# クイック（4318） 弊社運営の看護師および看護学生向けコミュニティサイト「看護roo!」への“なりすまし”による不正アクセスについて【第3報】

Source: Komori (komori.app) — https://komori.app/company/4318/disclosure/20220706596050
種別: 発生事実
開示日: 2022-07-06
Komoriの読み（0-100）: 59
企業ページ: https://komori.app/company/4318

## 何が変わったか

看護師・看護学生向けサイト「看護roo!」への不正アクセスについて、外部で不正入手されたID・パスワードによる攻撃だったと調査結果を確定した。27,196アカウントが不正ログインされ、1,878アカウントで652,004ポイントが不正使用されたため、対策と被害補填を進めている。

## 会社が挙げた理由

外部で不正に入手されたID・パスワードのリストを使ったパスワードリスト攻撃。WAFは攻撃頻度が検知閾値を下回ったため、検知・遮断できなかった。

## 開示の要点

- 事象の名称: 弊社運営の看護師および看護学生向けコミュニティサイト「看護roo!」への“なりすまし”による不正アクセスについて
- 発生日: 2022年4月10日（日）AM 00：12（パスワードリスト攻撃開始日）。ポイント交換は2022年4月10日（日）AM 00：50から発生
- 認知日・通知受領日: 2022年5月16日（月）AM9:36に登録顧客からポイント使用について複数の問い合わせを受け、社内調査を開始
- 対象となる主体: 株式会社クイック
- 対象拠点・対象製品: 看護師および看護学生向けコミュニティサイト「看護roo!」
- 原因: 外部で不正に入手されたリストを用いたパスワードリスト攻撃。WAFは攻撃速度が検知閾値を下回ったため検知・遮断できなかった
- 業績への影響額: not_disclosed
- 計上する会計期間: not_disclosed
- 業績予想への影響: not_disclosed
- 訴訟・手続きの種類: 警察への届出
- 裁判所・当局: 警察
- 原告: not_disclosed
- 被告: not_disclosed
- 提訴日・処分日: not_disclosed
- 請求額・課徴金額: not_disclosed
- 回収不能または回収遅延のおそれが生じた債権の額: not_disclosed
- 停止した業務: 当該サイトの公開を2022年5月16日PM12:00から一時停止
- 再開予定日: 2022年5月23日（月）に再度公開済み
- 調査体制: セキュリティ専門の第三者機関の協力を得て調査。2022年5月17日に詳細調査・安全対策の協議を開始し、2022年6月1日に被害状況調査を開始
- 再発防止策: ・当該サイトのパスワードポリシーの強化
・認証画面における reCAPTCHA（リキャプチャ）の導入
・ご登録いただいているすべてのお客様のパスワードをリセット
・再攻撃に備えた重点的な監視策を強化
・同一 IP アドレスからの高頻度のアクセスを遮断
・メール/ショートメッセージを用いた二段階認証の導入
- 役員の責任: not_disclosed
- 異動前の議決権所有割合: not_disclosed
- 異動後の議決権所有割合: not_disclosed
- 今後の見通し: 被害が確認できた顧客への個別連絡、不正利用ポイントの損失補填、セキュリティレベルの向上および管理体制の強化を実施。警察に届け出て必要な対処を要請中
- 続報の予定: not_disclosed

## 評価の根拠

- この事象は損失をもたらすものか、利益をもたらすものか。: 小幅な下振れ（原文: 「「第三者によるポイントの詐取が発生」「不正使用されたポイント数：652,004ポイント」」）
- 示された影響額は、会社の利益・売上の規模に対してどの程度か。: 相対規模は不明（原文: 「「不正使用されたポイント数：652,004ポイント」」）
- 影響が及ぶ範囲はどこまでか。: 個別の事項（原文: 「「弊社が運営する…コミュニティサイト『看護roo!』」」）
- 出荷・生産・販売の停止、拠点の閉鎖、サービスの停止が生じたと書かれているか。: あり（原文: 「「被害拡大の防止と被害範囲の特定、原因調査のために当該サイトの公開を一時的に停止」」）
- 継続企業の前提、債務超過、上場維持基準、債務の履行のいずれかに言及があるか。: なし（原文: 「該当する記載は本文にない。」）
- 影響額の開示状況はどれか。: 確定額あり（原文: 「「ポイントが不正使用されたアカウント：1,878件」「不正使用されたポイント数：652,004ポイント」」）
- 影響がどの会計期間に計上されるかが明示されているか。: あり（原文: 「「2022年4月10日（日）AM 00：12 ～ 2022年5月16日（月）PM 12：00」」）
- 事象の発生日または会社が認知した日が、特定の日付で示されているか。: あり（原文: 「「5月16日（月）AM9:36」「2022年4月10日（日）AM 00：12」」）
- 相手方・対象拠点・対象製品・対象契約が固有名で特定されているか。: あり（原文: 「「看護師および看護学生向けコミュニティサイト『看護roo!』」」）
- 主要な事実に数値と時期がついているか。: 数値と時期あり（原文: 「「不正ログイン試行回数：68,821,639回」「ログインされたアカウント数：27,196件」「2022年4月10日…～2022年5月16日」」）
- 肝心の数値を、別紙・同日開示の他資料・決算短信に委ねているか。: なし（原文: 「本文の「３．被害状況」に被害数値が記載されている。」）
- 事象はどこまで収束しているか。: 対応中（原文: 「「調査が完了したため、調査結果および再発防止に向けた取り組み」「今後実施予定の対策」「必要な対処を要請中」」）
- この書類は、この事象についての何度目の開示か。: 決着の報告（原文: 「表題「…不正アクセスについて【第3報】」「この度…調査が完了したため」」）
- 前回の開示と比べて、事象は拡大したか、収まったか。: 前回より収束（原文: 「「2022年5月23日（月）…当該サイトを再度公開」「被害状況調査が完了」」）
- 続報の予定はどう書かれているか。: 続報に触れず（原文: 「続報の時期に関する記載は本文にない。」）
- 第三者委員会・特別調査委員会・外部専門家の関与が示されているか。: あり（原文: 「「セキュリティ専門の第三者機関の協力のもと進めてまいりました調査が完了」「第三者機関より被害状況調査報告を受領」」）
- 影響についての記述はどれだけ断定的か。: 概ね断定的（原文: 「「本事象は…パスワードリスト攻撃であったと結論付けました」「閲覧された恐れのあるユーザー情報」」）
- 事象の原因はどこにあるか。: 外部要因（原文: 「「外部で不正に入手されたリストを用いたパスワードリスト攻撃」」）
- 事象はどの主体で起きたか。: 提出会社（原文: 「「弊社が運営する…コミュニティサイト『看護roo!』」」）
- 当局から期限付きの報告・改善義務が課されたと書かれているか。: なし（原文: 「当局による期限付き義務の記載は本文にない。」）
- 自社の開示手続きについて、この書類は何を認めているか。: 過去の開示を訂正（原文: 「「第2報では、試行回数138,338,195回、ログイン数60,518回と記載していましたが…訂正いたしました」」）
- 再発防止についてどこまで書かれているか。: 具体的な再発防止策（原文: 「「実施済みの対策」「今後実施予定の対策」に具体的な施策を記載。」）
- 役員報酬の減額、処分、辞任など、責任の所在に踏み込んだ記載があるか。: なし（原文: 「役員の責任に関する記載は本文にない。」）
- 株主・顧客・関係者への謝罪の文言があるか。: あり（原文: 「「お客様に対しご心配おかけいたしましたことを、深くお詫び申し上げます」「多大なるご心配とご迷惑をおかけいたしましたことを、改めてお詫び申し上げます」」）