メッセサンオーの流出理由など

ネット | 15:47 |

• システムがザル
  • URLにパスワードなどが含まれる仕様
• 設定がザル
  • パーミッションが不適切で、顧客データを含んだcsvファイルが誰でもアクセス可能であった
  • 管理者用ページが、外部からアクセスできるようになっていた
• 運用でミス
  • Google ChromeまたはGoogleツールバーにより、URLがGoogleに流出*1→クロールされた？(憶測)

通常は、管理システムのURLが知られたとしても、

• 社内からじゃないとアクセスできない設定になっている
• セッション情報にパスワードなんて含まない

ので問題ありません。システムの設計と、その設置方法がまずかったのが今回の騒動の原因と言えるでしょう。

以下、システム開発元の対応などについて。

開発元

http://wb-i.net/advice.htm#adm

管理画面を呼び出し、パスワードを入力すると、パスワードがアドレスバーに表示される場合があります。これはパスワードをCGIで受け渡ししているためです。それを表示したくないときはフレームを使うことをお勧めいたします。つまり、以下のようなadmin.htmlを準備します。

http://mag.wb-i.net/2010_04_02.html

さて、当社のカートを利用しているお店で個人情報流出の事故が発生しました。それは、管理プログラムがGoogleにインデックスされてしまったことによるものです。原因は調査中ですが、しかし、そのような場合でも検索エンジンに拾われないような対策を施しましたので、お知らせいたします。

いや、拾われなきゃいいって問題じゃ……URLが知れたら誰でも管理画面に行けてしまうこと自体が問題でしょう……？

で、対策内容にも絶句。

すでに最新のプログラムでは、検索エンジンにインデックされないように対策を施してあります。

管理プログラムに下記の対策がなされています。

１．metaタグの挿入（noindex,nofollow,noarchive）

２．USER_AGENTよるSpiderの排除

……metaタグ入れても、拾っていく検索エンジンはあるし……対処療法にもなってないよ……。

で、このシステムの値段お幾らかなー、と調べてみたところ、どうやら7000円〜1万5000円らしいですね。こういう個人情報を預かるシステムは、もうちょっと金掛けたちゃんとしたものを使ってほしいですね。