公益財団法人21あおもり産業総合支援センターは、利用しているメール配信サービス「ブラストメール」への不正アクセスにより、メールアドレスや氏名などの個人情報が漏えいしたと公表しました。サービス提供元の株式会社ラクスライトクラウドのAPI用サーバーに外部の第三者が侵入し、データベースからデータが持ち出されたとしています。
10/23 報告の紀宝町の事例と同じく、「ブラストメール」への不正アクセスに起因する公表です。同サービスを利用中の組織は影響の確認を推奨します。
攻撃手法（確認済み）
外部の第三者がサービス提供元のAPI用サーバー2台に侵入してコマンドを実行し、販売管理システム及びサービスのデータベースに接続してデータを持ち出した。
攻撃手法（推測）
API用サーバーの脆弱性や認証不備が悪用された可能性があります。（根拠：外部の第三者がAPI用サーバーに侵入しコマンドが実行されたという記述から、APIサーバーにおける不正アクセスの発生が確認されています。）
自組織チェックポイント
外部に公開しているAPIサーバーや管理システムへのアクセス制御や脆弱性対策が適切に行われているか
