個人情報が意図せず公開状態になっているWebサイトを発見、どう対処する？ 89
ストーリー by headless
発見 部門より
発見 部門より
本家/.「How Do You Handle the Discovery of a Web Site Disclosing Private Data?」より
私は最近、取引のある金融機関のパートナーWebサイトで、自分のものではない文書を簡単に閲覧できることに気付いた。URLに含まれる文書IDを変更するだけで、他人の計算書類が閲覧できてしまうのだ。認証などは必要なく、文書のURLだけでよい。クレジットカードの計算書を含む文書をアップロードする、オンラインリベートセンター(購入後に領収書などを送って値引きを受ける)のようなものだと考えてほしい。私はすぐにカスターマーサービスに電話し、(どう対処してよいのか当然わからずに)困惑した担当者と話をした。上司に代わるように頼み、上司は内容を把握して内部での調査を約束してくれた。私は折り返し電話をくれるように依頼したが、今のところ連絡はない。その間にも、私の個人的な財務情報は公開状態のままになっている。私はこの件に関して責任ある行動をとり、忍耐強くあろうとしているが、どのように行動すれば問題を早く解決できるのかについても考えている。スラッシュドットの皆さんなら、この問題にどう対処するだろうか。
IPAに連絡 (スコア:5, 参考になる)
http://www.ipa.go.jp/security/todoke/index.html [ipa.go.jp]
下手に直接連絡すると不正アクセスしたと訴えられかねん
Re:IPAに連絡 (スコア:3, すばらしい洞察)
基本的には個人で問い合わせるよりも、IPA経由の方が迅速な対応が期待できますね。
IPAでも最低限の確認はするでしょうから、サイト運営側も最初から信頼性のおける情報として接することができるでしょう。
Re:IPAに連絡 (スコア:1)
迅速云々よりも、少なくとも日本だとURLを手書きしてアクセスしたら不正アクセスになるから、自分の身を守るためにも対策が必要。
Re: (スコア:0)
不正アクセス防止法は「他人のアカウントを利用する」「本来権限のない情報にアクセスする」といった要件がある。
権限の設定が誤っている場合は対象にならない。
その情報の使い方によって業務妨害と見做されたりすることはありえることだが。
この場合はサイト管理者の方が個人情報保護法違反で刑事罰をくらう可能性がある。
Re:IPAに連絡 (スコア:3)
個人情報保護法に直罰規定はありませんよ。
Re: (スコア:0)
ここって、本質じゃないところにだけ食いつく人が多いよね。
文法エラーだけ指摘するコンパイラみたい。
Re: (スコア:0)
本質だろ？
お前が本質を知らないだけ。
Re:IPAに連絡 (スコア:1)
最終的にそうなるとしても、個人が企業から訴訟を受けるリスク考えるとどの道危ないんですよ。
無理解な企業も、警察も、司法も、皆が無知ゆえに敵となる場合がある。
Re: (スコア:0)
本気でそう考えてんの？
ちゃんとInternetExplorer6でサイトを巡回してるかい？
よくわからんブラウザで巡回してると、無知な企業から訴えられる可能性も、当然考慮してるよね？
Re:IPAに連絡 (スコア:1)
報告するときに身を守れって話なんだからIEだろうがなんだろうが関係ないよ。
無知な企業は自分の過失を他人の攻撃とか寝言ぬかして襲い掛かってくるから、
最低限IPAのような窓口を盾にして行動しないと責任転嫁の生贄にされかねない。
普段の巡回の場合、その手の技術に疎い連中はアクセス履歴を調査して異常を検出したり、
異常が起きた時の利用者を特定する技術にも疎いだろうから、システム落としたりしなけりゃ割と平気だろう。
被害者面した加害者がぶっ飛んだ行動するとLibrahackみたいな事件に至る場合もあるが、
あの場合はシステムダウンその他いくつか不幸な要素が重なった故の事故で、日常的に起こる事故ではない。
Re: (スコア:0)
無知なのはお前。
欠陥があったら違法行為をしていいなんてのはガキの理屈。
あんた自宅の鍵掛け忘れたら泥棒に入られても訴えないんだな？
確約できんの？
被害者の不注意は刑法犯を免責しない。
過失相殺があるのは民事な？
Re: (スコア:0)
道路交通法の場合だと、視認性の損なわれた標識に気付かず進入禁止に違反した件が不処分になってますな。
Re: (スコア:0)
道路交通法の場合だと、視認性の損なわれた標識に気付かず進入禁止に違反した件が不処分になってますな。
それは犯罪の故意が成立しないからだから。
避けることが不可能だから罰されないだけ。
不正アクセスは無理。
偶然じゃなく故意にアドレス探ってるからね。
不正アクセスしてしまう可能性を知りながらやってるから全く状況が違うから。
Re: (スコア:0)
そうだとすると、例えばGoogle検索で開いたページが「本来見えてはいけないアクセス制限されたページ」だったとしても、１発目はセーフになるのだろうか。
#単純に興味ある
Re: (スコア:0)
被害者側の瑕疵でアクセス制限が機能していなくても？
そこを無視できるようなことを言うからおかしくなる。
Re: (スコア:0)
未必の故意か重過失かはその時の状況による。
前後のアクセス履歴と付き合わせれば悪意を持って粗探ししてた証拠になるし。
悪意を持って検索し続けてて、後から「たまたま」と言い張っても無駄だから。
Re: (スコア:0)
アクセス制御が機能しているかどうかを決める権利は被害者にある。
加害者には無いから。
アクセス制御が完全に機能してなければ盗んでいいというのは犯罪者の論理。
アクセス制御をしようとしていた証拠があるだけで被害者は保護される。
法律には、アクセス制御機能の定義があるから。
お前の理想通りじゃなければアクセス制御ではないというのは法廷では通用しないから。
Re: (スコア:0)
故意でなければ。
基本的に過失は罰しない。
不正アクセス禁止法も過失は罰しない。
＃道交法の進入禁止は過失も罰するけど
Re: (スコア:0)
だから、鍵をかけるつもりがあったかどうかなんて本人にしかわからんだろ。
アクセス制御をするつもりがあったかなかったかではなく、アクセス制御があったかなかったかだ。
瑕疵でアクセス制御が機能していなかったならそれは「アクセス制御はなかった」だ。
Re: (スコア:0)
無理無理。仕様書出されて有罪確定。
Re:IPAに連絡 (スコア:1)
Librahack事件という汚点が日本の警察にはあるからねぇ。
Re:IPAに連絡 (スコア:1)
あとはACCS裁判とか。
Re: (スコア:0)
あれが有罪にならない国とかあんの？
ちなみにそれどこ？
Re: (スコア:0)
逆に、同じ類型の事件が起きて、実際に有罪判決が出ている国ってそんなに一般的なの？
Re: (スコア:0)
URLとパスワードに法的な区別があるのか思っちゃったの？
法律にパスワードって言葉でも出てくると思っちゃったの？
Re:IPAに連絡 (スコア:1)
逆に、同じ類型の事件が起きて、実際に有罪判決が出ている国ってそんなに一般的なの？
U.S. C. § 1030 a.k.a. CFAA
(a) Whoever—
(2)intentionally accesses a computer without authorization or exceeds authorized access, and thereby obtains—
(C)information from any protected computer;
https://www.law.cornell.edu/uscode/text/18/1030 [cornell.edu]
Re: (スコア:0)
法律にはアカウントなんて概念は出てこないけど。ちゃんと読んで来いよ。
「他人の識別符号を入力して当該特定電子計算機を作動させ、当該アクセス制御機能により制限されている特定利用をし得る状態にさせる行為」に相当するので違法だよ。
識別符号はIDともパスワードとも限らず、Cookieや、URL中のセッション番号でも良い。
そしてアクセス制御機能は設計されている証拠があれば、欠陥があろうとも無かろうともアクセス制御機能が成立し、不正アクセス禁止法で保護される対象になる。
アクセス制御機能に欠陥があるなら保護されないなんて理屈が通るわけ無いだろ？
有罪になる人間が居なくなる。
Re:IPAに連絡 (スコア:2)
細かく条件はありますが、とりあえず「識別符号」とは、「当該アクセス管理者によってその内容をみだりに第三者に知らせてはならないものとされている符号 」のようです。
大抵の場合、利用規約でパスワードは利用者の責任で秘密にすることが求められていますが、Cookie やセッション番号についても秘密にするように言及されているものも多いのでしょうか?
Re: (スコア:0)
アクセス制御機能は、わずかにでもアクセス制御機能として設計された痕跡があれば成立するから。
完璧に機能しなければアクセス制御機能では単なる無いなんてのはお前の思想であって、他人に押し付けるなよ。
お前の思想に合わない相手からは情報を盗んでいいのか？
法律には「完璧に機能しないものはアクセス制御機能ではない」なんて書いてないからな。
Re:IPAに連絡 (スコア:1)
やっぱちゃんとした組織に言うしかない。
むしろこんなとこ（スラド本家）で話題にしたら、いざ問題が公になった時投稿者まであらぬ疑いをかけられかねない。
「（何とはいわず）セキュリティ問題を見つけたがどこに連絡すればいいか」と聞けばいいのだから。
Re: (スコア:0)
内部で見つけた場合は巫女メソッド
外部で見つけた場合は巫女メソッドに期待
SNSで巫女メソッド見かけたら援護
# 炎上必死
Re: (スコア:0)
関連ストーリーが山ほど貼ってあるのに含まれていなかったからリンクしておこう
巫女SE、脆弱性のあるサービスを独断で停止し、あわや警察沙汰に [security.srad.jp]
もう一つ
http://srad.jp/~ymitsu/journal/575521/ [srad.jp]
あとreo氏のコメントも
Re: (スコア:0)
個人がやったら不正アクセスになることでもIPAがやったらならないなんてことは一切ないのに不思議な話だ。
大事なことだからもう一度言うがIPAには不正アクセスの調査に関して別に警察のような特別な権限は一切与えられていない。
Re:IPAに連絡 (スコア:2)
IPAは、届出を受けた脆弱性情報について、必ずしも実際に当該脆弱性にアクセスして確認しているわけではないと思いますが、仮に当該脆弱性にアクセスする行為があったとしても、一般人よりは違法性が阻却されるとの評価を受けやすいように思いますよ。
IPAの脆弱性情報受付業務は、法令に基づいて行っているわけですから。
Re: (スコア:0)
法に定められた正当業務行為だから問題ないね。
Re: (スコア:0)
このツリーにもいっぱいコメントが付いているような知ったかぶりから身を守るのに極めて有用。
Re: (スコア:0)
権限の問題じゃなくて、身分の問題です。
セキュリティ問題に無知な民間企業の担当者が
1.どこの馬の骨とも知れない個人に脆弱性を指摘された
2.公的機関に脆弱性を指摘された
指摘した相手が個人の場合、聞く耳持たずに犯罪者扱いする危険性が高いってこと。
逆に、役人の言うことなら聞き入れるって人はそれなりにいますからね。
放置します！ (スコア:2)
＞URLに含まれる文書IDを変更するだけで
この操作が、不正アクセスと見なされかねないので、直接連絡はしません。
IPAも、匿名での通知は受け付けていないらしいので…
http://www.ipa.go.jp/security/vuln/report/sample_web.txt [ipa.go.jp]
自分の文書を削除してアクセスできない事を確認したら、そのまま放置、かな？面倒だし。
（削除後も見れるようなら、削除されるまで苦情をいれるけど）
# 匿名で掲示板に公開ってのが、実は一番効果があるのかも。情報は漏れるけど
# tor経由で、どっかの掲示板に書き込むのが正解なのかも。
notice : I ignore an anonymous contribution.
Re: (スコア:0)
URLでのアクセスだから、それだけで元データを削除するのは不可能でしょう。
もし可能でも、それこそ不正アクセスです。
この情報って、解約したら消えるとは限らないし、
「『こうしたら』見えるんで削除してくれ」というのも問題だし。
>匿名で掲示板に公開
むしろ何かあった時に犯人にされちゃうよ。
意図していないのだろうか (スコア:2, 興味深い)
意図して公開しているとしたら、指摘するだけ野暮かもしれない。
と思ってしまい、指摘できない。
ググる様で自分を検索 (スコア:1)
公官庁関係(*.go.jp)にページに
・氏名
・メアド
・住所
・電話番号
などがバッチリ出ていて、怖くなって直接連絡しました。
ある展示会のアンケートの結果で、百数十名が羅列されていました。
こちらは実名で本アドレスで連絡しましたが、一ヶ月以上対処がなされず。
その後、削除されましたが、謝意もなくなんだかなあと憤ったことを思い出しました。
自分とこのシステムで見つけた場合 (スコア:1)
どうすればいいものか、
というか、実際に過去に見つけたのだが、自社担当部分じゃない箇所ではあったにも拘らず、上司は
「うちの責任だと誤解されるから客には報告しなくていい」
と。
しょうがないからボランティアで修正しときましたが。
まぁ、こういう意識では日本ではセキュリティ意識はなかなか育たないですよね。
別ストーリーで公認ハッカー(使い捨て)みたいな話もあるし。
Re: (スコア:0)
担当会社にぶん投げろよ…
客を挟んで対処させたり、横殴りに修正するのはそれ試してからでいい。
てかその辺始末付けとかないとロールバックされる恐れもあるんじゃ？
困難は分割して考えては。 (スコア:1)
私ならこの内容を次のように二つに分けて考えます
１ 自分の情報が承諾のないまま公開されているということ
２ 他者の情報を閲覧しうるということ
１については、情報の掲載者に対して通知をします。
削除せよ、対策を講じろなど、状況によっていろいろでしょう。
２については少しやっかい。
そもそも「閲覧しうる」というのをどうやって確かめたのか聞かれたらなんて答えるんでしょう。
「たまたま」見えたと言っても「文書IDを変更する」という行為の正当性の証明が難しいですね。
まあ、IDを打ち間違えた、とでも言うしかないでしょうが、うっかりすると不正アクセスととられかねません。
「こうすれば見えるはず」という可能性を指摘しただけで実際に行ってはいない、というのは少し無理があるかな。
この場合とは違いますが、制限がありそうにみえてその実、URLを知っている人なら誰でも見られるサイトはけっこうありますね。
たとえばYouTubeの限定公開も、制限があるわけじゃなくてURLを知っていれば誰でも見ることができますよね。
「限定」の言葉でセキュリティがかかっているように誤解する人もいると思います。
---- sinbo
魚拓取られてTwitterでリーク→ニュー速にスレ立て (スコア:0)
されちゃうのが悲しいけど今の時代なんだよね
アメリカなら「あなたに連絡したタイミングでcnn/abc/nbc/cbnにも伝えておきました」 (スコア:0)
って言ったらアリじゃないかしら？
発想の転換 (スコア:0)
盗む側に回る
いや盗むって言わないよな
落ちてるものを拾っただけ
Re: (スコア:0)
落ちてるのかどうかを決める権利はお前には無い。
Re: (スコア:0)
いや、よく考えたら拾った事にすらならない
元のものは元の場所にそのまま残っているわけで
すごいな。丸儲けじゃないか・・・
サイト運営者に教えてやる義理なんて無いだろ
Re:発想の転換 (スコア:1)
後から不正アクセスが発覚した時、遡って最初に不正アクセスした奴も捕まるだけだけど。