「「Ameba」オフィシャルブログ、不正アクセス被害」記事へのコメント

奇特な失敗の事例？

[Anonymous Coward]

無いとは思いたいけども、どっかの段階で悪意が紛れ込んでんじゃないかと疑ってしまう程の、奇特な段階を踏んだ流出事故だと思う。

一体、何をどういった手順で「お年玉～」とする予定だったのが、どこをどう間違えて、ヤバいファイルを public なサーバに置いて、よせばいいのにご丁寧にリンクまで張ってしまったんだろうか。

大抵、こういったページの構築って、DBに公開予定ファイル名とかを置いておいて、バッチが走って固定 HTML を生成したりするもんだよね。
ちゃんとするなら、一旦ステージング用の非公開サーバで実際にバッチを走らせて、HTMLを確認したりするよね（ステージングという言葉は使わないにしても「リハーサルサーバ」だとか、あるいは考え方自体を分ける会社さんもあるけど）。
そのどこかで誰かがミスったんだとは思うけど。

ぜひ失敗知識DBにまとめて欲しい。

普通の嫌がらせ犯罪では？

[Anonymous Coward]

こういうことでしょう。普通に悪質な犯罪です。きちんと犯人を捕まえて処罰するべき。

1. サイバーエージェントのが機密ファイルの適切な管理を怠った。（担当者がUSBメモリを紛失したとか、ハードディスクを消去せずにPCを廃棄したとか。）
2. 犯人が、たまたまそれを拾得した。（USBメモリを拾ったとか、中古屋PCを買ったと か。）
3. 犯人が、サイバーエージェントの機密ファイルを見て興奮。犯行を計画。元旦に実行するため、お年玉画像などを用意する。
4. 犯人が、当該Excelファイルをアップローダにアップロードし、あちこちの芸能人ブログに不正ログイン（不正アクセス禁止法第三条違反、1年以下の懲役）して改竄（電子計算機損壊等業務妨害罪、3年以下の懲役）し、アップローダの当該ファイルにリンクした。

Re:普通の嫌がらせ犯罪では？

[hiddenangel (14285)]

この流れですよね。

1.サイバーエージェントが不適切なパスワード管理をしていた
　（平文のパスワードファイルをサイバーエージェントが作成して持っていた、という問題
2.元のファイルが何らかの方法で第三者に渡った
　（業務用のファイルの管理が不適切だった
　（平文でパスワード管理するのとは別の問題
3.入手した「第三者」がブログの改竄を行った
　（「第三者」による不正アクセス
4.ブログ改竄により、元のファイルが回収不可能な形で出回った

「流出」という単語でつい4番をイメージしますが、2番が真の問題でしょう
2番が発生したときに大事に至らないように1番をしないことも普通に行われることです。
3番は単に犯罪ですね、この場合。