、その範囲を映す一つの手がかりなのかもしれません。
【用語解説】
ランサムウェア
感染したコンピューターのデータを暗号化して使えなくし、元に戻すことと引き換えに金銭を要求する不正なプログラム。近年は、暗号化の前にデータを盗み出し、公開をちらつかせて圧力をかける手口が多い。
リークサイト
ランサムウェアの攻撃者が、被害組織の名前や、盗んだと主張するデータを掲載するウェブサイト。身代金の支払いに応じない組織への圧力として使われる。
ファイルサーバー
社内の文書やデータをまとめて保管し、複数の利用者で共有するためのサーバー。部署ごとの業務ファイルが長い年月にわたって蓄積されやすい。
【参考リンク】
The Japan Times（外部）
英字新聞「The Japan Times」を発行する株式会社ジャパンタイムズのサイト。PRESS欄で、今回の第1報と第2報を公表している。
株式会社ニューズ・ツー・ユーホールディングス（外部）
ジャパンタイムズと同じグループの会社。第2報はジャパンタイムズとの連名で公表され、問い合わせはこの会社の専用窓口が受け付けている。
SP 800-88 Rev. 2, Guidelines for Media Sanitization（NIST）（外部）
米国立標準技術研究所が、記録媒体上のデータを復元しにくい形で消去する方法をまとめたガイドライン。データの廃棄の考え方の参考になる。
【参考記事】
当社グループ管理サーバーへの不正アクセスに関するお知らせ（外部）
ジャパンタイムズの10月2日の第1報。グループ会社が管理するサーバーの一部が不正アクセスを受けたとし、影響範囲は調査中とした。
不正アクセスによる個人情報漏洩について（外部）
日本経済新聞社の10月16日の公表。システム開発に使うクラウドサービスへの不正アクセスで、約183万件の個人情報が漏洩した。
