セキュリティ事案 2023年9月山形大学研究室Webサーバーへの不正アクセスによる個人情報漏えい

Security Incidents
毎日のように発生する事案について、新たに公表された事案をタイトルに示し、サイトに掲載されるお知らせへのリンクと事案の概要を月単位にまとめて示します。

今回の事案
山形大学の研究室のWebサーバー（学内で運用の模様）で利用しているCMS（コンテンツマネージメントシステム）が不正アクセスされ、サイトの改ざん、不正プログラムの書き込みが行われた事案です。同じサーバー内に150のWebサイトがあり、そのうちの2サイトに保管されている個人情報が漏えいした可能性があるとのことです。
CMSで複数サイトを一括管理することのメリットは大きいですが、CMS自体脆弱性を悪用されることが多く、被害が広がることを考えると、ある程度分けて運用する必要があると考えられます。
山形大学では昨年末にもほぼ同じ事案が発生しています。今回は被害が少なめで、対策として「コンテンツマネージメントシステムの利用時には、管理者及び運用責任者を登録制にすることで管理体制を強化」すると新たに示されていますが、そもそも、CMSで運用しているWebサイトに個人情報を保管しないことが望まれます。