パスワードを忘れた？ アカウント作成
Close
20415 story

日本HPから約14万人分の顧客情報流出 87

ストーリー by Acanthopanax
おいおい 部門より

あるAnonymous Coward 曰く、

日本ヒューレット・パッカード(日本HP)が顧客情報の流出を発表した(INTERNET Watch記事、RBB Today記事、Security NEXT記事)。

2007年1月31日から2008年2月18日までにキャンペーン・セミナー申し込み・アンケート等に登録・回答した顧客のうち、13万9583件分(重複含む)の顧客情報(住所・氏名・電話番号・メールアドレス等)が、2008年2月13日から2月20日までの間インターネットからアクセス可能な状態になっており、一部の情報がアクセスされていたことが確認されたとのこと。

「初歩的なWebサーバの設定ミス」や「公開ディレクトリへのデータ保存」という技術力が疑われるような状況が容易に推測できるのだが、日本HPは「現在は、問題を修復し、安全な状態になっております」とするだけで原因については特に公表していない。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

日本HPから約14万人分の顧客情報流出 More

  • ＩＴベンダーが顧客情報を検索エンジンに晒すなんて (スコア:5, おもしろおかしい)

    by Anonymous Coward on 2008年03月01日 13時40分 (#1305776)
    自社製品のIceWall（アイスウォール）が地球温暖化で溶けたのだろうか？

    怖いなあもう。

  • 技術力？ (スコア:4, すばらしい洞察)

    by Anonymous Coward on 2008年03月01日 14時04分 (#1305779)
    >技術力が疑われるような状況が容易に推測できるのだが...

    こんなの技術力うんぬんじゃなくて、業務管理がいいかげんなだけだよ。

    • Re:技術力？ (スコア:1)

      by xross_pon (34785) on 2008年03月01日 15時00分 (#1305793)
      INTERNET Watch [impress.co.jp]に「顧客情報が閲覧可能だったのは、2008年2月13日から20日まで。」「ユーザーからの指摘で18日に判明した。」とある。
      １８日に分かっていながら２０日までの２日間何をしていたのか。対応の遅さはどこの企業も一緒なのか。
      シェア
      親コメント

      • Re:技術力？ (スコア:5, 参考になる)

        by Anonymous Coward on 2008年03月01日 16時14分 (#1305819)
        ここ [hp.com] から引用

        7．2月18日に判明したのに、対応完了が2月20日となっている理由
        2月18日に直ちにシステムの問題点を修復し、インターネットから弊社のシステムへアクセスを不可能にする処置を講じました。同時にインターネット上の検索エンジン上にファイルの複製（キャッシュと呼ばれています）があることを確認いたしましたので、検索エンジン上の複製の削除の措置を講じ、実際にすべての複製の削除が完了したのを確認できたのが2月20日であったため、「アクセス可能であった期間」を2月20日といたしました。
        googleキャッシュとかも消したんでしょうねえ。とても対応が遅いとは言えないでしょう。
        シェア
        親コメント

        • Re:技術力？ (スコア:1)

          by kyo1 (28134) on 2008年03月01日 20時28分 (#1305852) 日記
          >とても対応が遅いとは言えないでしょう。

          例えばグーグルの場合、こちら [google.co.jp]によると、

          (前略)「キャッシュ」リンクには、クロールされていないページや作成者からキャッシュの削除依頼があったページは含まれていません。

          とありますが、これを読む限り削除作業をがんばったのはグーグルって事になりそうですが、他の方法もあるんでしょうか？
          もしグーグル等に削除を依頼しただけだとしたら、「複製の削除の措置を講じ」って表現にはなんともすっきりしないものを感じます。
          シェア
          親コメント

          • Re: (スコア:0)

            by Anonymous Coward
            Googleだけじゃないんでしょ。
            知りうる限りあちこちにキャッシュ削除依頼出しまくったってことではないかと。

            • Re:技術力？ (スコア:1, おもしろおかしい)

              by Anonymous Coward on 2008年03月02日 6時34分 (#1305929)
              まったく迷惑ですよね。キャッシュだとかほざく違法コピーサイトの乱立は。
              シェア
              親コメント

            • Re:技術力？ (スコア:1)

              by tea_cup (14249) on 2008年03月02日 13時35分 (#1305986) 日記
              同じファイル名で、ヘッダーにno-cache入れて、Bodyの中がないファイルをアップロードして、クロールが来るのを待てばいいだけ。

              シェア
              親コメント

              • Re:技術力？ (スコア:1, 興味深い)

                by Anonymous Coward on 2008年03月02日 14時58分 (#1306002)
                それでは対応したと言わない。

                少なくとも、キャッシュしていることが判明しているサイトの管理者に依頼を出して
                削除された旨の報告を受ける、またはあなたが書いた対処法を実行した後に
                キャッシュが消えていることを確認して初めて対応が完了する。

                後者は責任説明する際の不確定要素が大きいから、普通は前者を取るものだがね。
                まぁ、まともな社会人ならここまでやるのが責任上当然のことだが。
                シェア
                親コメント

        • Re:技術力？ (スコア:1, 興味深い)

          by Anonymous Coward on 2008年03月03日 1時32分 (#1306101)
          　百度なんかは、キャッシュ削除依頼出しても無視されます。
          　しかも、ちゃんとnoindex指定までしてるページなのに・・・
          シェア
          親コメント

    • Re:技術力？ (スコア:1, 興味深い)

      by Anonymous Coward on 2008年03月01日 23時55分 (#1305895)
      このコメントに＋モデしたのだれ？ 業務管理は技術だろ。
      シェア
      親コメント

    • Re: (スコア:0)

      by Anonymous Coward
      そうね。ようするに丸投げ丸投げ丸投げ……で最終的にアホな下請けに
      管理が廻っただけでしょ。

      #アホな社長に振り回されているのでAC

  • 最高裁、曰く (スコア:4, 参考になる)

    by auge (19016) on 2008年03月01日 16時01分 (#1305816)
    個人情報の流出は 一人当たり6000円 [impress.co.jp] の賠償義務。

    ※氏名,住所,電話番号,メールアドレスまで、流出状況や付加情報については別途算定
    • こういうの見ていると、情報漏洩の最善の対処は

      • 弱いところ突いてもっと派手な情報漏洩を仕込む

      であるような気がしてならない。少なくともありふれた事件なら相場は下がるわけですし。

      シェア
      親コメント

    • Re: (スコア:0)

      by Anonymous Coward
      これからは個人情報を売ってネットに繋ぐ時代なんですね！

      #前に似たようなのを見かけたのでAC

  • んー？ (スコア:3, 興味深い)

    by Anonymous Coward on 2008年03月01日 15時01分 (#1305794)
    これって、日本HPのセキュリティポリシー（Webサーバ編...があるかどうかは知らない）が旨く機能していなかったって事ですよね？

    何故旨く回らなかったのか、お話を聞かせて頂けませんでしょうか？

    #いや冗談抜きで、ウチのポリシーに反映させなきゃならん事例だったら参考になるし...

    • Re:んー？ (スコア:2, おもしろおかしい)

      by Anonymous Coward on 2008年03月01日 15時10分 (#1305797)
      >#いや冗談抜きで、ウチのポリシーに反映させなきゃならん事例だったら参考になるし...

      なるほど、こういった情報を欲しがる人がいるんだ。
      って事は、価値がある訳だ。
      売り物になるね。

      知りたかったら金払え！
      シェア
      親コメント

      • Re:んー？ (スコア:1, おもしろおかしい)

        by Anonymous Coward on 2008年03月01日 17時50分 (#1305829)
        >情報を欲しがる人がいるんだ。
        います！います！

        >価値がある訳だ。
        あります！あります！

        >売り物になるね。
        なります！なります！

        >知りたかったら金払え！
        払います！払います！

        というわけで、早速ですが口座番号と、
        念のためパスワードを教えてください！
        はやく！
        シェア
        親コメント

      • Re:んー？ (スコア:1, オフトピック)

        by shibuya (17159) on 2008年03月01日 19時35分 (#1305844) 日記
        被害弁償相当の6000円程度のネットカフェ料金で詳細な報告書を作れる程度のwikipedia.orgからのコピペはつくれそうだなあ。それに数千万円の研究報告対価を国家が出してくれるならけっこううれしおいしい。
        シェア
        親コメント

      • Re:んー？ (スコア:1)

        by hiro_the_ripper (19181) on 2008年03月02日 22時24分 (#1306069)
        ちとオフトピ気味ですが。

        正直、何かしくじってそうな時は、お金払って知恵持ってる人にお願いした方が、色々と効率良いです。
        しくじったんなら勉強しなおせ～って言った所で、一朝一夕で名案が浮かんだり知恵が身に付いたりする訳でも無し。
        やっちまった方々的に「明らかにヤバい」と最初から思ってたんなら、なおさら。
        そう思ってなかったとしたら、再勉強の意味も込めて。
        シェア
        親コメント

      • Re: (スコア:0)

        by Anonymous Coward
        教えてくれるなら稟議にかけてみない事も無いが、
        どの様な基準でどう見積る気だろう。
        楽しみだなぁ...。

      • Re: (スコア:0)

        by Anonymous Coward
        ＞って事は、価値がある訳だ。
        ＞売り物になるね。

        「売れるモノは親だろうと失敗だろうと売ってしまえ！」がモットーの株式会社ヒトバシラです。

  • もうあきた (スコア:2, 参考になる)

    by maty (3877) on 2008年03月01日 13時36分 (#1305773)
    もうあきた・・・もう慣れた・・・このねた
    とは言ってられないはずなんだけどこれだけ続くともうねぇ

    企業側の対応もおざなりになってきたみたいだし、顧客も
    またかぁで終わる感じですね、最近は

    #慣れちゃいけない・・慣れちゃいけない・・慣れちゃいけないんだ！！よね？

    • あきた？ (スコア:5, 参考になる)

      by Anonymous Coward on 2008年03月01日 15時39分 (#1305810)
      飽きたって・・・ネタは流出でもWinnyを介さない事例で、TBCを髣髴とさせるこれだけインパクトある事例は久しぶりのような気がする。
      業務ミスという点ではらでぃっしゅぼーや [security-next.com]とかザイオン [impress.co.jp]の事例があったけど数字的には穏やか。
      今回は、アクセス可能な状態にあった「だけ」ではなく、実際アクセスされていた件数 [impress.co.jp]であるのが大変だなあ。

      企業ページで用意しているnamazuなんかでも、「パスワード」とか「bak」とか探すとマズいものがヒットする事が結構あるらしいから恐ろしい。
      SQLインジェクション等ばかりクローズアップされて、基本的な運用、基本的なリスクマネジメントが忘れられているといった感じがする。
      Winnyなら、データが回収困難な代わりに個人が悪いって叩いてればいいけど、これはデータが表沙汰にならない代わりに業務の信用に関わる。
      どっちがマシという話ではないと思うけど、数字的に沢山の一般人を巻き込んでいるので、根深く残るのは後者だろうね。
      シェア
      親コメント

      • 忘れてない？ (スコア:4, 参考になる)

        by Anonymous Coward on 2008年03月02日 16時16分 (#1306015)
        > 飽きたって・・・ネタは流出でもWinnyを介さない事例で、TBCを髣髴とさせるこれだけインパクトある事例は久しぶりのような気がする。

        丸善は？

        http://internet.watch.impress.co.jp/cda/news/2007/10/29/17326.html [impress.co.jp]

        規模も質も最悪クラスだと思うのだが、あまり騒がれていないんだよね。
        # 丸善のリリース、「紛失した可能性」って、どう見ても紛失なんだけどwww
        シェア
        親コメント

    • ここ1年間で2回目だからな (スコア:1, 興味深い)

      by Anonymous Coward on 2008年03月02日 19時43分 (#1306044)
      お客様情報の不正持ち出しに関するお詫びとお知らせ http://h50146.www5.hp.com/info/newsroom/importance/070312.html [hp.com]
      シェア
      親コメント

  • 社長の電話番号 (スコア:2, 興味深い)

    by Anonymous Coward on 2008年03月01日 23時42分 (#1305887)
    あの件がけりついたのですね。

    自分のところの社長の電話番号を google で検索したら、アンケート結果を載せてるページが出てきて驚きました。
    アンケート自体はそんなにすごい物ではなかったのでメールだけいれておきました。

  • BBBOnLine プライバシーシール (スコア:2, 興味深い)

    by Anonymous Coward on 2008年03月02日 0時24分 (#1305903)
    日本HPのプライバシーステートに、BBBOnline [bbbonline.org] プライバシーシールという、日本で言うところのプライバシーマーク [privacymark.jp]みたいなものがあり、
    HP のプライバシー保護に関する取り組みは、このプライバシー プログラムの要件を満たしており、その証として BBBOnLine プライバシー シールを Web サイトに掲載しています。」 [hp.com]とあります。


    しかし、今回の事件の状況からして、HPのウェブサイトはプライバシー プログラム(日本語版) [bbbonline.org]にある

    （ドア、ロック、電子セキュリティなどの機能を使用して）安全な環境で情報を保存している。 (日本語版より)
    …という状態ではなかったということになりますね…。

    でも、HPは「BBBOnLineプライバシー プログラム（英語）の創立メンバとして、そのスポンサを務めて」いるということなので、きっと「BBB OnLine プライバシー シール剥奪」なんてことはないでしょうね。

    # BBBOnLineプライバシーシールなんて飾りです…ってことですかね。

  • 残るは (スコア:1)

    by shoji12 (14093) on 2008年03月01日 21時15分 (#1305862)
    日本ＩＢＭだけとなりました。

    • Re: (スコア:0)

      by Anonymous Coward
      すいません、以前日本IBMのネットワークから不正か正規か中継されたと思われるspamが届いたことがあります。

      • Re: (スコア:0)

        by Anonymous Coward
        それは顧客情報流出によるものなんでしょうか？

  • 他の会社から漏れた可能性もありますが (スコア:1, 興味深い)

    by Anonymous Coward on 2008年03月02日 10時50分 (#1305957)
    登録してあったメールアドレスに 2/17, 23, 25 と3件不審なメールが届いていました。
    時期的にはこれで説明が付きますが、日本HPからの連絡はまだ。様子見中です。

  • Windows 2000 Server IIS/5.0 (スコア:0)

    by Anonymous Coward on 2008年03月02日 11時10分 (#1305960)
    www.hp.com は、Apache （HP-UX）だけど

    www.jpn.hp.com は、IIS/5.0 (Windows 2000 Server)みたいですね。

    Windows Server 2008が発売されようとされている今、流石に古すぎませんか？

    www.microsoft.comは、既にIIS/7.0を使用してる様です。

    • Re:Windows 2000 Server IIS/5.0 (スコア:1)

      by TarZ (28055) on 2008年03月02日 15時18分 (#1306005) 日記
      なんでデータがWebサーバ上にあったのかが謎です。

      INTERNET Watch [impress.co.jp]

      日本HPによれば、顧客情報が閲覧可能だったのは、2008年2月13日から20日まで。検索エンジンで該当するキャンペーンやセミナーなどのキーワードを入力すると、検索結果に個人情報を含む文書ファイルへのリンクが表示されていた。
      記事の「文書ファイル」というのが何なのか不明ですが、Windows 2000 + IIS 5.0だったとすると、DBがAccessかなにかだったのですかね。
      シェア
      親コメント
typodupeerror

アレゲは一日にしてならず -- アレゲ見習い