2024年2月20日

お客様各位

当社で発生したRAGサービスへの不正アクセスについて

当社が提供しているRAG（Retrieval-Augmented Generation）サービスの稼働環境であるパブリッククラウド環境において、第三者による不正アクセスを受ける事象が発生しました。本件につきまして、下記の通りご報告申し上げます。

【概要】
当社が管理するパブリッククラウド上のシステムで使用しているアクセスキーが不正に使用され、パブリッククラウド上のユーザーアカウントおよび仮想通貨マイニング目的と思われる高スペックなサーバーインスタンスが不正に作成されました。
現在は、不正に利用されたアクセスキーの削除、不正に作成されたユーザーアカウントの削除、およびサーバーインスタンスを停止しており、元の状態に復旧済みです。

【不正アクセスの期間】
2024年1月25日～2月13日

【影響を受けたサービス】
RAG with GPTオプション

【情報漏えいの有無】
パブリッククラウドの監査ログの解析の結果、ストレージサービスおよびデータベースサービスへの不正アクセスの痕跡がないため、お客様データの漏洩の可能性は極めて低いと判断しています。万全を期するために第三者調査会社へ調査を依頼し、情報漏洩の可能性について継続して確認を進めております。確認結果につきましては、あらためてご報告致します。

【その他サービスや当社の社内環境への被害】
本環境は、他のネットワークと完全に分離された専用環境であるため、その他サービス等への不正侵入の被害はございません。

【原因】
パブリッククラウドのアクセスキーの不正利用

【再発防止策】
以下の再発防止策を実施済みです。
①    不正に利用されたアクセスキーの削除
②    不正に作成されたユーザーアカウントの削除
③    不正に作成されたサーバーインスタンスの停止
④    当社全ユーザーのパスワード変更、ＭＦＡ（二要素認証）の適用
⑤    当社ユーザーのアクセスキーの削除および、更新
⑥　アクセスキー取り扱い管理方法について、運用ルールを策定の上、ルール遵守を徹底致します。

【本件に関するお問合せ先】
お問い合わせ窓口：ragopt_cs@ndisol.com

安心、安定したサービス提供を行うため、再発防止を含めたセキュリティ強化に全力で取り組んで参ります。

以上