情報漏えいを発見してしまったらどうするべき？

あるAnonymous Coward 曰く、

ScanNetSecurityに「サイバーセキュリティ賢者の選択－自分が被害者で発見者になってしまったら」という記事が掲載されている。内容は、自分のメールアドレスを含む大量のメールアドレスがネットに漏えいしていたのを発見してしまったらどう対処すべきかを検討する、というもの。

これは2004年から連載されてきたシリーズであり、サイバー・ノーガード戦法という言葉が初めて使われた記事と思われる。この記事にある会話は空想ではあるが、実際にインターネット上に漏えいしているようだ。テレビドラマや映画などで、主人公があり得ない未来を予測し、予測を馬鹿にしたキャラクターは被害にあい後悔するシーンがあるが、現実でも無名な顧客に漏えいを指摘された時点で対処をすることが被害を縮小できる唯一の手段と思われる。

/.Jerの皆さんはマニュアル外の緊急事態が起きてしまった場合、無視せずにどう対処するのだろうか。

ちなみにサイバー・ノーガード戦法とは、「セキュリティ対策は行わない」「問題が発生したら自らは被害者であると主張する」などといった、「セキュリティ対策をちゃんと行っておらず、インシデントが起きてもお詫びだけですませようと考えているサイト運営者とそんなサイト運営者をかばうような制度を皮肉ったもの」（ScanNetSecurityの記事）である。

消えない、情報

[n_ayase (36873)]

件の記事ですが、結論が

　　

でも、よくよく考えると、

　　連絡もなにもしないで

　　自分だけ

　　そのサービスの利用をやめる

というのが一番安全なんだよな。

　「サイバーセキュリティ賢者の選択」は、あらゆる面から考えて、これに決まりだ。他の利用者の個人情報がどうなろうと知ったこっちゃない。自分の身を危険にさらしてまで、通報する必要なんかないじゃないか。今度からは、そうしよう。

となっていますが、Googleで個人情報見えちゃうようなタコいサイトを作っているところで、サービスの利用をやめたところで自分の個人情報がきちんと消してもらえない可能性、って考慮する必要はないのでしょうかね？

＃え、あれ、あたし釣られた？（他の人のコメ見つつ）

--
神社でC#.NET

Re:

[Anonymous Coward]

考慮したところでそういうタコなサイトがどうにかしてくれる訳でもないでしょう。

だったらとっとと自分だけトンズラこいて後は運に任せると。

Re:

[Anonymous Coward]

＞となっていますが、Googleで個人情報見えちゃうようなタコいサイトを作っているところで、サービスの利用をやめたところで自分の個人情報がきちんと消してもらえない可能性、って考慮する必要はないのでしょうかね？

退会したあとに再度確認すればいいじゃない。

Re:消えない、情報

[hashitom (34540)]

退会前に出鱈目な情報で上書きをしておくとか。

ただし、電話番号を03-1101-4893とかにしてはいけません。

Re:

[Anonymous Coward]

確認してそれで駄目だったらどうするんだ？

Re:

[Anonymous Coward]

それはそれから考えればいいことで、退会することが無意味ではないだろ。アホだろお前。

Re:

[Anonymous Coward]

>サービスの利用をやめたところで自分の個人情報がきちんと消してもらえない可能性、
>って考慮する必要はないのでしょうかね？

めちゃめちゃあるのでは？ そもそもアカウントの削除すら出来ないクソなサイトがあったりするし…

http://osdn.co.jp/pp.shtml [osdn.co.jp]　によると、個人情報を削除したい場合は連絡してと書いてあるけど、
ここに連絡したらアカウント削除してくれるのかな？

Re:

[Anonymous Coward]

＞Googleで個人情報見えちゃうようなタコいサイト

　それは、先日勝手に他人のgoogleアカウントにログインさせてくれたgoogle自身の事?

　探したけどgoogleへの報告先がなかったので放置したが。

--
青が空い日が大好きです。でも仕事の日は雨が楽なのでもっと好きです。

Re:

[Anonymous Coward]

＞それは、先日勝手に他人のgoogleアカウントにログインさせてくれたgoogle自身の事?
＞探したけどgoogleへの報告先がなかったので放置したが。
探し方が悪いんじゃね？すぐ見つかったよ。

つか、他人の署名を弄って遊ぶのって楽しいと思ってやってるの？見ててウザいだけなんだけど。

Re:

[Anonymous Coward]

＞すぐ見つかったよ。

偉そうに言う割にはリンク先確認して無いんだろなぁ。それは、アメリカサイトへのリンクだよ。

＞署名を弄って遊ぶのって楽しいと思ってやってるの？見ててウザいだけなんだけど。

たしかに、n_ayaseの署名はウザいが、なら非表示にすれば？

Re:

[Anonymous Coward]

単に消し忘れたのかと

こんなヨタ記事に踊らされてはいけない

[kgw (29702)]

というのも、この記事は事実誤認に基づいて書かれた可能性が高いと思います。
(1) 筆者が無知を認めたくないがゆえに、話を広げてるだけじゃないかと思えるフシがある
(2) 筆者自身が一連の記事の中で事実誤認を認めている。
(3) 不正アクセス禁止法については完全に事実誤認

(1) について
発見した事件や脆弱性の通報先　誰か受け取って！ [fc2.com]
曰く「どこに通報すればよいのかわからない。」「発生もとの会社」「警察？」「持ち込み先がないのである。」
IPAとかJPCERT/CCとかいう選択肢を思いつかなかったように、「私には」そう見えました。
その後、それを認めない理由付けとしてこれらの団体が信用ならないという理屈をひねり出したように「私には」思えます。

(2) について
その次に、話題になっている記事を書いて、その後にこの記事を書いています。
修正情報　筆者の事実誤認などを修正しました [fc2.com]

(3) についてはとりあえず不正アクセス禁止法って、ウィルスとは関係ない。

無知を晒す目的でこのストーリーを掲載したのなら悪趣味だし、参考になる記事だと思って掲載したのなら、実際は参考にしてはならないレベルだと指摘しておきます。

Re:

[Anonymous Coward]

しかし、不正アクセス禁止法の条文を読むと
トロイ型のウィルスは十分引っかかる気がします。
これ [ipa.go.jp]を読むと 3条2項の1に引っかかるけど、ウィルスのような自分の意志に関わらないものを
除くみたいな但し書きもないですし

Re:こんなヨタ記事に踊らされてはいけない

[kgw (29702)]

うーん。すみませんが、意味がわからなかった。
該当の条文って「他人のパスワード使っちゃいけないよ」ですよね。

Re:

[Anonymous Coward]

すみません。まちがえました。2ですね。
トロイ系のウィルスで踏み台にされてどこかを攻撃した場合でも
この場合不正アクセスになりますよね？
ウィルスが自動化されている場合などはどうしようも無いと思うんですが....

積極的ノーガード戦法

[Anonymous Coward]

・メールアドレスが流出したらプロバイダ変更する
・電話番号が流出したらケータイ新規で買い換える
・住所が流出したら引っ越す
・名前が流出したら改名する
・顔写真が流出したら整形する

まぁ、なんとかバーガーとかペロペロ教諭とか露出店長レベルになると
これ全部やらないと生きていけないんでしょうかね。

さらに一歩踏み込んで

[Anonymous Coward]

・メールアドレスなんて持たない
・電話なんて持たない
・住所不定でいる
・自分の名前なんて忘れてしまう
・常に仮面を被っておく。ついでに赤い服を着てマントを羽織っておく。

ガードする必要がないからノーガード
＃しょーもないのでＡＣ

Re:

[Anonymous Coward]

もう首を突っ込んでしまっているから、それ以前の問題には戻れないのですよ。

ここもそう。
とりあえず/.Jは個人情報保護のため、ユーザーがIDを削除する機能を実装するか、ユーザーの求めによりIDを削除するサービスを提供してください。

Re:

[Anonymous Coward]

最強は"生まれない事"なんでしょうけどね。

#自分自身には選択権がないと言う致命的な問題はあるけれど。

Re:さらに一歩踏み込んで

[unchikun (14429)]

さすがにそれは難しいので「自分で命を断っちゃう」のはどう?

後は野となれ山となれ。

Re:さらに一歩踏み込んで

[ksiroi (24990)]

断っちゃうを「断わっちゃう」に空目して
「あー、近藤さんはマジで重要だよね」
とかおもっちゃったよ。てへ。

// 童貞だけｄうわまて何をする(:>^

Re:

[Anonymous Coward]

携帯以外の電話番号はどうなりますか。

黙って見守ることにしました

[Anonymous Coward]

何度か漏洩について報告したことがありますが、厚意を踏みにじられる対応が多かったというか、ほとんどだったので、黙って見守ることにしました。

教訓「下手な親切余計なお世話。親切は災いの元。」

Re:

[Anonymous Coward]

まあ「好意」で言ってるならまだしも
厚かましい態度で言ったら無下にしたくもなろう…

# ごめんなさい

Re:

[Anonymous Coward]

"厚意"で国語辞典引け。そして「知るは一時の恥」と１０回唱えれば呪いは解ける。

Re:

[Anonymous Coward]

別ACですが、この事例に関しては「好意」よりも「厚意」のほうが自然ですね。
そのサイトが好きだから報告するというわけではなく、そのサイトへの厚情（思いやり）で報告するのでしょうから。

かくいう私も、とあるメーカーのサイトでパーミッション設定がメチャクチャで管理者パスワードや掲示板の設定ファイルが洩れていたので「厚意」で報告してみたのですが、完全に無視されたので、そのメーカーへの「好意」も無くなりましたね。

自爆。

[jacques (32858)]

先日Pipl -People Search- [pipl.com]で自身の本名検索したところ、ICQのユーザページがヒットしました。
長いことログインしていなかったのですっかり忘れてました。
すぐさま修正しましたけれど、他にもやらかしていないか不安です。

#恥ずかしいネタなのでID.

--
puts "This user is a beginning Ruby programmer."

People Search

[Deasuke (34806)]

面白いサービスですね。私の名前は同棲同名が多いのか、ほとんどヒットしませんでした。(Cityまで入れて#20くらい)
グーグルの検索で漢字で本名(フルネーム)を入れると最初の方は半分以上私なんですが。

# 個人的にはネットに対して匿名であることは諦めています。

--
Best regards, でぃーすけ

なんてこったい

[Anonymous Coward]

私もヒットしてしまいました。

随分前に、買い物経験のあるサイト(amazon.com)にコメントを書いたののですが、Piplのクローラが優秀なのか、非公開の住所まで、途中まで表示されるではありませんか！

もちろん、コメントは即刻削除しました。キャッシュの残存期間が気になるところではありますが、後の祭りですね。

小心者なのでAC

Re:

[Anonymous Coward]

一括検索したら1つは引っかかるんじゃない？というぐらいのものでpiplにリストされていないサイトに情報はまだ残っています

相手による

[Anonymous Coward]

普段お世話になってるフリーソフトウエアやサービス
　→丁寧に状況報告

市場にβ版を有償でバラまき、あまつさえ「脆弱性は悪人が見つけるもの」と言い切る会社
　→無視無視ｗ

現実的な他の例
　→Anonymous Cowardでここにタレコむか、名無しさんで2chに書くか、放置

…もちろん上のには冗談も含まれてますが、全ての相手に同じ対応をするって事はないですね。
例えば威力業務妨害だって言い張りそうな相手に素直に説明するだけ無駄だし。

Re:相手による

[IZUMI162i6 (27633)]

JPCERT/CCならIPAと違って匿名でも通報できますよ。
まぁ、それに対しても元記事の筆者は懸念を示してます [fc2.com]が。

はまちや２さんの事例 [hatena.ne.jp]を見るに実はIPAでもフォームからなら仮名とかでも良いかもですよ。上の筆者のBlogでも柔軟に対応してもらえたという記述があります。

まぁ、毎回前向きに対応してもらうための努力をするなんてのは無駄だと思いますが。
なので自分なら2chにスレ立てますよ。多分。

--
◆IZUMI162i6 [mailto]

Re:相手による

[nabeta (16694)]

わたしは平仮名なんですが、ＯＫでしょうか？

--
のりたま＠平仮名でも片仮名でもない文字＠が１つ混じっていますけど

Re:相手による

[Anonymous Coward]

某民主党の某原口議員がハードディスクを遠隔で削除できるスーパーハッカーの居る闇の組織と戦っていると言った直後に、その議員のホームページのパスワードが漏洩していて2chに晒されていたの思い出しました。
サイバー・ノーガード戦法お勧めです。

Re:相手による

[Rodin (28411)]

私も「相手による」ですね。
情報漏洩でなく脆弱性の話ですが、下の記事が参考になると思います。

「未知のぜい弱性を発見した。どーすんの！？オレ」
(その1) [nikkeibp.co.jp]
(その2) [nikkeibp.co.jp]
(その3) [nikkeibp.co.jp]

--
匠気だけでは商機なく、正気なだけでは勝機なし。

Prisoner なんとか

[Anonymous Coward]

その Prisoner なんとかいう著者、あとその scan なんとかいう媒体、
ちょっと普通じゃないでしょ。セキュリティの本道じゃないよねこの人ら。
何者なの？

真面目なあなたへ 贈る言葉

[Anonymous Coward]

ネタをネタであると見抜けないと(/.をエンジョイするのは)難しい

Re:Prisoner なんとか

[barrel (25979)]

いちおうサイボウズ配下の企業みたいですね。
iDefenseの代理店もやってるみたいですし、まるで外道かというとそれはさすがに失礼かと。

Re:

[Anonymous Coward]

ライブドアショックのせいで売られた会社の一つです。

/.jにタレこみ

[Anonymous Coward]

JK

Re:

[Anonymous Coward]

just kidding

Re:

[Anonymous Coward]

Jitto Koraete

Re:

[Anonymous Coward]

FlipFlop

とりあえず管理元に連絡する

[Anonymous Coward]

けどofficeみたいにイベントで不特定多数に漏えいデータを公開するようなアホなことだけはしない。

Re:

[Anonymous Coward]

他人のセキュリティの甘さを指摘するためのイベント上で、セキュリティの甘さから、さらに情報漏洩させる…
笑えないミスだったよな。

マジレス

[Anonymous Coward]

IPAの脆弱性報告で受け付けてもらえる [ryukoku.ac.jp]みたいですので、これが最善でしょう。
IPAへの報告では実名が原則ですが、IPAとしても届けられた報告に記載されている名前が実名かどうかを簡単に確認する手段は持っていないでしょうから、やむを得ない事情があって実名を出したくない場合には、自己責任で偽名を使うこともできなくはないと思います(人名に見えないハンドルなどは不受理になる公算が高いでしょう)。
問題を発見した人が自分でサイト運営者の連絡先を探すよりは、かなり手間が楽できるだけでなく、一般窓口のような汎用の連絡先に問題を届け出てしまって、誤って問題自体が公になるリスクも減らせますし、サイト運営者の「脆弱性？はいはいわろすわろす」といった対応も直接しなくてすむので精神的にもよいです。
IPAは、サイト運営者とメールや電話で連絡がつかなければ、郵便も使って問題を知らせようとしてくれるようですので、個人が直接サイトに連絡することに比べれば、正しく連絡が到達できる確実性も格段に高いでしょう。

Re:マジレス

[Anonymous Coward]

両親がイタリア人とノルウェー人で、名前があからさまに日本人じゃない私ですが、前に本名で届け出をしたら不受理にされたことがあります。
仕方ないので適当な日本人ぽい名前で書いたら受理してもらえました。なんだかなぁ。

＃ＡＣが本名の人が居たら面白そうだと思ったのでＡＣ

情報漏洩を見つけたときは～

[hamukichi (5525)]

急いで口で吸え！

typo

[Anonymous Coward]

×漏えい
○漏洩

Re:

[Anonymous Coward]

私の視力では、文字表示を最大にしても間違いが見つけられません…。