三菱マテリアルがファイル丸出しで顧客情報漏洩 122
ストーリー by Oliver
歴史は繰り返す、何度でも 部門より
歴史は繰り返す、何度でも 部門より
Anonymous Coward曰く、"一昨年多発したファイル丸出しが原因の顧客情報漏洩事故（ストーリ1、ストーリ2）と同様のケースが久々に発生した。日経IT Proの記事によると、三菱マテリアル社の純銀粘土を販売するウェブサイトに送信された注文情報が、「階層の深い，あるURL」（同社広報IR室の表現）を指定することで閲覧可能になっていたとされている。実際には /cgi/ のディレクトリ以下がすべて丸出しになっていたため、階層の深いURLへはリンクを辿って閲覧できた。同社の発表「純銀粘土のネット販売における顧客情報流出のお詫び」によると、「純銀粘土に限定されたものであり、純金積立やジュエリー、純金カードなど他の事業の顧客・会員情報は含まれておりません。」とされている。しかし、遅れてメンテ中になった純金カードのお問い合わせ・カタログ請求の画面の送信先も、/cgi/demand/demand.cgi という場所になっており、こここも丸出しだったことが２ちゃんねるで指摘（dat落ちのため読めない）されており、純金カードの請求者情報が本当に漏れていないのか疑問である。"
対応が遅いな・・ (スコア:4, おもしろおかしい)
05/03 22:45。
三菱マテリアル記事 [mmc.co.jp]によると
5/6朝の8時に某チャットの書き込みでやっと気づいてますね。
朝から何してらしたんでしょうか
Re:対応が遅いな・・ (スコア:2, 興味深い)
先日もこんなふうにデータもCGIもいっしょくたにインストールする奴が居てサー。 /cgi-bin/ に入れてくれよって言っても「出来ません」とか答えるんだよ。 おまえらの「出来ません」「わかりません」でどんどん世の中が悪くなる。 死ね。
Re:対応が遅いな・・ (スコア:1)
Re:対応が遅いな・・ (スコア:2)
データファイルを".cgi"として作成するだけでは何か穴あるでしょうか？
#うちのサイトの掲示板の記事ファイルがそうなんですけど…
ん？ 俺、今何か言った？
Re:対応が遅いな・・ (スコア:3, 参考になる)
サーバーのOSとファイルの置き場所とパーミッションによっては、
今回の話題の三菱マテリアルと同じように中身ばっちり丸見えと
いうこともあります。
掲示板のスクリプトの内容次第では、ACCSとOffice氏の事件の時の
ように、ちょっとヒネったやり方で見えることもあります。
つまり、その行為は全然安全にはつながる行為ではないと
いうことです。
Re:対応が遅いな・・ (スコア:1)
ありがとうございます。
データファイルを抜く具体的な方法というのが知りたいですが、自分で調べてみます。まぁ、危険ということがわかっただけでも、今後の自分のサイトのCGIへの意識が高まりました。
ん？ 俺、今何か言った？
Re:対応が遅いな・・ (スコア:1)
Re:対応が遅いな・・ (スコア:1)
でもホントいうと、近くサイトのリニューアル考えていて、CGIも作り直そうかなぁって思ってたんで興味本位で聞いてみただけです。homepage@Niftyなのでどうしようもないんですけど。
ん？ 俺、今何か言った？
Re:対応が遅いな・・ (スコア:1)
Apache の入れ換えで設定がデフォの「ExecCGIがoff」に戻って死亡
というケース(以下略
Re:対応が遅いな・・ (スコア:3, 参考になる)
<Files "data.dat">
deny from all
</Files>
のようにしてアクセスそのものを拒否するということです。
もちろんhttpd.confが編集できるならそれでもよいのですが。
Re:対応が遅いな・・ (スコア:3, 興味深い)
Apache の入れ換えで設定がデフォの AllowOveride none に戻って死亡
というケースは良く見掛けるんだよな。
Re:対応が遅いな・・ (スコア:1)
開発時に何も考えずに公開部分にデータを置いた。
後から問題に気づいたが、置き場所を変えるには
全てのプログラムファイルを変更、テストしなければならない構造になっている。
Re:対応が遅いな・・ (スコア:1)
「そんな所」以外の場所に置ける権限が、設置者に無い場合とか。
。。。いや、今回のケースがそういう状況だったかどうかは知らんのですが (^_^;。
# そもそもそんなホスティングサービスを個人情報扱うサーバーに使うなと言うお話?
むらちより/あい/をこめて。
Re:対応が遅いな・・ (スコア:1)
フォルダーを作らないといけない、だということで、
CGIもデータも同じフォルダーに入れて、個別に
アクセス権を設定しているところが多いんじゃないの。
それで、ローカルから転送した後アクセス権の変更し忘れ。
Re:対応が遅いな・・ (スコア:1, すばらしい洞察)
Re:対応が遅いな・・ (スコア:3, 参考になる)
仕事でサーバをちょこちょこ発注しています(自分でも作れるけど会社の方針で外注)。
いわゆる大手メーカーのSI屋に発注するのですが、 設定が緩いよ。
こっちも機能に関する要求はきめ細かく書くし、 ちゃんとチェックするけど、セキュリティ周りや準正常系の 動作って要求しにくいんですよね。そのせいかSI屋も めっちゃ適当に作るし、こっちもちゃんと評価やチェックできる 人材が少ない。もちろん上司なんかは、そういう周りの細かいのを 知っているはずもない。
正直、SI屋もデフォルトの設定より変更するのをいやがるし、知らない。solarisなんて沢山変更が必要だし(変更すれば幾らでもセキュアに出来るのがsolarisの良いところ)、各種デーモンのchrootとか必要だよね。FWなどパケットフィルタなんか全てのサーバに入れると思うのだけど、上位のL3SW or LBの一点入れただけで何で良いとするかなぁ。こっちの運用方針を聞き取りもしないでよく決めるよな。
2004年にもなって新規作成のサイトでXSS対策すると工数がかかるとか言う所はどうにかなりませんかね。そこの会社はお金によってはXSSを考慮しないサイトを今でも構築しているんですかね。
そういうSI屋が納品するサーバをチェックする要員がいなそうな公共団体。そういうところにもシステムを収めているかと思うと恐いです。
正直、この業界は急成長しすぎちゃっていますね。分かる人材が貴重過ぎるし、そういう人材を正当に評価できていない。
自分も資料作って周りの人に迫ることをあまりしていないので、それについては反省しつつ、改善することが今年度の目標です。
三菱マテリアルのような、恥ずかしいことが減りますように、がんばりましょう。
こんなサービスもあることだし (スコア:4, 参考になる)
実際、今回のような言い逃れしにくいケースなんかだと、外部コンサルに全権を委任するぐらいの方がいいのかも知れず。
そのうち「また判で押したような対応かよ！」みたいな非難が起こるとは思うが。
---- 何ぃ！ザシャー
Re:こんなサービスもあることだし (スコア:1)
＃その名簿って利用価値あるのかな
Re:こんなサービスもあることだし (スコア:1)
漏洩を予防するサービスも行うと書いてあります。
まぁ、両方セットじゃなくてバラバラでのサービスっぽいので漏洩後の事後対応を行うサービスの方が申込が多そうな気もしますが。
日曜CGI作家のシェア料金稼ぎ (スコア:3, 参考になる)
ウェブ・ストアー [スタンダード・エディション] [webpower.jp]
ダウンロードしてマニュアル（ReadMe/install.html）を読んでみると、こう書かれていて、セキュリティのリスクは説明されていません。
private_html/ (WWWから直接参照できないディレクトリ)
(可能な場合は"data"ディレクトリはここに設置。CGIの初期設定も変更要)
data/
public_html/ (サーバーによって名前は異なる)
cargo/ (任意のディレクトリ)
data/ [ 777] (ディレクトリ名はランダムな文字列に変更する。
変更した場合はCGIの初期設定も変更要)
.htaccess (.htaccessが使えるサーバーではアップロードする)
data.txt // 自動生成
env.cgi // 自動生成
*.ord // 自動生成 (注文ファイル) *は注文番号
index.html (既に存在する場合は不要。無い場合は空ファイルでよいのでアップロードする)
cargo.cgi [ASCII 755]
admin.cgi [ASCII 755]
（以下略）
cargo/ には index.html を置けと言いつつ、cargo/data/ に置けとは言っていないとか、突っ込みどころが満載です。
Re:日曜CGI作家のシェア料金稼ぎ (スコア:1, すばらしい洞察)
報道 (スコア:1, 参考になる)
Re:報道 (スコア:1)
専門的知識って、リンクが張られていない場所にアクセスするのもそうなるのかな・・・。
＞「流出した取引情報には銀行の口座番号やクレジットカード
＞番号が含まれていなかった。どのような法的措置が可能か、
＞顧問弁護士と相談中」
おまえが法的措置を受けろよ、と突っ込みたくなりました。
まぁ、（流出した個人情報を削除させる）法的処置のことだとは思うけど。
技術的な問題というよりも (スコア:1)
できることを知らない。
できることをしない。
する必要性を感じていない。
感じても報告する気がないやる気のない社員。
言っても話を聞いてくれない上司や経営陣。
久保田君に続け (スコア:5, おもしろおかしい)
高度に専門的な知識が必要となり、当然ながら費用も掛かる。
上場企業とは言え、その費用負担は軽くは無いはずだ。
三菱マテリアルが顧客の個人情報を守れなかったのは、
現実的には仕方の無い事と言えるだろう。
もちろん、三菱マテリアルには「個人情報を預かる上での責任」があるが、
法的責任を負うほどの注意義務違反があったかはわからない。
そこまでの注意義務違反はないのではないか。
それよりも、
一般人には想像もつかないような高度な技術を用いて
「アクセス制限の無い、ただおかれただけのファイル」を、
管理者の了承も得ずに勝手に取得したり、その方法を喧伝する
スーパーハッカーや自称セキュリティ研究者達は、
「個人情報を盗まれた人たちの不安」をどう思っているのだろう。
全く倫理に悖る行為であり、理解に苦しむ。
三菱マテリアルは今後、これ以上の情報漏洩を食い止めるべく、
ファイル交換ソフトや２ちゃんねるなど、ネットのチェックをせねばならず、
三菱マテリアルの本来の業務に支障が出る事は疑う余地が無い。
威力業務妨害も含めて損害賠償請求を検討すべきだ。
# とか言ってみる。
Re:久保田君に続け (スコア:2, おもしろおかしい)
Re:半ばネタ、半ば本気 (スコア:2, 興味深い)
いっそ、危険物なみに「個人情報取り扱い師」なる国家資格を作って、きちんとした知識を
持っている者以外は取り扱い禁止にしたらどうだろうか。
一級は100万件まで（電話番号及び住所を含む）、二級は1万件まで（住所を含む）、
無資格者は100件以下まで、とか制限つけてさ。
Re:半ばネタ、半ば本気 (スコア:1, 興味深い)
確かに危険になり得るんだけども、余りに針小棒大な騒ぎが多すぎるので逆に覚めちゃうんですよね。
例えばYahoo!BBの時だって「500円のはした金で」とか騒いでいる人間もいたけども、実際、名簿の価格として考えたらそれですら高すぎるレベルのもの。
その辺りのちょっとしたアンケートにヒョイヒョイ答える奴等がいる状況から見ても大したモンではない。
それをセンセーショナルに煽ってさも凄い情報が出たかのような報道では、現実に致命的な情報が流れた時なんかには既に感覚が麻痺してしまうのでは無いかと。
>一級は100万件まで（電話番号及び住所を含む）、二級は1万件まで（住所を含む）、 無資格者は100件以下まで、とか制限つけてさ。
一応国の基準では５千人がボーダーラインだったかと。
ってか、運用開始以前に個人情報保護法が無効だと判断されている時点で、他のものを作ってもやっぱり無効だと判断されて終るだけだと思われ。
Re:半ばネタ、半ば本気 (スコア:2, 興味深い)
500円はお詫びの金額であって、はっきりいって無くても良いお金。
喪失した利益を埋め合わせるお金は払っていないのです。算定も、払うのも、無理だから。
勘違いをなくすためにもどなたか
「個人情報の回復サービス」
を運営していただけないでしょうか。
その料金が市場を形成すれば「失った情報の市場価値」として算定することができます。
誰にでもわかりやすい形になります。
メールアドレスが漏れたら、SPAMを全て処理した上で知人にはメルアド変更の知らせを出してくれて、有効なメールを全て新アドレスに送ってくれる。
電話番号が漏れたら、セールスをすべて撃退してくれて、知人の電話のみ事情を話して転送してくれる。
住所が漏れたら、転居先を用意し、セールスとDMを撃退し、面倒な手続きも全てやってくれる。
それだけやって、やっと回復でしょうか。莫大な手間と費用です。
趣味が漏れたら、嗜好を変更する手伝いを。
家族構成が漏れたら、家族構成変更のｔ（狙撃
同じく、半ばネタ、半ば本気 (スコア:1, 興味深い)
Re:半ばネタ、半ば本気 (スコア:2, すばらしい洞察)
そこが考え違いでしょう。個人情報の価格が問題ではないですよ。
いつから、あの５００円は個人情報の代金だということになったんですか？
情報が漏れたことによって、spam等が増えるかも知れない。入りもしない勧誘電話が来るかも知れない。
等々の不利益を、その顧客が被ることになる可能性が高い。
そういう処まで考えが及ばないのですか？
Re:半ばネタ、半ば本気 (スコア:1)
正直10人単位の部下のうちの誰かが独断で行った発言にまで
責任取ってお縄を頂戴するってのは嬉しくない未来予想図です。
こっちから指示を与えた事に関してはいくらでも責任取るけど
一般オペレータの暴走まで責任取れないです。
（管理職としての責任はともかく、逮捕されるかどうかって レベルでは絶対嫌。）
# と、某サポセンの下級管理職の本音。
Re:半ばネタ、半ば本気 (スコア:1, 興味深い)
こっちから指示を与えた事に関してはいくらでも責任取るけど
一般オペレータの暴走まで責任取れないです。
管理になってない管理をやってる管理職と称している輩にとっては極めて不愉快な未来図でしょうなあ。
日本の技術者のレベルが低すぎる問題はよく言われるけれど、管理職と称している輩のレベルが低すぎるのもまた事実。そしてそういう輩は淘汰されないのだよね、なぜか。連座制でブタ箱に入って頂くってのはそういう輩をパージするよい機会と思うけれどね。
（管理職としての責任はともかく、逮捕されるかどうかってレベルでは絶対嫌。）
「管理職としての責任」って何？知らぬ存ぜぬを言いまくるとか、頭を低くして嵐の通り過ぎるのを待つとか？これぞ日本の管理職、ってか？（笑）
もしや (スコア:1)
と思ったら違うようですね.
参考URL
http://www.mmc.co.jp/japanese/corporate/news/news20040301.html
やっぱり必要？ (スコア:1)
やっぱり、業者が作ったプログラムの受け入れテストやフリーのソフトを使うとき、自分が作ったプログラムのテストのためのチェックリストが必要なんですかね？
暇ができたら作ってみるかなぁ。
Re:やっぱり必要？ (スコア:2)
反省して改善できる人はそもそも失敗しません。
Re:やっぱり必要？ (スコア:1, 興味深い)
2003年以降に発覚したのはわずか3件です。
- 三菱マテリアルがファイル丸出しで顧客情報漏洩 2004年5月
- そして国土地理院からも個人情報漏洩 [srad.jp] 2004年2月
- 電波2ちゃんねるで頒布品仮予約者のメールアドレスが流出 [srad.jp] 2003年2月
まともな会社は2002年にちゃんと対策をとったのでしょう。残されていたのは、個人サイトと、国家公務サイトと、……。バージョン1.2.6？ (スコア:1, 興味深い)
Re:バージョン1.2.6？ (スコア:1)
Apache Web サーバにおけるchunk データ処理の脆弱性 [ipa.go.jp]がありますね。
パッチはあったようです [apache.org]が、そもそも2年近く前のバージョンで運用し続ける理由は何だったんでしょうかね。
まあ報告があってから対策が行われるまでかなり時間を要したようですから、運用監視とかセキュリティ情報のチェックは全く行っていなかったと見るのが正しいのかもしれません。
#と、自戒の意味でID
実現しなかった未来 (スコア:1)
ま、コンテクスト的に絶対無理だったろうけど。
IN EARTH AND SKIE AND SEA STRANGE THYNGES THER BE.
奇をてらったのでしょうかねぇ…… (スコア:1)
しかし、これじゃあ相手への威嚇もハッタリもあったもんじゃないなぁ。
そもそも本当にセキュリティって言葉を知っているのか、と今更な疑問を抱く。
ってか、セキュリティ以前の問題か、コレ。
Re:ω (スコア:1, おもしろおかしい)
キンタマ言いたいだけだけちゃうんか。
キンタマちゃうんか。
キンタマ好きか。
Re:ω (スコア:2, おもしろおかしい)
Re:御約束の フレームの元 (スコア:1, 興味深い)
「「三菱」だから」入社しちゃう人が多いから。自動車のほうで言えば、
そこが、同じ「立て直し中」組でも、さばけちゃってるマツダやスバルと
異なるところ。実のともなわないプライドばかり強い。
Re:お約束の (スコア:3, 参考になる)
「三菱ファイナンス」は三菱グループではございません [mitsubishi-trust.co.jp]
当社をはじめとする三菱グループに属する会社とは何ら関係ございません [mcl-com.co.jp]
これですか？
三菱のつかない三菱グループ (スコア:2, 参考になる)
旭硝子 [agc.co.jp]
ニコン [nikon.co.jp]
キリンビール [kirin.co.jp]
新日本石油 [eneos.co.jp]
エネオスは三菱だったけどな。
Re:お約束の (スコア:1, おもしろおかしい)
Mitsubishi Pencil UNIの略だろうけど…
#別のものを連想してしまったのは秘密。
Re:お約束の (スコア:1)
# 一応高校生ですから
1を聞いて0を知れ!
Re:なぜだろうな？ (スコア:1, 参考になる)
私同様の元社員が自然に集まった掲示板での意見をまとめると、 まあ良くも悪くもムラ社会というか、何もかも三菱の中で済ませて、外の世界に目を向けたがらない、新しい血が入りにくい所がありました。
結果として、世間の常識と三菱の常識の解離が激しくなったのかもしれません。
三菱グループ総力をあげて三菱自動車と建て直そうとしているようですが、それを考えると、本気で建て直すなら、たとえハゲタカ傘下になっても三菱から抜けた方が良いと思います。
#元社員なのでAC
Re:なぜだろうな？ (スコア:2, すばらしい洞察)
>ダイムラークライスラーのマークにした方が、
とりあえず、スリーダイヤモンドを円で囲ってから(＝別ブランド名でラッピング)、「三菱」を痩せさせれば(＝外部資本を増加させる)、ほぼ同じものが出来上がります。