e-Taxが不審な通信を検知して11月4日に止まり、11月5日に再開しました。国税庁は、納税者の情報は漏えいしていないとしています。
11月が期限の中間申告では、e-Taxのお知らせと用紙の発送も遅れています。今日は経理に声をかけたい日です。
不正アクセスではもう1件、消防庁の安否情報システムが止まりました。漏えいについて、消防庁と委託先の発表は言い方が違います。ほかに3件、情シスに関係する発表があります。1
国税庁
e-Taxが不審な通信で停止、11月5日に再開（11月4日、5日）
国税庁は、11月4日にe-Taxで検知した不審な通信への対応で機器のメンテナンスに入り、安全性の確認が済んだとして利用を再開しました。「納税者の情報は漏えいしていないことを確認しております」とあります。ただ、通信の中身、調べた範囲、止まっていた時間は書かれていません。
このあいだに申告や納付を送ろうとした会社は、受信通知で完了を確認しておくのが無難でしょう。
中間申告のお知らせは11月9日ごろ、用紙の発送日は未定（11月5日）
国税庁は同じ11月5日、11月が申告・納付期限の法人に送る予定申告書、中間申告書、納付書の発送が遅れていると知らせました。e-Taxのお知らせは11月9日ごろの予定で、用紙の発送日は改めて知らせるとしています。期限の扱いと原因には触れていないので、e-Taxの停止や9月からの税務署の窓口の遅れと関係があるのかは分かりません。
3月決算の会社なら、法人税の中間申告の期限は原則として11月30日（月）です。税額の出し方や納付書なしの納め方は、ベンチャー・スピリット！の記事で確認できます。
情シスが見るのは、お知らせの受け口です。前期にe-Taxで申告した法人には法人税の用紙がもともと届かず、お知らせが頼りになります。その通知先が退職者や使われていない共有アドレスだと、だれも気づきません。
サブメールアドレスを足せば、複数のアドレスで受けられます。
偽メールにも気をつけたい時期です。国税庁は10月16日にe-Taxを装うメールへの注意を更新しており、送信元の表示を「e-Tax」に装う例が挙がっています。本物の「税務署からのお知らせ」は、原則として本文にURLがありません。リンクを開かずe-Taxにログインして見ると決めておけば、迷わずに済みます。
もう1つ、お知らせの詳細を読むには電子証明書の認証が要ります。メールが届いても、当日に開けないことがありそうです。
総務省・消防庁
安否情報システムに不正アクセス、サービスを停止（11月5日）
消防庁が運用する「武力攻撃事態等における安否情報収集・提供システム」に第三者が不正にアクセスしたと、消防庁が発表しました。運用保守の委託先である富士ソフトから報告を受けたもので、同社も同じ日に発表しています。消防白書によると、地方公共団体の職員らが避難所や病院で集めた安否情報を入力し、全国で検索できるシステムです。
2つの発表は、漏えいの書き方が違います。
| 項目 |
消防庁 |
富士ソフト |
| 個人情報の漏えい |
「現時点において、個人情報の漏えいがあったとは確認されておりません」 |
「個人情報の漏えいはないことを確認しております」 |
| 原因 |
委託事業者が調査中 |
記載なし |
| システムの状態 |
影響範囲の調査のためサービスを停止し、外部からのアクセスを遮断 |
検知後、外部からのアクセスを遮断 |
| 不正アクセスの時期と検知した日 |
記載なし |
記載なし |
「確認されていない」は調査の途中の言い方で、「ないことを確認」は結論の言い方です。影響範囲の調査が続いている以上、いまは消防庁の文で読むのが無難でしょう。
自社の委託先から「漏えいはありません」と届いたときも、同じ差が出ます。委託先の事故の図解にあるとおり、TKCは10月30日に「情報漏えいはない」と報告を受け、同じ報告が姫路市にも入りましたが、11月2日に覆りました。
何を調べてそう言えるのかを聞き、社内の記録には「現時点で確認されていない」と残しておくと、あとで書き直さずに済みます。
統計局をかたるメール、今度は「特別協力金」（11月5日）
総務省は11月5日、統計局をかたるメールへの注意喚起を更新しました。6月は「国勢調査 回答期限のご案内」でしたが、今回は「回答の依頼」「回答の修正の御案内」「特別協力金のお受け取り手続きの御案内」「調査員による自宅訪問」の4種類が挙がっています。国勢調査は、いま実施されていません。同じページの更新は3月30日から数えて今年5回目です。
見分ける材料は、同じページの「総務省統計局がメールからのリンクによって直接回答を求める調査は存在しません」の一文です。経済センサスのように本物の依頼も届く総務や経理には、とくに使えます。ただし統計局に限った文で、ほかの省庁の調査には当てはまりません。
JVN
SHIRASAGIにOSコマンドインジェクション、修正はv1.21.1（11月5日）
CMSのSHIRASAGIに脆弱性が2件あり、v1.21.1で修正されました。重いのはOSコマンドインジェクションで、CVSS 3.0の基本値は8.8です。もう1件はXSSで、JVNに悪用の記述はありません。
開発元の説明を読むと、狙える人はかなり絞られます。OSコマンドのほうは、オープンデータが構築されたサイトで、データセットとハーベストを管理する権限でログインできることが条件です。v1.18.2以前には存在しません。XSSは、広告を管理する権限でのログインが条件です。
更新の日を決めるまでは、この2つの権限があるアカウントを見直しておくと、攻撃できる人を減らせるはずです。v1.14.2以前から上げるときは、開発元が非互換に注意を促しています。
Siemensの更新4件、中身が変わったのはビル管理のDesigo CCとNode-RED（11月5日）
JVNVU#98354779には、11月5日の時点で更新された4件が載っています。読むのは2件で足ります。
Node2Shellの勧告は11月4日の改訂でビル管理のDesigo CCを対象に加え、直し方はWindows Updateでの.NETの更新としました。Node-REDの勧告は対象の一覧と題を改めています。機種は先日の記事で確認できます。
PHP2Shellの1件は影響なしの製品の追加で、もう1件は履歴の修正です。
気になるのはDesigo CCです。設備の端末は情シスの更新の対象から外れていることがあるので、Brotliの.NETの修正が届いているかは、設備の担当に聞くまで分かりません。
IPA
CBTの3試験は1月下旬に再開の予定、年内のバウチャーは持ち越せない（11月5日）
ITパスポート、情報セキュリティマネジメント、基本情報技術者の3試験は、3月の案内のとおり12月28日から休止します。今回は、再開が2027年1月下旬の予定で、申し込みの受け付けは1月中旬以降と示されました。
会社で気をつけたいのはバウチャーです。未使用の分は再開後の試験の申し込みに使えず、受けられなくても返金や有効期限の延長はありません。
有効期間は発行日から6か月で、一律に12月27日までとなるのは6月28日以降の発行分です。それより前に発行した券は、もっと早く切れます。購入の受け付けは7月31日で止まっているので、買い足しもできません。
受験の予定を組み直すなら、2027年度に8区分へ変わる予定も一緒に見ておくと二度手間になりません。応用情報技術者試験の申し込みは、明日11月7日の17時までです。
うちの会社に関係するのは、どの件か
- e-Taxの停止は、11月4日から5日にかけて申告や納付を送ろうとした会社です。
- 中間申告の遅れは、11月が期限に当たる会社です。3月決算の会社が中心で、消費税の中間申告がある会社は決算月によって当たります。
- 消防庁の件で、一般の会社に今日の作業はありません。会社が契約する安否確認サービスとは別のシステムです。地方公共団体は、停止中の手順を国民保護の担当に確認します。
- 統計局のメールは、全社が相手です。
- SHIRASAGIは、使っていなければ作業はありません。ただ、サイトの保守を任せている会社は、委託先に聞くまで分からないでしょう。
- Siemensの件は、工場やビルの設備に対象の機器がある会社だけです。
- IPAの件は、社員に受験を勧めている会社と、バウチャーをまとめて買った会社です。
今日やること、月曜に見ること
- 経理に「11月が期限の中間申告はあるか」「e-Taxの通知先はどのアドレスか」を聞きます。顧問税理士に任せている会社は、税理士に通知が届く設定かも確認してもらいます。
- 通知先が古ければ、部署の共有アドレスをサブメールアドレスに足します。
- 経理に、11月9日ごろのメールはリンクを開かずe-Taxにログインして見ると伝えます。電子証明書で認証できるかも今日のうちに確認し、9日に届かなければ翌日も見ます。
- 社内に一文を流します。「総務省統計局をかたる国勢調査のメールに、総務省が注意を呼びかけています。特別協力金の受け取りや調査員の自宅訪問を案内するものもあります。国勢調査はいま実施されていません。回答せず、情シスへ転送してください」。
- 自社サイトのCMSがSHIRASAGIかどうかを、保守の委託先に聞きます。そうなら、版、オープンデータの使用の有無、v1.21.1へ更新する日を確認します。
- 人事か総務に、IPAのバウチャーの残り枚数と券ごとの有効期限を聞きます。余っていれば、期限までに受ける人と席を決めます。
- 工場やビルの設備の担当に、Desigo CCとSIMATIC IoT2050があるかを聞きます。
申告は経理の仕事で、情シスの持ち場ではないと思うかもしれません。でも、e-Taxの通知先のメールアドレスを最後に直したのがだれか、社内で答えられる人は多くないはずです。今日のうちにメールを1通送って聞いておくと、月曜に慌てずに済みます。
